Log4Shellの話を聴いてきた？

前に、10/27、JJUG CCCに行ってきた話を書いた

JAVAのWebフレームワークの現状とかMicroProfileについて聞いてきた - ウィリアムのいたずらの、まちあるき、たべあるき

けど、ちょと間が開いてしまったけど、今日はその続き。

テーマは

端末が簡単にリモートから操作されるデモを通じて

ソフトウェアサプライチェーン攻撃の重要性を

理解しよう

というもの（長いけど、これで１つのテーマ）なんだけど

Log4Shell = Log4jを使って「端末が簡単にリモートから操作される」マルウェア

ソフトウェアサプライチェーン攻撃=ある防御が厳しいサイトに対して、取引先など、”そのサイトとネットワークがつながっていて、セキュリティが甘いサイト”があった場合、その取引先を攻撃し、そこからセキュリティの厳しいサイトに入る攻撃

っていう２つの話が表題に入っている。

で実際の話は↓のとおりで、

自分には（ソフトウェアサプライチェーン攻撃はちょこっとあったけど）

ほぼLog4Shellの話に聞こえ、

この話から「ソフトウェアサプライチェーン攻撃の重要性を理解」はできなかったので、話をあまり理解していないのかもしれない…？

P.S

途中に出て来たSBOMについて

サイバー攻撃への備えを！「SBOM」（ソフトウェア部品構成表）を活用してソフトウェアの脆弱性を管理する具体的手法についての改訂手引を策定しました （METI/経済産業省）

ソフトウェア構成分析（SCA）について

ソフトウェア構成分析（SCA）ツールの選び方 - Qiita

SLSAについて

ソフトウェアサプライチェーンの安全確保: SLSA入門