ベンダーの検出
アプリが実際に読み込むすべてのベンダー、ホスト、サービスを、実在する企業と製品に解決します。
インターネットサプライチェーン インテリジェンス
サプライチェーンの完全性
現代の Web アプリケーションは、他者から供給された部品を組み合わせて構築されるのが一般的です。1 回のページ読み込みが、数十社もの他社に静かに接続することがあります。アナリティクスプロバイダー、広告ネットワーク、フォントサービス、動画プレーヤー、チャットウィジェット、決済処理事業者、コンテンツ配信ネットワーク、不正検知サービスなどです。そのいずれもがサプライヤーです。そのいずれもが、データが外へ出ていきうる場所であり、自社が書いていないコードが実行される場所であり、他社のビジネスで起きた問題が自社の問題になる場所です。
そのサプライヤーの集合が、お客様のデジタルサプライチェーンです。そして多くの組織にとって、それは見えていません。サプライチェーンは、契約したベンダーだけではありません。自社で保守するコードと、その上に構築している技術統合パートナー、さらにそれらが読み込むすべてを含みます。
SCVue™ は、アプリケーション内部の技術的な依存関係を把握し、特定するためのものです。
コード、リソース、データ、実行時のネットワーク通信を調べることで、サイトやアプリが実際に何をしているのか、技術面とサードパーティ統合の両面で誰に依存しているのか、そしてサプライチェーンのどこからリスクが入り込むのかを把握できます。
ランタイム動作プロファイリング
コードが実際に行うこと。スクリプティング、トラッキング、フィンガープリンティング、送信ペイロードです。
リソースのベースライン化
すべてのリソースを SHA-256 でコンテンツアドレス化し、既知の信頼できるコードとして検証します。
継続的モニタリング
スケジュールされた再キャプチャーがあらゆる変化を検出し、動作が変わった瞬間にアラートを発します。
SCVue をご利用いただける方
個人、企業、政府機関、学術機関、研究者のために構築
SCVue は、幅広い専門分野と業界にわたって、包括的かつ継続的なモニタリングを実施する個人と組織を支援します。自社のアプリケーションや社内ポータルを管理する組織にとって堅牢なツールであり、サードパーティベンダーに部分的に依存する場合でも全面的に依存する場合でも、統合プロバイダーを同じように十分に支援します。
デューデリジェンスサービス提供者
審査、リスク評価、身元調査とスクリーニング、監査とレビュー。
自社サプライチェーンの脆弱性
依存する技術製品やソフトウェア製品と、それらに影響を与える人々にわたり、人、知識、金融、デジタル、物理という 5 つのサプライチェーン区分すべてを対象とします。
他社アプリケーションの評価
提携や買収の可能性、競合分析、脆弱性、依存関係の把握のために。
詳細調査と競合分析
測定は外部から行われ、ソースコードもインストールも不要です。企業から委託された業務でも、独立して実施する業務でも同じです。
公共向けポートフォリオ
公共領域にサービスを提供する複数のサイトを管理または監督する組織。
個人と企業
Web ベース製品の信頼性を検証します。
法務、コンプライアンス、監査担当
契約条件、GDPR、フローダウン条項、法域への準拠。
ソフトウェアベンダー
サードパーティ依存関係を把握し文書化する、SBOM 形式の作業。
テスターと PENTEST チーム
サービスと動作が設計・開発どおりに実行されていることを検証します。
リスク管理者
技術サプライチェーンにおけるサードパーティリスクを理解します。
実現の仕組み
1 回のキャプチャーから検出し、可視化する
すべての HTTP リクエストにリスク要因分析を
- 単一の尺度: 10 個の解析エンジンが High、Warning、Info に集約され、各検出結果はそのレポートへ直接リンクされます。
- コードのリスク: CSP と SRI の弱点、HTTPS のダウングレード、実行時のコード生成、フェッチしたコードをそのまま実行するパターン。
- トラッキングのリスク: Web ビーコン、トラッキングパラメーター、メディアおよび POST トラフィックにおけるフィンガープリンティング。
- 証拠のみ: キャプチャーしたコードとトラフィックから導出し、ビルドマニフェストは用いません。
すべてのリクエストを透視し、すべての送信データフローを地図化
- すべてのペイロード: アプリケーションが外部へ送信する内容を、呼び出しごとにデコードして確認します。
- 自動フラグ付け: デバイスフィンガープリンティング、個人情報、クロスサイトおよびセッションのトラッキング、行動ログ。
- データフローの地図化: どのサービスプロバイダーが、アプリケーションとユーザーに関するデータを受け取っているのかを正確に把握できます。
すべてのリソースの背後にいる主体を明らかにする
- 実在する主体: エンリッチメントにより、観測されたドメインを企業、ソフトウェア製品、個人に解決します。
- 影響力要因: 当事者そのものに対するフラグ。所有、支配、制裁、法域。
- 詳細インテリジェンス: nDiligence のプロファイルに裏付けられ、オンデマンドの拡張レポートとアナリストによる調査を利用できます。
インフラ、ホスティング、法域を地図化
- 完全なインベントリー: ドメイン、ホスト名、IP、ISP、クラウドプロバイダー、CDN、SSL 証明書。
- 自動的な帰属判定: パターンエンジンが CDN とクラウドプロバイダーの利用を特定します。
- 法域の地図化: 地理情報と ASN の解決により、データがどこに保存され、どこから配信されているかを示します。
他との違い
SCVue™ を際立たせるのは、キャプチャーしたコードとトラフィックに基づく証拠ベースのアプローチです
視野を狭めることなく、アプリケーションが期待どおりに動作していることを確認するという意図をもって構築されています。比較モデリング、ベンダー検出、継続的モニタリング、影響力要因のフラグ付けを備えた、10 個の解析エンジンによるプロセスがあります。このうち 1 つか 2 つだけを実施しても、将来に死角を残すことになります。
主張ではなく証拠
マニフェストの宣言ではなく、コードとトラフィックが実際に行うと観測された内容を報告します。
3 つの独立した軸
任意のレポートを、時間、キャプチャーのコンテキスト、ページの各軸で比較できます。
リスク要因と影響力要因
そのコードにリスクはあるか。背後の当事者にフラグは立っているか。
プライバシー・バイ・デザイン
ローカルのプライベートワークスペースが、すべてのデータをブラウザー内に保持します。クラウドストレージが受け取るのは、POST ペイロードから PII を除去したデータのみです。
始め方
1 回のキャプチャーから始められます
Community エディションでの開始は簡単です。ニーズがさらに広がったとき、より難しい課題を解決したいとき、あるいは大規模な組織を支援する必要があるときには、柔軟な選択肢をご用意しています。高度な技術オプションだけでなく、最も困難な課題に対するリーチバック支援もご提供します。
キャプチャー
HAR キャプチャーをインポートするか、世界各都市の実機ブラウザーからスクリプト操作付きで SCVue にリモートキャプチャーさせます。
解析と正規化
アプリ、バージョン、コレクション、ビュー、呼び出しにわたる、重複を排除した単一のデータモデル。
分析
10 個のエンジンが、コード、トラフィック、ペイロード、メディア、エンティティ、インフラをプロファイリングします。
レポートとモニタリング
包括的なアナリストツールキットにおけるダッシュボード、ベースライン、差分、アラート。
アプリケーションのデジタルサプライチェーンを明らかにし、監視する
Community で無料で始めるか、お客様のポートフォリオを対象としたガイド付きデモをご依頼ください。
SCVue は nDiligence が開発し、自社の調査でも使用しています。SCVue は測定をお客様の手に委ねます。キャプチャーだけでは答えきれない問いが生じたときは、Digital Supply Chain と Equity Chain Mapping がさらに踏み込みます。