About this episode

This episode features a discussion with guest stefafafan about supply chain attacks, including specific cases and practical security measures for product engineers.

stefafafanさんをゲストに迎え、サプライチェーン攻撃についてお話しいただいたエピソードです。npmパッケージやGitHub Actionsなどを狙った具体的な事例を交えながら、攻撃の手口や背景、事業会社のプロダクトエンジニアが実践すべき防御策、攻撃の検知方法、そしてインシデント発生時の対応まで、実務に直結するセキュリティ事情について語っていただきました。 話したネタ サプライチェーン攻撃とはそもそも何か？ 近年の脆弱性攻撃のトレンドとゼロデイ攻撃の脅威 axiosとtanstackの事例 開発者のローカル環境が狙われやすい理由 攻撃者視点から見た、サプライチェーン攻撃のコストパフォーマンスの良さ プロダクトエンジニアが実践すべき防御策と多層防御の考え方 DependabotやRenovateなどでのクールダウン期間の設定 npm install時の自動スクリプト実行を防ぐ対策（ignore-scripts） コミットハッシュでのバージョン固定（pinactやdockerfile-pin等の活用） 静的解析ツール（actionlint、zizmor、zhalint、ghasecなど）の活用 認証情報の権限最小化やライブラリの棚卸しといった対策 今後のOSSとの付き合い方 スマートバンク社の採用情報 See Privacy Policy at https://art19.com/privacy and California Privacy Notice at https://art19.com/privacy#do-not-sell-my-info .

People in this episode

Host: iwashi

Guest: stefafafan

Topics covered

• サプライチェーン攻撃
• セキュリティ対策
• 脆弱性攻撃
• ゼロデイ攻撃
• プロダクトエンジニア
• 攻撃の検知方法
• インシデント対応

Keywords

• サプライチェーン攻撃
• npmパッケージ
• GitHub Actions
• 防御策
• 攻撃の手口
• 脆弱性
• ゼロデイ攻撃
• 静的解析ツール

Mentioned in this episode

Organizations: npm, GitHub, axios, tanstack, Dependabot, Renovate, actionlint, zizmor, zhalint, ghasec

Explore listener stats, chart rankings, contacts and more on the fukabori.fm podcast page.