ECR拡張スキャンでSBOMを収集して サプライチェーン攻撃の影響調査を 爆速で終わらせてみた

Transcript

1. ECR拡張スキャンでSBOMを収集して サプライチェーン攻撃の影響調査を 爆速で終わらせてみた 2026.5.20 池田 晃尚（@akikii__）
2. アキキー | 池田 晃尚 株式会社メイツ バックエンドエンジニア / SRE 推しサービス AWS CDK AWS CDKへのコントリビュート 8件 JAWS-UG CDK支部運営
3. 2026/3/19 Trivy 2026/3/23 Checkmarx KICS 2026/3/24 LiteLLM / Telnyx 2026/3/31 axios 2026/4/22 Bitwarden CLI 2026/5/11 TanStack / Mistral AI / UiPath
4. 2026/3/19 Trivy 2026/3/23 Checkmarx KICS 2026/3/24 LiteLLM / Telnyx 2026/3/31 axios 2026/4/22 Bitwarden CLI 2026/5/11 TanStack / Mistral AI / UiPath → たくさんのツールがサプライチェーン攻撃による侵害を受けています！
5. ソフトウェアが依存するライブラリやツールに悪意あるコードを混入 し、取り込んだプロダクトを間接的に侵害する攻撃手法 ソフトウェアサプライチェーン攻撃とは
6. ソフトウェアが依存するライブラリやツールに悪意あるコードを混入 し、取り込んだプロダクトを間接的に侵害する攻撃手法 2026/3/31 - npmパッケージ「axios」の侵害 メンテナーアカウントの乗っ取りにより悪意あるバージョンが公開されました。 インストールするだけでRATが展開、ローカルのクレデンシャル・APIキーが外部に送信されまし た。 ソフトウェアサプライチェーン攻撃とは
7. ソフトウェアが依存するライブラリやツールに悪意あるコードを混入 し、取り込んだプロダクトを間接的に侵害する攻撃手法 2026/3/31 - npmパッケージ「axios」の侵害 メンテナーアカウントの乗っ取りにより悪意あるバージョンが公開されました。 インストールするだけでRATが展開、ローカルのクレデンシャル・APIキーが外部に送信されまし た。 → プロダクトに影響がないか迅速に調査する必要がある ソフトウェアサプライチェーン攻撃とは
8. ソフトウェアが依存するライブラリやツールに悪意あるコードを混入 し、取り込んだプロダクトを間接的に侵害する攻撃手法 2026/3/31 - npmパッケージ「axios」の侵害 メンテナーアカウントの乗っ取りにより悪意あるバージョンが公開されました。 インストールするだけでRATが展開、ローカルのクレデンシャル・APIキーが外部に送信されまし た。 → プロダクトに影響がないか迅速に調査する必要がある ソフトウェアサプライチェーン攻撃とは SBOMを利用してコンテナイメージへの影響範囲を 一瞬で特定する方法を紹介します！
9. SBOM？
10. ソフトウェアに含まれているOSやパッケージの部品表 どのコンテナでどのパッケージが使われているかがわかる SBOM（Software Bill of Materials ）とは パッケージ名、バージョン、パッケージURLなど... { "bomFormat": "CycloneDX", "specVersion": "1.4", "version": 1, "metadata": { "timestamp": "2026-05-18T08:29:10Z", "component": { "type": "operating-system", "name": "AMAZON_LINUX_2023", "version": "27.4.0"
11. ソフトウェアに含まれているOSやパッケージの部品表 どのコンテナでどのパッケージが使われているかがわかる SBOM（Software Bill of Materials ）とは パッケージ名、バージョン、パッケージURLなど... { "bomFormat": "CycloneDX", "specVersion": "1.4", "version": 1, "metadata": { "timestamp": "2026-05-18T08:29:10Z", "component": { "type": "operating-system", "name": "AMAZON_LINUX_2023", "version": "27.4.0" ECR拡張スキャンを利用すると SBOMをエクスポートできる！
12. ECR拡張スキャン？
13. ECRリポジトリに登録されたコンテナイメージをセキュリティスキャン するAmazon Inspectorの機能（ECRに統合されている） ECRイメージスキャン（拡張スキャン）とは？
14. ECRリポジトリに登録されたコンテナイメージをセキュリティスキャン するAmazon Inspectorの機能（ECRに統合されている） OS・パッケージ/ライブラリの脆弱性を検出 脆弱性DBにCVEが追加されるとスキャン（継続スキャンの場合） コンテナイメージの SBOM をエクスポートできる ECRイメージスキャン（拡張スキャン）とは？ ※ ECRベーシックスキャン、プッシュスキャンはSBOMエクスポート非対応
15. サプライチェーン攻撃の影響範囲を調査する
16. SBOM なし SBOM あり 攻撃が公表される イメージごとに手動で調査 する SBOM を横断検索して影響イ メージを抽出 対策を行う サプライチェーン攻撃の影響範囲調査（例）
17. アーキテクチャ CI/CDで拡張スキャンのAPIを呼び出してSBOMをエクスポート
18. 影響調査デモ AthenaでSBOMを検索して影響調査を行う 0:00 / 0:17
19. まとめ SBOMを横断で検索する仕組みを作ると サプライチェーン攻撃の影響調査が爆速で 終わる！！！
20. 宣伝
21. AWS CDK Conference Japan 2026 7.18（土） 開催決定！ JAWS-UG CDK支部 主催 詳細は近日公開予定 Call for Proposal 登壇者募集中！ （5/31 23:59まで）
22. 株式会社メイツ Mates Inc. AWS Summit Japan 2026 2026.6.25 (木) – 26 (金)　幕張メッセ S P E A K E R A N N O U N C E M E N T 弊社チーフエンジニアが AWS Summit Japan に登壇します S P E A K E R 後藤 健太 AWS DevTools Hero 株式会社メイツ ／ Chief Engineer D E V 3 5 2 B R E A K O U T S E S S I O N 2026.6.26 (金) 13:40 – 14:10 幕張メッセ Hall 4 / Room 11
23. リードエンジニア（バックエンド/フロントエンド/SRE) 積極採用中 株式会社メイツ Mates Inc. カジュアル面談はこちら
24. Thank You! ＼ ご清聴ありがとうございました！ ／