セキュリティと挙動
実行が始まったあと、 コードが本当に行うこと
アプリケーションが宣言している防御と、実際に示している挙動を並べて提示します。ランタイムのスクリプト処理、CSP、SRI、ブラウザの権限、そして選んだのではなく引き継いだコンポーネントに公表されている脆弱性です。
1つのページが1本の分析スクリプトを読み込み、そのスクリプトが別の場所からさらに3本を読み込み、そのうちの1本が、検査可能なファイルのどこにも現れないコードを組み立てて実行します。そのいずれも、契約書にも、インベントリにも、自社リポジトリのレビューにも現れません。このセクションはその連鎖を追跡し、宣言された内容の弱点を指摘し、適切に構成されている点を評価します。
統合レポート
-
セキュリティ検出結果
CSP、整合性の宣言、標準的なセキュリティヘッダーから導き出された構成上の問題を、それぞれ重大度と、なぜ重要なのかの説明とともに示します。このサイトは適切に設定されているかに答えるレポートであり、行動に移せるように記述されています。各検出結果は、単に何かが欠けているという指摘ではなく、それについて何をすべきかを述べます。
-
ランタイムスクリプティング
どのスクリプトがどのスクリプトを、どのような手段で読み込んだのか、そしてそれぞれの関連付けの証拠を、フロー図と詳細テーブルの両方で示します。製品内で最も技術的に深いレポートであり、検査可能なファイルのどこにも現れない連鎖が見えるようになる場所です。
-
CSP
コンテンツセキュリティポリシーは、何を読み込み実行してよいかについてサイトがブラウザに与える指示の集合であり、挿入されたコードに対する単独で最も効果的な防御です。見つかったすべてのポリシーを、そのディレクティブとともに完全な形で目録化し、重要な弱点にフラグを立て、適切に行われている点は見落としとして放置するのではなく良い点として評価します。
-
SRI
サブリソース整合性は、外部から読み込まれるファイルに付与されるフィンガープリントです。ブラウザはファイルをそれと照合し、一致しなければ実行を拒否します。サプライヤーのファイルが、サプライヤー自身によって、あるいはサプライヤーに到達した攻撃者によって改変されることに対する、まさにそのための防御です。サプライチェーン侵害の多くは正規のファイルが静かに置き換えられるというものであり、このレポートは、自社の外部ファイルのうちどれが未検証なのかに直接答えます。
-
権限
アプリケーションが自身のため、およびサプライヤーのためにブラウザへ要求する権限を、カメラやマイクから位置情報、クリップボードまで示し、サードパーティによる要求を強調します。サプライヤーのスクリプトがマイクを要求することは、自社のアプリケーションがそれを要求することとは実質的に異なる事実であり、このレポートは両者を分けて扱います。
-
サイバー脆弱性
アプリケーションが依存するサードパーティソフトウェアの既知の弱点です。SCVueは連鎖内のライブラリとバージョンを特定し、公表されている脆弱性データと照合したうえで、何が影響を受けるのかと、問題を解消するバージョンを報告します。結果は集約されるため、自社はこれにさらされているのかという問いに、アプリケーション1件ずつではなくポートフォリオ全体について答えられます。