performing-supply-chain-attack-simulation

サプライチェーン攻撃シミュレーションの実施

概要

ソフトウェアサプライチェーン攻撃は、タイポスクワッティング（人気パッケージに似た名前を登録すること）、依存関係の混同（非公開の名前に一致する、より高いバージョンの公開パッケージを公開すること）、パッケージ配布の侵害を通じて、パッケージレジストリへの信頼を悪用します。このスキルは、パッケージ名と人気のある PyPI パッケージとのレーベンシュタイン距離の計算、SHA-256 ハッシュの比較によるパッケージの整合性確認、pip-audit による既知の CVE のスキャン、依存関係の解決順序のテストによる混同の脆弱性の検出を行い、これらの攻撃手法を検出します。

使用する場面

• サプライチェーン攻撃シミュレーションを実施するセキュリティ評価を行う場合
• 関連するセキュリティイベントのインシデント対応手順に従う場合
• 定期的なセキュリティテストや監査を実施する場合
• 実地テストを通じてセキュリティ制御を検証する場合

前提条件

• pip-audit、Levenshtein、requests を含む Python 3.9 以降
• PyPI JSON API へのアクセス（https://pypi.org/pypi/{package}/json）
• パッケージメタデータを取得するためのネットワークアクセス

法的通知： このスキルは、許可を得たセキュリティテストおよび教育目的に限り使用してください。自らが所有していない、またはテストの書面による許可を得ていないシステムに対する不正使用は違法であり、コンピューター不正行為に関する法律に違反する可能性があります。

主な検出対象

1. タイポスクワッティング — 編集距離のしきい値を使用して、パッケージ名を PyPI の人気パッケージと比較します
2. 依存関係の混同 — 内部パッケージ名と同じ名前のパッケージが、より高いバージョン番号で公開 PyPI に存在するか確認します
3. ハッシュ検証 — パッケージをダウンロードし、SHA-256 ダイジェストが公開済みのハッシュと一致することを確認します
4. 脆弱性スキャン — インストール済みパッケージを OSV および PyPA のアドバイザリデータベースと照合して監査します
5. メタデータの異常 — 不審な作成者のメールアドレス、ホームページの欠落、または初回アップロード日がごく最近のパッケージにフラグを立てます

出力

パッケージごとのリスクスコア、検出された攻撃手法、ハッシュ検証結果、CVE の検出結果を含む JSON レポート。