ソフトウェアサプライチェーン診断

ソフトウェアサプライチェーン診断では、対象組織の依存関係に含まれるソフトウェアが侵害された場合に「どの段階で攻撃が止まるか/止まらないか」を評価します。一般的なベストプラクティスチェックとは異なり、対象組織の環境で実際に成立しうる攻撃パスをシミュレーションし、何から対処すべきかの優先順位を導出します。

ソフトウェアサプライチェーンを取り巻くリスク

ソフトウェアサプライチェーン攻撃は、もはや理論上の脅威ではなく、開発組織の日常的なリスクになっています。

正規レジストリからの感染が常態化

2026年の「axios」「Bitwarden CLI」侵害事案は、いずれも正規レジストリ・正規コマンドで感染が成立。既知の脆弱性（CVE）スキャンでは検知できません。
CI/CD環境がラテラルムーブメントの拠点に

2025年のワーム「Shai-Hulud」では、感染マシンの 77% が CI/CDランナー※。本番権限・認証情報が集約される CI/CD は、組織全体への波及点になります。
AIコーディングエージェントによる新たなリスク

Claude Code等のAI コーディングエージェントの普及により、人間のレビューを経ない依存追加が増加

※出典: Wiz Research「Shai-Hulud 2.0 Aftermath: Ongoing Supply Chain Attack」
https://www.wiz.io/blog/shai-hulud-2-0-aftermath-ongoing-supply-chain-attack

サービス概要と診断内容

依存ソフトウェア・CI/CD・権限設計にまたがる5つの防御ラインを評価し、対象組織の依存関係に含まれるソフトウェアが侵害された場合に「どの段階で攻撃が止まるか/止まらないか」を評価します。

一般的なベストプラクティスチェックとは異なり、対象組織の環境で実際に成立しうる攻撃パスをシミュレーションし、何から対処すべきかの優先順位を導出することが、本サービスの特徴です。

	診断観点	対策の例
STEP1 入れない	悪意あるソフトウェアがそもそもinstallされないか	パッケージマネージャーのクールダウンを設定する / lockファイルをgit管理する
STEP 2 発火させない	取得しても悪意あるコードが実行されないか	アプリケーションをサンドボックスで実行する / ライフサイクルスクリプトを発火させない
STEP 3 外に出させない	発火しても認証情報が流出しないか	外部通信を制限する
STEP 4 横展開させない	単一環境の侵害が他へ広がらないか	トークンが持つ権限を最小にする / Organizationに適切な権限設定を行う
STEP 5 後から追える	何が漏れたか・影響範囲を特定できるか	CI/CD環境のログ・テレメトリを記録する

ソフトウェアサプライチェーン診断の流れ

診断実施

事前のヒアリングでの要望や診断コープを踏まえた上で、診断を実施します。
報告

あるソフトウェアが侵害された場合に攻撃がどの段階で止まるか、そこからの被害がどこまで広がるかを評価し、被害シナリオに基づく優先度付きのアクションリストを報告書として納品します。

ペネトレーションテストとの違い

ソフトウェアサプライチェーン診断がCI/CD環境を対象とするのに対し、ペネトレーションテストは開発者端末の侵害を起点とした攻撃パスを実証的に検証します。両者を組み合わせることで、ソフトウェアサプライチェーン全体のリスクをカバーできます。

npmレジストリを起点とした悪意あるパッケージが、ペネトレーションテストの対象である開発者端末(保管されているGitHub PAT・クラウド認証情報)とソフトウェアサプライチェーン診断の対象であるCI/CD環境(保管されているデプロイ権限・secrets/クラウド認証情報)の双方を経由し、本番環境への攻撃結果(ソースコード改ざん・データ流出)に至る対象範囲の違いを示す図

	ソフトウェアサプライチェーン診断	ペネトレーションテスト (ソフトウェアサプライチェーン攻撃シナリオ)
目的	依存ソフトウェアの侵害を起点に、どの認証情報・システムに到達できるかを設定上から検証	依存ソフトウェアの侵害を起点に、どの認証情報・システムに到達できるかを実証的に検証
対象	CI/CD環境（ワークフロー、Organization設定等）	開発者端末（保存された認証情報、ネットワーク到達範囲等）
手法	設定・依存関係・ワークフローの静的検査	擬似攻撃による実証的な侵入テスト
成果物	リスクサマリ、優先度付きアクションリスト、想定される被害シナリオ	シナリオ目標達成の有無、攻撃パスの再現手順、脆弱性一覧