EDRとプロキシではサプライチェーンマルウェアを防げない理由

【なぜ重要か】 多くのセキュリティチームがEDRとプロキシを導入して安心しているが、これらのツールは従来型マルウェア向けに設計されており、開発者の環境を狙うサプライチェーン攻撃には根本的に無効である。日本の開発現場でも、npm installやpip installで悪意のあるパッケージが招き入れられるリスクが高まっている。

【ポイント】

• EDRは信頼されたランタイム（node、python等）内で実行されるマルウェアを検知できない。正常なビルドツールと悪意のあるpostinstallスクリプトは同じシステムコールとネットワーク通信を行うため区別不可能
• 実際の攻撃例として、axiosパッケージ（週1億ダウンロード）の乗っ取りやMicrosoftのdurabletaskパッケージへのバックドア挿入が発生。どちらもEDRでは検知できない手法を使用
• プロキシは開発者が自宅やカフェから作業する際にバイパスされ、VS Code拡張機能やCIランナーなど多くのツールがプロキシ設定を無視するため実効性が低い
• サプライチェーン攻撃の悪意のあるペイロードは「正常な動作」として実行されるため、異常検知の仕組みでは捕捉できない
• 開発者固有のサプライチェーン攻撃面には、マシン上に常駐し、インストール時にパッケージの動作を理解する専用のソリューションが必要

【まとめ】 従来のセキュリティツールでは対応できないサプライチェーン攻撃に対し、開発者マシン専用の保護ソリューション（Aikido Device Protection等）の検討が急務である。