個人の注意や事後対応に依存せず、ソフトウェアサプライチェーン攻撃を仕組みとして対策したい

導入の背景

株式会社Hacobuは、物流領域のSaaSおよび物流DXコンサルティングを提供する会社です。従業員数は約220名で、そのうちエンジニアやデザイナーを含む開発部門は約60名の規模です。主な技術スタックとして、GoとTypeScriptを利用しています。

昨今、ソフトウェアサプライチェーン攻撃は深刻化しており、特にnpmパッケージをはじめとしたOSSパッケージの侵害は、開発組織にとって現実的なリスクになっています。悪意のあるnpmパッケージが確認された場合、CI/CDの実行履歴、使用しているパッケージのバージョン、各ローカルPCにインストールされたパッケージなどを、全プロダクト・全端末を対象に調査する必要があります。

しかし、従来の運用では、悪性パッケージが報告された後に影響範囲を確認するための調査負荷が大きく、「誰が、どこで、どのパッケージをインストールしたのか」を迅速に把握することが難しいという課題がありました。

また近年は、エンジニア以外の職種でもAIを活用したコーディングやプロトタイピングが広がっています。PdM、デザイナー、ビジネス職などが、AIの支援を受けながらnpmパッケージを導入して検証を行うケースも増えています。その結果、パッケージインストールに伴うリスクは開発部門だけに閉じたものではなくなり、全社的に管理・防御すべき対象になってきました。

こうした状況を踏まえ、Hacobuではソフトウェアサプライチェーン攻撃への対策を個人の注意や事後対応に依存するのではなく、仕組みとして防御する必要があると考えました。悪意のあるパッケージのインストールを未然に防ぐことに加え、万が一ソフトウェアサプライチェーン攻撃が発生した場合でも、インストール履歴を即座に確認できる体制を整えることが重要でした。

こうした背景から、Takumi Guard有償版の全社導入を決定しました。

活用方法

Hacobuでは、CI/CD環境と従業員のローカルPCの双方でTakumi Guardを活用しています。

CI/CDでは、GMO Flatt Securityが提供しているGitHub Actions向けのセットアップ用Action* を利用し、悪性パッケージのブロックとパッケージインストールの追跡を行っています。

※Takumi Guardでは、エコシステム別にセットアップ用のAction（例：flatt-security/setup-takumi-guard-npm）をご用意しています。

GitHub Actionsでは、Bot IDを使用してGitHub組織とTakumi Guardを紐付けています。これにより、どのワークフローが、いつ、どのパッケージをインストールしたのかを追跡できるようになりました。CI/CD上でのパッケージ取得も監査対象に含められるため、万が一悪性パッケージが報告された場合でも、影響を受けた可能性のあるワークフローを確認しやすくなっています。

また、従業員のPCにはMDMを利用してTakumi Guardの設定を一括配布しています。開発部門だけでなく、AIを活用したコーディングを行う可能性のある従業員の端末にも展開することで、個別の手順実施に依存せず、全社的にソフトウェアサプライチェーン攻撃への予防策を適用できるようにしています。

一括展開プロセス

MacおよびWindowsそれぞれ100台超、合計200台以上の端末に展開しています。既存のMDM環境を活用することで、導入作業は約2週間で完了しました。

Mac環境では、提供されている一括展開スクリプトをほぼそのまま利用でき、大きなトラブルもなくスムーズに展開できました。なお、念のためアンインストール用スクリプトも別途作成しています。

導入効果・感想

Takumi Guardを導入したことで、悪性パッケージのインストールを未然に防げるだけでなく、誰が・どのパッケージを・いつインストールしたのかを追跡できるようになりました。この点は、ソフトウェアサプライチェーン攻撃への備えとして非常に大きな効果があると感じています。

特に、悪性パッケージが確認された際の調査負荷を大きく下げられる点は重要です。従来であれば、CI/CDの実行履歴、各リポジトリの依存関係、各従業員のローカルPCの状態を個別に確認する必要がありました。Takumi Guardの導入後は、インストールログをもとに影響範囲を確認できるため、インシデント発生時の初動対応をより迅速に進められるようになりました。

また、MDMを使って全従業員にTakumi Guardの設定を配布できたことで、開発者本人の作業に依存せず、全社的にソフトウェアサプライチェーン攻撃への予防策を適用できています。エンジニアだけでなく、AIを活用してコードを書く可能性のある職種も含めて保護できる点は、現在の開発環境において大きな安心材料です。

過去にインストールしたパッケージが後から悪意のあるものだと判明した場合に通知を受け取れる点も、運用上ありがたい機能です。インストール時点では防ぎきれなかったケースや、後から侵害が判明するケースにも備えられるため、事前防御と事後調査の両面でセキュリティ体制を強化できました。

GitHub Actions向けにセットアップ用Actionが提供されている点も、導入・運用のしやすさにつながっています。CI/CDへの組み込みがしやすく、既存の開発フローを大きく変えることなく利用を開始できました。

さらに、有償プランのユーザー単位の価格が比較的導入しやすい点も、全社展開を進めるうえで大きな後押しになりました。セキュリティ強化の効果と導入・運用コストのバランスが良く、全社的なソフトウェアサプライチェーン攻撃対策として導入しやすいサービスだと感じています。