Supply Chain Security
サプライチェーンセキュリティは、ソフトウェアサプライチェーン（依存関係、ビルド、配布）を注入攻撃から守る。署名、ロックファイル、SBOM、再現可能ビルドを活用する。
目的
悪意ある依存関係やビルド成果物の注入を防ぎ、ソフトウェアの来歴を信頼できる状態に保つ。
メカニズム
ロックファイルは依存バージョンを固定する。依存監査（npm audit/Trivy）は脆弱性を検出する。署名済みイメージ（Cosign）は来歴を検証する。SBOM は全依存を列挙する。再現可能ビルドはビルドの完全性を検証する。SLSA フレームワークは成熟度を格付けする。
ユースケース
- 依存関係のセキュリティ
- イメージの署名
- SBOM を活用する