「tj-actions/changed-files」サプライチェーン攻撃（CVE-2025-30066）の検知と緩和

Cloud Detection & Responseによる検知

FalcoやSysdig Secureのようなツールは、実行中の攻撃を検知するのに有効です。

• ランタイム監視：
  • Sysdig Secureは、メモリスキャン活動に対する即時利用可能な検知を提供します。たとえば、Sysdig Runtime Behavioral Analysisポリシー内の「Dump Memory using /proc/ Filesystem」ルールです。

• Falco検知ルール：
  curlやwgetのようなコマンドからパイプで渡されたbase64エンコードデータを、base64でデコードする動作を能動的に検知するには、以下のルールを使用してください：

- rule: Inline Base64 Execution by Wget/Curl  
desc: このルールは、パイプ入力とともにbase64が使用されていることを検知します。これは攻撃者が悪意あるペイロードをデコードしている兆候である可能性があります。  
condition: > 
    spawned_process and proc.name=base64 and proc.stdin.type=pipe and proc.pgid.name in (wget, curl)  
output: >
    stdinがパイプされた状態でbase64が実行されました。親プロセスは%container.name上の%proc.pname、ユーザーは%user.name（proc.name=%proc.name proc.exepath=%proc.exepath proc.pname=%proc.pname proc.pcmdline=%proc.pcmdline gparent=%proc.aname[2] ggparent=%proc.aname[3] gggparent=%proc.aname[4]  image=%container.image.repository user.name=%user.name user.loginuid=%user.loginuid proc.cmdline=%proc.cmdline fd.name=%fd.name container.id=%container.id evt.type=%evt.type evt.res=%evt.res proc.pid=%proc.pid proc.cwd=%proc.cwd proc.ppid=%proc.ppid proc.sid=%proc.sid user.uid=%user.uid user.loginname=%user.loginname group.gid=%group.gid group.name=%group.name container.name=%container.name)  
priority: WARNING

Falco Actionsの統合

Falco Actionsは、CI/CDワークフローをリアルタイムで監視し、潜在的な脅威を検出するオープンソースプロジェクトです。不正なネットワーク接続やファイルアクセスなどの不審な活動を検知できます。GitHub Actionsのワークフローに組み込む方法は次のとおりです。

jobs:
  foo:
    runs-on: ubuntu-latest
permissions:
      contents: read
actions: read
steps:
    - name: Falcoを開始
uses: falcosecurity/falco-actions/start@<commit-sha>
with:
        mode: live
        falco-version: '0.39.0'verbose: true    # ...
    # ここにあなたのステップを追加
    # ...
    - name: Falcoを停止
uses: falcosecurity/falco-actions/stop@<commit-sha>
with:
        mode: live
verbose: true