OpenSSF、悪意あるOSSパッケージを検出する「Package Analysis」プロジェクトを発表：1カ月の分析で200以上の悪意あるパッケージを特定

OpenSSFは、OSSリポジトリに含まれる悪意あるパッケージを特定するという課題に取り組む「Package Analysis」プロジェクトの最初のプロトタイプ版を発表した。

[＠IT]

　Open Source Security Foundation（OpenSSF）は2022年4月28日（米国時間）、人気のあるオープンソースソフトウェア（OSS）リポジトリに含まれる悪意あるパッケージを特定するという課題に取り組む、「Package Analysis」プロジェクトの最初のプロトタイプ版を発表した。このプロジェクトでの1カ月の分析によって、「PyPI」「npm」にアップロードされた200以上の悪意あるパッケージを特定したとしている。

　OpenSSFは、OSSを通じたイノベーション促進を目指す非営利組織Linux Foundationのプロジェクトだ。オープンソースエコシステムの安全性を高めるために業界を超えたコラボレーションを行う。

Package Analysisとは

　Package Analysisは、OSSリポジトリで公開されているパッケージの挙動と機能（「どのファイルにアクセスするか」「どのアドレスに接続するか」「どのコマンドを実行するか」など）を理解することを目指している。「パッケージの挙動が時間とともにどのように変化するか」を追跡し、以前は安全だったソフトウェアが不審な動作を始めた時期の特定にも取り組む。

　このプロジェクトは、悪意ある挙動を検出し、パッケージを選択する消費者に情報を提供し、研究者にエコシステムに関するデータを提供することで、OSSのセキュリティを高めることを目的としている。以前から開発されていたが、当初の経験を踏まえた広範な変更を経て、ようやく最近になって実用性を備えるようになってきた。

悪意あるパッケージは具体的に何をするのか？