サプライチェーン攻撃の机上・実地演習
「サプライチェーン攻撃の机上・実地演習」は、実際に発生した依存ソフトウェアの侵害インシデントに基づく演習を通じて、開発チーム自らがインシデントに対応する力を強化するサービスです。
開発チーム主体の訓練が必要な理由
ソフトウェアサプライチェーンのインシデントは、開発チーム自身が調査・判断の中心となる必要があります。
そのため、従来のインシデント対応にはない固有の難しさがあります。
-
「自社は影響を受けているか」を自ら判定する
監視ツールだけで全ての侵害を検知できるとは限りません。SNSやセキュリティリサーチャーの報告で初めて気付き、自ら調査に着手する場面が少なくありません。
-
調査には開発チームの知識が前提になる
影響範囲の特定、対応判断（tokenローテーション、漏えいの可能性があるsecretsの棚卸し）は、対象がコードベース・依存ツリー・CI/CD設定に及ぶため、開発チームの知識なしには進められません。
-
不確実な情報のなかで決断を迫られる
過去のビルドで実際に入ったバージョンが追えない、CIログの保全期間が切れているなど、情報が揃わないなかで、開発チームとセキュリティチームが連携して決断する力が求められます。
演習内容
本演習は、実際のインシデントシナリオを再現した環境を調査しながら、参加者自身で対応を議論・判断します。
当社で構築したGitHub Organization上の演習環境を用いるため、お客様側での環境の準備は不要です。
-
時系列で流れるシナリオフィード
侵害の検知、CVE の登録、メンテナの声明、パッケージの公開停止（unpublish）。 実際のインシデントで観測される情報を、ファシリテーターが時刻付きで段階的に開示します。
-
参加者の能動的な調査
「侵害版がインストールされたビルドは何か」「漏えいの可能性がある secret は」 など、デモ環境に対して参加者自身で侵害の調査を行い、対応を議論します。
演習実施の流れ
以下は標準的な例です。対象組織の規模や目的に応じてカスタマイズします。
事前調査
対象組織のCI/CD構成・依存管理状況・トークン権限等をヒアリングし、演習シナリオを決定します。ヒアリングベースの事前調査に加え、実環境のソフトウェアサプライチェーン攻撃への対策状況を調査・検証（ソフトウェアサプライチェーン診断相当）することで自社環境の実態に即したシナリオでの演習が可能です。
事前ブリーフィング1〜2時間
サプライチェーンインシデントの特性解説、過去事例（axios・Bitwarden CLI等）のタイムライン紹介、自社環境の概要整理を行います。
演習2〜3時間
実際のインシデントシナリオを再現した環境を調査しながら、参加者が対応を議論・判断します。ファシリテーターが状況を段階的に開示しながら進行します。
振り返り・改善計画1〜2時間
演習中の判断を振り返り、対応手順・体制のギャップを特定します。事前調査や診断の結果と照合し、改善アクションリストを作成します。
実環境の対策状況を調査・検証することで、自社環境の実態に基づく演習が可能
ヒアリングベースの事前調査に加え、実環境のソフトウェアサプライチェーン攻撃への対策状況を調査・検証（ソフトウェアサプライチェーン診断相当）することで自社環境の実態に即したシナリオでの演習が可能です。
演習では実際の侵害シナリオを体験していただき、報告会では演習で得た気づきを診断結果と照らし合わせて解説します。これにより、抽象的な脅威ではなく自社固有の課題として理解が深まり、訓練の成果が実務に活きる形で定着します。
料金
個別にお見積もりいたします。お客様のご要望に合わせて柔軟にご提案しますので、お気軽に相談するください。
お見積もりは無料です。お気軽に相談するください。