依存関係も信頼対象
crate、ビルドツール、CI設定、配布物、開発者アカウントまで、開発から配布の経路全体が信頼対象です。
管理項目
依存crateの名前・バージョン・取得元、Cargo.lock、脆弱性情報、保守状況、ライセンス、CI権限・トークン、成果物の出所と完全性を確認します。
防御策
依存を最小化し、更新差分をレビューします。CI権限を最小化し、秘密情報をログや成果物へ含めず、署名やチェックサムで完全性を確認します。
リスク評価
脆弱性の数値だけで判断せず、該当機能を使うか、外部到達可能か、回避策や修正版があるかを評価します。
演習
依存関係一覧の更新・削除・継続利用の判断基準を作り、脆弱性、保守状況、ライセンス、利用機能、代替、更新テストを含めてください。