全社でのソフトウェアサプライチェーン攻撃対策をやってみた with Takumi Guard

Tamachi.sre#5
https://tamachi-sre.connpass.com/event/394914/

Transcript

1. 全社でのソフトウェアサプライチェーン攻撃対策 をやってみた with Takumi Guard Tamachi.sre#5
2. ⾃⼰紹介 • Kaita Nakamura (@z63d_) • 株式会社primeNumber • SRE • 好きな技術: コンテナ、Kubernetes • Raycast Community Japan • Raycast Ambassador 2
3. セキュリティインシデントが怖い • ⽇々セキュリティインシデントに関するニュース • 領域‧レイヤー様々 • 攻撃⼿法も多様化 3
4. ソフトウェアサプライチェーン攻撃対策 なぜソフトウェアサプライチェーン攻撃（正確にはローカル環境での 悪性パッケージへの）対策をしたか？ • 流⾏っている ◦ • Shai-Hulud とかは有名 AI Agent がパッケージインストールを⾃律的に⾏うようになり、悪性 パッケージがすり抜けるリスクが⾼まっている ◦ • 今回の対策は⾊々やるべきことがあるうちの1つだと考えている ◦ • エンジニア以外も Claude Code とかを使う できるところからやった Takumi Guard を利⽤ 4
5. Takumi Guard とは • GMO Flatt Security が提供（2026/3 ~） • サプライチェーンセキュリティを強化するレジストリプロキシ • 悪性パッケージブロック‧感染可能性の通知 • ローカル環境や GitHub Actions で使える • npm, PyPI, RubyGems, Go, Packagist に対応（2026/07/23 時点） • 無料でも利⽤可能（有料機能あり） https://shisho.dev/docs/ja/t/guard/ 5
6. なぜ Takumi Guard を選んだか • 類似ソフトウェア ◦ • AikidoSec/safe-chain 導⼊が⽐較的容易だった ◦ すでに Takumi（脆弱性診断）を利⽤していた ▪ 別サービスではあるが、コンソールやお⾦まわりで 共通のところがある • 導⼊を強制するため ◦ 有料機能を利⽤して端末に⼀括設定 ◦ 個⼈のリテラシーに頼る必要がない‧お願いベースだと弱め 6
7. どこに⼊れたか • エンジニア以外も含めた全社員の端末（ローカル環境）へ導⼊ ◦ macOS, Windows 7
8. どうやったか • • MDM（Mobile Device Management）を使う ◦ 弊社だと Jamf Pro (macOS), Intune (Windows) ◦ 端末で任意のスクリプトを実⾏可能 セットアップスクリプトは Takumi Guard の docs にあるものを使うこと ができる 8
9. 導⼊までの道のり... 9
10. 権限ない問題 セットアップスクリプトを実⾏したら終わりだと思っていたが... • MDM の権限がない ◦ 情シスが管理 ◦ Jamf Pro: 歴史的経緯で SRE チームは1⼈だけ権限を持っていた ◦ Intune: 権限をもらうにも Microsoft Entra ID が必要（持ってない） ▪ • これだけのために発⾏するのも... とはいえ情シスにスクリプト設定して実⾏してもらうだけでは？ 10
11. debug ⼤変すぎる問題 Windows がなかなか上⼿くいかなかった • 情シスとのコミュニケーション ◦ ⼿元で⾒ることができないコンソールの操作の依頼 • 会社の⼀時レンタル Windows 端末を使って⼿元で動作確認 • ⼿元で操作できれば数分で終わる作業が数⼗分 （基本的に⾮同期でやっていたので依頼してからのラグもある） • MDM のポリシーの影響で何か起きてそう（何も分からない） • 情シスとの中継をする形でサポートの⽅とやりとり 11
12. セットアップして終わりではない • • 新しい端末への対応 ◦ Jamf Pro: ⽇次で⾃動実⾏ ◦ Intune: ⼿動で定期的に実⾏（⾃動実⾏ができなかった） 退職者端末の token の revoke が必要 ◦ サブスク枠を超えた分は ¥500/token のため、revoke しないと 無駄に課⾦が発⽣ ◦ 退職フローに乗せる必要がある ◦ 端末のシリアルナンバーをユーザー識別⼦として token に 付与して紐付け 12
13. 何とか導⼊できた 🎉 ブロックされたパッケージなどを⾒ることができる 13
14. まとめ 14
15. 導⼊を振り返って • 主にプロダクトを⾒ている SRE が導⼊を進めるのはキツかった ◦ 権限的に ◦ （たぶん）社内で⼀番ソフトウェアサプライチェーン攻撃に アンテナを張っていたのが SRE だった • 情シスが協⼒的で助かった 15
16. 結果 • セキュリティ領域へより関⼼を持てた ◦ 元々多少の関⼼はあったが、業務として取り組めた • MDM こんな感じなんだ〜を知れた • ソフトウェアサプライチェーン攻撃への対策が⼀定できた 16
17. Thank you!