Dependency Combobulatorは、依存関係の混同/置換攻撃に対抗するためのオープンソースツール群です。これらの攻撃は、ソフトウェアプロジェクトの公開または非公開リポジトリを悪用してパッケージマネージャを混乱させ、依存関係のように見えるが実際には何らかの攻撃を実行することを目的としたパッケージを紛れ込ませるものです。
Apiiroは、まさにこの問題に対処するためにDependency Combobulatorをリリースしました。これは、これらの攻撃を検出して防止できるツールキットです。これらの攻撃は最近発見され、攻撃手法として増加しています。つまり、このツールキットを使用することで、パッケージマネージャーがインストールしようとしているソフトウェアに必要な正しい依存関係ではなく、悪意のあるパッケージをインストールしてしまうような依存関係詐欺を回避できます。
このような場合、ユーザーは依存関係管理を自動化するパッケージマネージャーを信頼しているため、そのことに気づいていません。しかし、知らず知らずのうちに悪意のあるコードを承認している可能性があります。そこで役立つのがDependency Combobulatorです。GitHub、JFrog Artifactoryなど、さまざまなソースを評価できます。
このツールはPythonプログラミング言語で開発されており、抽象パッケージモデルに基づいて動作するヒューリスティックエンジンを使用しているため、拡張性に優れています。柔軟性に加えて、セキュリティ専門家がより的確な判断を下すのにも役立ちます。簡単に統合でき、自動的に起動します。
「今年初め、セキュリティ研究者のアレックス・ビルサン氏がApple、Microsoft、PayPalが管理するエコシステムを侵害したことをきっかけに、業界では同様のサプライチェーン攻撃が多発しました」と、Apiiroのセキュリティ研究担当副社長であるモシェ・ジオニ氏は述べています。「私たちは、同様の脅威を軽減し、将来の依存関係混乱攻撃にも十分対応できる柔軟性と拡張性を備えたツールセットを開発することで、迅速に対応したいと考えました。この攻撃ベクトルに対処することは、組織がソフトウェアサプライチェーンを確実に保護するために不可欠です。」