Docker、オープンソースが潜在的に抱えるサプライチェーンリスクと、その対策を紹介

　米Dockerは、オープンソースソフトウェアに関連するサプライチェーンのセキュリティ面での問題点について、2月9日（現地時間）付の公式ブログ投稿して解説した。

　同投稿では、オープンソースソリューションを使用することによる潜在的なリスクとして、キーボードの近接したキーによる打ち間違いやスペルミスを逆手にとってユーザーを誘導し、悪意のあるコードをダウンロードさせるタイポスクワッティング、ソフトウェアの依存関係を利用して本来意図された内部パッケージの代わりに悪意のある外部のパッケージをインストールさせる手法を挙げている。

　さらに、開発者がソフトウェアのサプライチェーンを保護するためにできることとして、Docker Businessが提供しているソフトウェアの入手場所を制御可能にするイメージアクセス管理機能や、同社のセキュリティパートナーであるSnykを通じて提供している脆弱性スキャンツールを紹介した。さらに、最悪のシナリオを防ぐための複数レイヤによる保護として、イメージアクセス管理と脆弱性スキャンに加えて、ロールベースのアクセス制御、監査ログの活用を挙げている。