competition-supply-chain について
ソースコードや依存関係の解決から、ビルド、リリース、実行時までの来歴を追跡するCTF向けの下流セキュリティスキルです。成果物が意図から逸脱した箇所を特定し、証拠を簡潔に整理します。
主な機能
- 01ソースから実行時までの来歴追跡
- 02宣言された依存関係と配布物の比較
- 03ビルド、パッケージ、公開工程の確認
- 04来歴が最初に分岐する箇所の特定
- 05成果物とパイプラインの証拠保存
活用シーン
- 01依存関係のドリフトを扱う課題の調査
- 02実行時に実際に使われる成果物の特定
- 03リリース工程で意図した成果物が変わる箇所の発見
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/competition-supply-chainを入力して読み込まれたか確認します。
同梱ファイルagents/openai.yamlreferences/supply-chain.md
詳細
競技サプライチェーン
このスキルは、$ctf-sandbox-orchestrator がすでに有効であり、サンドボックスの前提、ノードの所有権、証拠の優先順位が確立されている場合にのみ、下流の専門分野として使用してください。まだそれが行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。
このスキルは、チャレンジが実際には来歴、依存関係のドリフト、ビルド出力、リリースフロー、または実際に出荷されたランタイム成果物に関するものである場合に使用してください。
ユーザーが明示的に英語を要求しない限り、簡体字中国語で返信してください。
クイックスタート
- 問題をソース、依存関係の解決、ビルド、パッケージング、パブリッシュ、ランタイム消費に分割します。
- 意図された成果物とランタイム成果物の間で最初の相違がどこで発生するかを判断します。
- 来歴は散在する観察の集合ではなく、コンパクトなチェーンとして保ちます。
- 問題を依然として示す、可能な限り最小のビルドまたはパッケージ経路を再現します。
- チェックインされた意図と、パイプラインが実際に出力したものを分離します。
ワークフロー
1. 来歴をエンドツーエンドで追跡する
- ソースチェックアウト、ロックファイル、依存関係の取得、インストール前後のステップ、ビルドスクリプト、パッケージング、パブリッシュ先、ランタイムコンシューマーをマッピングします。
- 宣言されたバージョン、解決されたバージョン、出荷された成果物を比較します。
- レジストリ、キャッシュ、ミラー、または CI 環境の違いに注意します。
2. ビルド時とランタイムを整合させる
- マニフェストをイメージレイヤー、マウントされたシークレット、生成されたファイル、ランタイムフックと比較します。
- 決定的な変更が依存関係のインストール、ビルドステップ、パブリッシュステップ、またはランタイムブートストラップのどこで発生するかを特定します。
3. 破断点を報告する
- 来歴が相違する最も早い時点を述べます。
- 証拠をソースからランタイムコンシューマーまでの 1 つの短いチェーンに保ちます。
このリファレンスを読む
- 来歴チェックリスト、証拠のパッケージング、および一般的なパイプライン障害モードについては、
references/supply-chain.mdをロードしてください。
保持すべきもの
- 宣言された依存関係、解決された依存関係、およびランタイム成果物のバージョン
- CI ステップ名、レジストリプル、成果物ハッシュ、およびイメージまたはパッケージのレイヤー
- 成果物を実際に受け入れるか実行するランタイムコンシューマー
コメント
Markdown 対応