#Security #Continuous Integration LayerX のコーポレートエンジニアリング室（アプリケーショングループ）による、ソフトウェアサプライチェーン攻撃対策の運用事例（2026-02 の発表）。使う技術を絞り、少人数でもスケールする状態を目指す。 依存を pin する: lockfile（pnpm-lock.yaml・go.sum）に加え、GitHub Actions の pinning を CI で強制。org ruleset の require workflows で org 全体に共有 workflow を適用し、その共有 workflow で pinact を実行して未 pin の action を検知。Docker イメージは sha256、CI/CD ツールは aqua で checksum 検証 cooldown: リリースから N 日以内のパッケージを入れない（pnpm・Renovate の minimumReleaseAge、Dependabot の cooldown.default-days）。security fix のみ人間確認後に minimumReleaseAgeExclude で除外 まとめ: 迅速な修正・pinning・cooldown に加え、検知・遮断・影響範囲の局所化も併せて進める https://speakerdeck.com/yuyatakeyama/supply-chain-security-at-layerx-corporate-engineering

#Security #Continuous Integration GitHub リポジトリのメンテナーが今すぐ有効化すべき 6 つの無料セキュリティ設定をまとめた GitHub Blog 記事。 SECURITY.md: 脆弱性報告の窓口をリポジトリに明示し、公開 Issue でのゼロデイ漏洩を防ぐ プライベート脆弱性レポート: セキュリティ研究者が非公開で Advisory を提出できる。開示タイミングをメンテナーが制御 Secret scanning + push protection: API キー・トークンの push 前ブロック Dependabot + dependency review: 依存の既知脆弱性をアラートし、PR レビュー画面でセキュリティ情報を表示 Code scanning: PR ごとに SAST を自動実行、SQL インジェクション・コマンドインジェクション等を検出。結果は SARIF 形式で Security タブに集約 Branch protection: デフォルトブランチへの直接 push を禁止し PR 承認を必須化。require status checks と組み合わせ safe-settings で組織全体に適用可 https://github.blog/security/6-security-settings-every-github-maintainer-should-enable-this-week/ ブログ

#Security GitHub が管理するオープンソース脆弱性の公開データベース。GitHub は CVE Numbering Authority (CNA) として CVE ID を採番し、GHSA 形式でキュレーションしたアドバイザリを Dependabot アラートに提供する。 キュレーション: パッケージ名の名寄せ、影響バージョン範囲の再構築、fix の確認、複数エコシステムにまたがる advisory の調整 CVSS 3.1 / 4.0 と CWE による severity 分類 https://github.com/advisories