組織が監査データとして扱いがちなGitHubのイベントストリームは、そのままソフトウェアサプライチェーン攻撃を検知するための行動テレメトリとしても活用できます。
最近発生した多くのサプライチェーン攻撃は、防御側がGitHubがすでに提供しているテレメトリを注意深く確認していれば、より早い段階で検知できた可能性があると研究者らは指摘しています。
Black Hat USA 2026での講演で、MicrosoftのYossi Weizman氏とEchoのMor Weinberger氏はこの主張を展開し、「GitHubはあなたが攻撃されていることを教えてくれる。ただ、あなたがそれに耳を傾けていないだけだ」と述べました。
両氏は、従来のエンドポイントやネットワークのテレメトリだけに頼るのではなく、GitHub自身のイベントストリームから構築するEDR方式の検知アプローチを解説しました。
研究者らはShai-Hulud、Trivy、Megalodonなど、最近のサプライチェーン攻撃を調査した結果、一見無関係に見える各インシデントが、偽装されたコミットの身元やタグの改ざんから、ワークフローの悪用、OpenID Connect(OIDC)の窃取、証拠の隠滅の試みに至るまで、繰り返し同じ手口を使っていることを発見しました。
研究者らは、こうした繰り返し現れる手口を行動ベースの検知手法へと変換し、GitHubのWebhook、APIデータ、Gitリポジトリの検査を組み合わせることで、活動の履歴を可視化する仕組みを構築したと説明しています。
「GitHub Threat Detector」と名付けられた新しいオープンソースツールには、22の実運用向け検知ルールと12のベータ版ルールが含まれているとされ、個々には弱いシグナルを相関分析によって組み合わせ、信頼度の高いアラートへとつなげる複合検知の仕組みも備えています。
すべての行動がGitHub上に痕跡を残す
WeizmanとWeinberger両氏による研究の中心的な発見は、標的となるプロジェクト同士に関連性がなくても、サプライチェーン攻撃はしばしば同じパターンを繰り返すという点です。
例えば、身元が侵害されていても、コミット自体からは明らかにならないことがあります。Gitのメタデータは改ざん可能であるため、攻撃者は作成者名、メールアドレス、タイムスタンプ、親コミットなどのメタデータを設定し、悪意あるコミットを正当なものに見せかけることができるからです。
しかし、GitHubはそのコミットをプッシュした認証済みユーザーを別途記録しています。
コミットの作成者と認証済みのプッシュ実行者が一致しない場合、それは防御側が調査すべき手がかりになると両氏は説明しています。さらに、分析の結果、攻撃者が同じ偽装身元を複数の被害者に対して使い回すケースもあることが判明しました。したがって、同じ作成者のメールアドレスをGitHub上で検索すれば、一見無関係に見えるインシデント同士を、より大規模なキャンペーンとして結びつける手がかりになる可能性があります。
「あるリポジトリ内の偽装身元が、他のリポジトリにも現れる場合、それは侵害の強力な兆候だ」と両氏は述べています。
今回の研究では、Trivy、tj-actions、Megalodon、TanStack、Red Hatを含む多くの攻撃で「メンテナー身元の偽装」が使われていたことが判明しています。
同じ原理に基づくもう一つの検知手法として、「大量タグ汚染」の追跡が挙げられます。大量タグ汚染とは、多数のリリースタグを悪意あるコミットへ強制的に付け替えることで、@v1のようなバージョン指定を使うワークフローが攻撃者の制御するコードを実行してしまう手口です。研究者らは、GitHub API経由でタグの履歴を追跡し、新旧のコミット参照を比較することで、この手口を見抜くことを推奨しています。
OIDCももう一つの手がかりになります。攻撃者は、長期間有効な認証情報を盗む代わりに、ワークフローを改変してクラウドやパッケージレジストリ向けの短期的な身元情報を発行させることがあります。OIDCトークンの発行を有効にする新規または変更されたワークフローを監視することが有効だと研究者らは述べています。
弱いシグナルを相関させて検知精度を高める
GitHub Threat Detectorは、EDRに似たパイプラインに従っています。活動を収集し、コンテキストで補強し、不審な挙動を検知し、その後調査・対応を行うというものです。取り込まれるシグナルには、リアルタイムのGitHub Webhook、APIイベント、コミット、タグ、Actionsの活動が含まれ、Gitの検査によってタグの来歴といった追加のコンテキストも提供されます。
さらに、PostgreSQLを基盤とした活動ストアが、時系列でイベントを相関分析するために必要な履歴を保持しています。
このツールは30種類を超える検知ルールを実装し、Trivy、TanStack、Megalodon、Bitwarden CLIの各インシデントの再現を含む52件の攻撃シミュレーションに対してテストを行いました。また、別途用意された「ノイズラボ」を使い、研究者らは検知の発生頻度と再現率を測定するとともに、許可リストの設定や重大度の調整を通じてルールのチューニングを行いました。
ただし、このシステムに欠点がないわけではありません。トレードオフとして、Webhookが無効化されている可能性があること、APIにレート制限がかかること、Gitの検査がリアルタイムでは行われないことなどが挙げられます。
