翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Inspector Security Research

Amazon Inspector Security Research は、パブリックパッケージレジストリに公開された悪意のあるパッケージを識別する継続的なモニタリングプログラムです。オープンソースエコシステムをターゲットとするソフトウェアサプライチェーン攻撃は増大する脅威であり、悪意のあるパッケージは、疑わしい開発者によってダウンロードされた後にのみアップストリームレジストリから頻繁に削除されます。Amazon Inspector Security Research は、これらのパッケージを検出し、アドバイザリを発行し、このインテリジェンスを Amazon Inspector の検出結果に組み込み、既知の悪意のあるパッケージを消費するワークロードを自動的に表示することで、アプリケーションを保護するのに役立ちます。

サポートされているパブリックパッケージレジストリ:

調査方法

Amazon Inspector セキュリティ調査チームは、自動検出パイプラインとエキスパートアナリストによるレビューを組み合わせて、サポートされているレジストリ全体の悪意のあるパッケージを特定します。確認された各悪意のあるパッケージには MAL-ID が割り当てられ、パブリックアドバイザリとして文書化され、Amazon Inspector の検出結果に統合されるため、ワークロードが影響を受けるパッケージを消費したときに顧客に通知されます。この調査の恩恵を受けるために顧客のアクションは必要ありません。検出は自動的に適用されます。

Amazon Inspector は、オープンソースセキュリティ基盤 (OpenSSF) 悪意のあるパッケージリポジトリの寄稿パートナーです。Amazon Inspector Security Research によって生成されたアドバイザリはこのオープンデータセットに公開され、Amazon Inspector が AWS 顧客を保護するために使用するのと同じ脅威インテリジェンスに、より広範なオープンソースコミュニティがアクセスできるようにします。各アドバイザリに割り当てられた MAL-ID は、OpenSSF アドバイザリ形式と互換性があります。

検出の概要

次の表は、サポートされているすべてのレジストリにおける Amazon Inspector Security Research による悪意のあるパッケージ検出をまとめたものです。

レジストリ別のライフタイム合計

レジストリ別の最近のアクティビティ

最近の悪意のあるパッケージレポート

次の表は、Amazon Inspector Security Research によって公開された最新の悪意のあるパッケージアドバイザリ 10 件を公開日順にまとめたものです。

関連リソース

次の AWS セキュリティブログの投稿では、Amazon Inspector Security Research と最近のサプライチェーンの脅威キャンペーンに関する追加のコンテキストを提供します。