「サプライチェーン攻撃」に備えるために供給元と顧客が注意すべきこと

サプライチェーン攻撃に備えるためのENISAからの提言

　本来の攻撃対象を直接攻撃するのではなく、攻撃対象が使用しているソフトウェアなどのサプライヤー（供給元）を介して攻撃する、いわゆる「サプライチェーン攻撃」というものがあります。サプライチェーン攻撃自体はさほど新しいものではないのですが、最近の「SolarWinds」や「Kaseya」のインシデントなどをきっかけに、その脅威が改めて認識されるようになってきています。

　そのような中、欧州ネットワーク情報セキュリティ機関（ENISA：The European Union Agency for Cybersecurity）は、2020年1月から2021年7月初旬までに発見されたサプライチェーン攻撃、計24件を分析した結果を「Threat Landscape for Supply Chain Attacks」として公開しました。その中でENISAはサプライチェーン攻撃が2020年と比べて2021年には4倍に増えるだろうと予測しています。

　報告書の中心は24件の攻撃についての分析結果で、具体的にSolarWindsやKaseyaのインシデントなどについても解説しています。

　報告書全体の主要な点として挙げられているのは以下の通り。

　しかし、今回の報告書で最も注目すべきは第7章にまとめられた、サプライチェーン攻撃に備えるための提言です。報告書では顧客向けとサプライヤー向けに分けて紹介しており、いずれも基本的に欧州に限定されない一般的な内容となっています。

[顧客向け]
　サプライチェーンのサイバーセキュリティリスクを管理するために顧客がすべきことは以下の通り。

　サプライヤーとの関係を管理するために顧客がすべきことは以下の通り。

[サプライヤー向け]
　製品とサービスのセキュアな開発のためにサプライヤーがすべきことは以下の通り。

　脆弱性管理のためのグッドプラクティスとしてサプライヤーが実施すべきことは以下の通り。

　上記の提言に加え、主に顧客に向けたパッチ管理のグッドプラクティスとして以下を挙げています。

　また、個々の顧客やサプライヤーではなく、業界レベルで可能な取り組みもあり、その例としてGoogleの「Supply chain Levels for Software Artifacts（SLSA：サルサ）」を紹介しています。

　ほかにも、サプライチェーン攻撃に特化したものではありませんが、サイバーセキュリティへの脅威から身を守るための一般的な提言として、MITREの「D3FEND」を紹介しています。

　このように多くの提言がなされていますが、これらの提言の全てを忠実に守ったからといって、必ずしもサプライチェーン攻撃を防げる、または被害を軽減できるわけではありません。例えば、ハードウェアコンポーネントの隠し機能や文書化されていないアクセス機能（バックドア）は一般的な認証（検査済証）や標準的な侵入テストでは完全に特定することができないでしょうし、ゼロデイ脆弱性であればなおのこと困難でしょう。そのため、報告書では国や欧州レベルのアクションが必要かもしれないとし、さらに、サプライチェーン攻撃は高度な能力を持つ国家機関によって支援されている可能性があることから、各国の関連当局の支援が必要となるかもしれないともしています。

　今回紹介した提言はいずれも「至極もっとも」な内容ではありますが、その全てを満たすのは現実的にはなかなか難しく、「理想主義」だと感じる人も多いでしょう。それでも、サプライチェーン攻撃への備えを検討する際の参考には間違いなくなるはずです。とにかく「完璧」を目指すのではなく、まずはできるところから手を付けてみてください。