高校3年生がセキュリティ・キャンプの応募答案を公開、Dockerイメージを小さくすると脆弱性アラートが50件から14件に(zenn.dev)

- 日本のセキュリティ人材育成プログラム、セキュリティ・キャンプ2026に応募した際の答案を、高校3年生が記事として公開した。筆者はプロダクトセキュリティクラスを修了し、答案の作成は5月 11日だったと明かした。 - サプライチェーン攻撃の設問では、npmパッケージ管理者のアカウントとトークンが破られ、正規のパッケージに悪意あるコードが混入した事例を扱う。感染した環境で認証情報が盗まれ、他のパッケージへ広がる流れを説明した。 - 対策として、ワークフロー変更時のコードレビュー、デフォルトで読み取り専用の権限、コミットハッシュの固定、短期トークン(OIDC)の利用を提案する。侵害時の対応手順もあらかじめ決めておくべきだと書いた。 - 筆者がGoアプリのDockerfileをマルチステージビルド(ビルド用と実行用のイメージを分ける方式)に変えたところ、Trivyスキャンのアラートが50件から14件になった。残ったアラートも、実行時に使われるかどうかなどを確認して優先順位を付ける必要があると述べた。