ソフトウェア プロジェクトを開発するときは、アプリケーションをビルドして実行するために、オープン ソース ライブラリ、フレームワーク、その他のツールなどの他のソフトウェアを使用することがほとんどです。プロジェクトはこうしたリソースが適切に機能することに依存しているため、これらは総称して “依存関係” と呼ばれています。プロジェクトは何百個もの依存関係に支えられている場合があり、これらが"サプライ チェーン"として知られる流れを形成します。

サプライ チェーンは、セキュリティリスクを生じる可能性があります。依存関係の 1 つに既知のセキュリティ脆弱性やバグが存在する場合、悪意のある攻撃者がこの脆弱性を悪用して、悪意のあるコード (マルウェア) を挿入したり、極秘データを盗んだり、プロジェクトにその他のタイプの混乱を引き起こしたりすることも考えられます。このタイプの脅威は、"サプライ チェーン攻撃"と呼ばれます。サプライ チェーン内に脆弱な依存関係があると、自分自身のプロジェクトのセキュリティが損なわれ、ユーザーまでリクスにさらしてしまうことになります。

サプライ チェーンを保護するために実行できる最も重要な措置の 1 つは、脆弱な依存関係にパッチを適用することです。

攻撃者は、使用される依存関係だけをターゲットにするわけではなく、ユーザー アカウントやビルド プロセスもターゲットにします。これら両方をセキュア化して、配布するコードが改ざんされていないことを確実にすることが重要です。

GitHub は、環境内の依存関係を理解してセキュア化し、GitHub アカウントとビルド システムをセキュア化するために役立つさまざまな機能を提供しています。

サードパーティ製のセキュリティ アドオンとは異なり、GitHub のサプライ チェーン機能は、開発者が既に把握し、愛用しているネイティブ GitHub ワークフロー内で完全に動作します。GitHub は、開発者が作業しながら脆弱性を簡単に修復できるようにすることで、アプリケーション ベースの脆弱性からビジネス、お客様、コミュニティを守る重要な戦略にセキュリティ チームが集中できるようにします。

Supply-chain Levels for Software Artifacts (SLSA) は、ソフトウェア アーティファクトの開発ライフサイクル全体を通じて、アーティファクトのエンド ツー エンドの整合性を向上させるフレームワークです。SLSA は、整合性とプロベナンスの保証をソフトウェア サプライ チェーンに組み込むための、包括的かつ段階的な手法を提供します。SLSA レベル 3 は、ビルドが高度に分離され、ソース コード履歴が検証済みで、プロベナンスが厳密に制御されている、強度が大幅に向上されたソフトウェア サプライ チェーンを表すもので、改ざんに対する強固な保証を提供し、ソフトウェア アーティファクトの整合性を確実にします。GitHub Actions とアーティファクト構成証明は、SLSA レベル 3 の達成プロセスを大幅に簡素化します。

GitHub 依存関係グラフから、リポジトリの SBOM (ソフトウェア部品表) をエクスポートできます。SBOM は、オープン ソースの使用に関する透明性を実現し、サプライ チェーン脆弱性の表面化に役立つため、サプライ チェーンのリスクが低減します。

GitHub のサプライ チェーン機能のほとんどは、全てのユーザーに無料で提供されています。高度な機能のごく一部が、GitHub Code Security のプライベート リポジトリでの利用のみとなっています。料金情報をご確認ください。