ルール27：ソフトウェア・サプライチェーン攻撃
あなたのシステムへの最大の脅威が、コードではなく、取り込んでいる信頼済みのオープンソース・ライブラリだとしたら？ ようこそ、開発者にとって最悪の悪夢：ソフトウェア・サプライチェーン攻撃へ。
攻撃者はもはや、ファイアウォールをすり抜けるために時間を無駄にしません。代わりに、よく使われているオープンソースのパッケージ（npm、PyPI、GitHubなど）を、悪意のあるバックドアで汚染します。あなたが単にpip installやnpm installを実行すると、意図せずそのマルウェアがサーバーに直接注入されてしまうのです！
ルール27を徹底するには、次の3つの絶対防御レイヤーで依存関係を確実に守ってください：
1️⃣ 依存関係を固定する：常にロックファイル（package-lock.json や、厳格なハッシュ付きの requirements.txt など）を使用し、デプロイ中に予期しない、または改変されたコードがダウンロードされないようにします。
2️⃣ 自動脆弱性スキャン：Snyk、GitHub Dependabot、または OWASP Dependency-Check のようなツールをワークフローに組み込みます。これらは、侵害された、または古くなったライブラリを即座に検知し、ブロックします。
3️⃣ 送信元を検証する：新しいパッケージを信頼する前に、そのメンテナーを精査し、更新頻度を確認し、タイポスクワッティング（ハッカーが、有名なものと非常に似た名前で悪意あるパッケージを作ること。例：requestsの代わりに requsts）に注意してください。
信頼された第三者ライブラリが、あなたのインフラのトロイの木馬にならないように
#BTC
あなたのシステムへの最大の脅威が、コードではなく、取り込んでいる信頼済みのオープンソース・ライブラリだとしたら？ ようこそ、開発者にとって最悪の悪夢：ソフトウェア・サプライチェーン攻撃へ。
攻撃者はもはや、ファイアウォールをすり抜けるために時間を無駄にしません。代わりに、よく使われているオープンソースのパッケージ（npm、PyPI、GitHubなど）を、悪意のあるバックドアで汚染します。あなたが単にpip installやnpm installを実行すると、意図せずそのマルウェアがサーバーに直接注入されてしまうのです！
ルール27を徹底するには、次の3つの絶対防御レイヤーで依存関係を確実に守ってください：
1️⃣ 依存関係を固定する：常にロックファイル（package-lock.json や、厳格なハッシュ付きの requirements.txt など）を使用し、デプロイ中に予期しない、または改変されたコードがダウンロードされないようにします。
2️⃣ 自動脆弱性スキャン：Snyk、GitHub Dependabot、または OWASP Dependency-Check のようなツールをワークフローに組み込みます。これらは、侵害された、または古くなったライブラリを即座に検知し、ブロックします。
3️⃣ 送信元を検証する：新しいパッケージを信頼する前に、そのメンテナーを精査し、更新頻度を確認し、タイポスクワッティング（ハッカーが、有名なものと非常に似た名前で悪意あるパッケージを作ること。例：requestsの代わりに requsts）に注意してください。
信頼された第三者ライブラリが、あなたのインフラのトロイの木馬にならないように
#BTC