인터넷 공급망
인텔리전스

고객사의 애플리케이션 내부에서 작동하는 인터넷 공급망을 밝힙니다.
현대의 웹 애플리케이션은 수십 곳의 서드파티 벤더가 제공하는 코드, 미디어, 데이터로 런타임에 스스로를 조립하며, 그 대부분은 소유자에게 보이지 않고 사용자에게는 전혀 보이지 않습니다. SBOM과 벤더 설문은 무엇이 불러와져야 하는지를 기술합니다. SCVue™는 사실을 보여줍니다. 모든 벤더, 모든 리소스, 모든 외부 전송 페이로드를 캡처하여 증거로 분석합니다.
SCVue 대화형 공급망 그래프입니다. 중심에 하나의 소스 도메인이 있고, 단일 페이지 로드에 대한 퍼스트파티와 서드파티 관계가 바깥쪽으로 뻗어 나갑니다.

SCVue™가 답하는 근본적인 질문입니다. “이 웹사이트와 그 내용을 제작자가 의도한 것과 일치한다고 신뢰할 수 있는가, 아니면 조작이나 영향에 취약한가?”

공급망 무결성

고객사의 애플리케이션 내부에 있는 공급업체

현대의 웹 애플리케이션은 대개 다른 사람이 제공한 부품으로 조립됩니다. 단 한 번의 페이지 로드가 조용히 수십 개의 다른 회사에 도달할 수 있습니다. 분석 제공업체, 광고 네트워크, 폰트 서비스, 동영상 플레이어, 채팅 위젯, 결제 처리업체, 콘텐츠 배포 네트워크, 부정 탐지 서비스입니다. 그 하나하나가 공급업체입니다. 그 하나하나가 데이터가 나갈 수 있는 곳이고, 직접 작성하지 않은 코드가 실행될 수 있는 곳이며, 다른 사람의 사업에서 생긴 문제가 고객사의 문제가 되는 곳입니다.
그 공급업체의 집합이 고객사의 디지털 공급망이며, 대부분의 조직에서 그것은 보이지 않습니다. 고객사의 공급망은 계약한 벤더만이 아닙니다. 직접 유지관리하는 코드와 그 위에 구축한 기술 연동 파트너, 그리고 그들이 다시 불러오는 모든 것을 함께 포함합니다.

SCVue™는 고객사의 애플리케이션 내부에 있는 기술 의존 관계를 파악하고 식별하는 일입니다. 그 코드, 리소스, 데이터, 런타임 네트워크 통신을 살펴봄으로써 고객사의 사이트와 애플리케이션이 실제로 무엇을 하는지, 기술 측면과 서드파티 연동 측면 양쪽에서 무엇에 의존하는지, 그리고 리스크가 공급망에 어디로 들어오는지를 볼 수 있습니다.

벤더 발견
애플리케이션이 실제로 불러오는 모든 벤더, 호스트, 서비스를 실재하는 회사와 제품으로 해석합니다.
런타임 동작 프로파일링
코드가 실제로 하는 일입니다. 스크립팅, 추적, 핑거프린팅, 외부 전송 페이로드입니다.
리소스 기준선 설정
모든 리소스를 SHA-256으로 콘텐츠 주소화하고 알려진 신뢰할 수 있는 코드로 검증합니다.
지속적 모니터링
예정된 재캡처가 모든 변화를 탐지하고 동작이 달라지는 순간 알림을 올립니다.
SCVue를 쓸 수 있는 곳

개인, 기업, 정부, 학계, 연구자를 위해 만들었습니다

SCVue는 사람과 조직이 폭넓은 전문 분야와 산업에 걸쳐 종합적이고 지속적인 모니터링을 수행하도록 돕습니다. 자체 애플리케이션과 내부 포털을 관리하는 조직에게 견고한 도구이며, 서드파티 벤더에 부분적으로 의존하든 전적으로 의존하든 연동 제공업체도 똑같이 충분히 지원합니다.
실사 서비스 제공업체
검증, 리스크 평가, 신원 조회와 스크리닝, 감사와 검토입니다.
자체 공급망의 취약점
의존하는 기술과 소프트웨어 제품, 그리고 그에 영향을 미치는 사람에 걸쳐, 공급망의 다섯 가지 부류 전체를 다룹니다. 인적, 지식, 금융, 디지털, 물리적 공급망입니다.
다른 회사의 애플리케이션 평가
제휴 가능성, 인수, 경쟁 분석, 취약점, 또는 의존 관계를 위한 것입니다.
심층 조사와 경쟁 분석
측정은 바깥에서 이루어지며, 소스 코드도 설치할 것도 필요하지 않습니다. 그 회사가 의뢰한 작업이든 독자적으로 수행하는 작업이든 마찬가지입니다.
공개를 전제로 한 포트폴리오
공공 영역에 서비스를 제공하는 여러 사이트를 관리하거나 감독하는 조직입니다.
개인과 기업
웹 기반 제품의 신뢰성을 검증하는 것입니다.
법무, 컴플라이언스, 감사인
계약 조건, GDPR, 전가 조항, 관할권에 대한 준수입니다.
소프트웨어 벤더
서드파티 의존 관계를 파악하고 문서화하는 일, 즉 SBOM 방식의 작업입니다.
테스터와 침투 테스트 팀
서비스와 동작이 설계하고 개발한 대로 실행되는지 검증하는 것입니다.
리스크 관리자
기술 공급망의 서드파티 리스크를 이해하는 것입니다.
어디에 해당하는지 확인하십시오
당사 솔루션 페이지에 이러한 업무가 어떻게 진행되는지, 그리고 각각의 산출물이 어떤 것인지가 정리되어 있습니다.
차별점

SCVue™를 특별하게 만드는 것은 증거에 기반한 접근법입니다

애플리케이션이 기대대로 작동하는지를 시야를 좁히지 않고 확인하기 위해 의도를 가지고 만들었습니다. 당사는 비교 모델링, 벤더 발견, 지속적 모니터링, 영향력 요인 표시를 포함하는 열 개의 분석 엔진으로 이루어진 공정을 갖추고 있습니다. 이 가운데 하나 또는 두어 개만 수행하면 앞으로 맹점을 남길 수 있습니다.
주장이 아니라 증거
매니페스트가 선언하는 것이 아니라, 코드와 트래픽이 하는 것으로 관측된 바를 보고합니다.
첫 홉이 아니라 사슬 전체
페이지가 태그를 불러오고, 태그가 스크립트를 불러오고, 그 스크립트가 아무도 벤더 목록에 올리지 않은 서비스를 호출합니다. SCVue는 그 전부를 따라갑니다.
세 개의 독립된 축
어떤 보고서든 시간, 캡처 맥락, 페이지에 걸쳐 비교할 수 있습니다.
리스크와 영향력 요인
그 코드는 위험한가? 그 배후의 당사자에게 표시가 붙어 있는가? 두 가지 질문에 함께 답합니다.
프라이버시 중심 설계
로컬의 비공개 작업 공간이 모든 데이터를 브라우저 안에 유지합니다. 클라우드 저장소는 POST 페이로드에서 PII를 제거한 데이터만 받습니다.
방법론

SCVue가 작동하는 방식

캡처 한 번으로 시작할 수 있습니다.

01

캡처
HAR 캡처를 가져오거나, SCVue가 전 세계 여러 도시의 실제 기기에서 실제 브라우저로 원격 캡처를 수행하게 할 수 있습니다. 스크립트로 제어하는 조작도 함께 가능합니다.

02

파싱과 정규화
애플리케이션, 버전, 컬렉션, 뷰, 호출에 걸친 하나의 중복 제거된 데이터 모델입니다.

03

분석
열 개의 엔진이 코드, 트래픽, 페이로드, 미디어, 엔티티, 인프라를 프로파일링합니다.

04

보고와 모니터링
종합적인 분석가 툴킷 안의 대시보드, 기준선, 델타, 알림입니다.
플랫폼

한 번의 캡처. 그것으로 알 수 있는 모든 것.

모든 요청, 모든 파일, 모든 서버, 모든 쿠키를 한 번 기록하고 마흔 가지가 넘는 각도에서 검토합니다.
다양한 캡처 시나리오
사이트는 기기, 위치, 브라우저에 따라 다른 코드, 다른 추적기, 다른 서드파티 라이브러리를 제공합니다. 캡처 계획은 매번 같은 브라우저 조작을 재현하고, 기기 프로필은 사이트가 어떤 기기에 제공하고 있다고 여기는지를 정하며, 위치는 세션이 어디에서 접속하는지를 정합니다.
실시간 검증과 SBOM 생성
리소스가 불러와질 때 각 응답 본문을 SHA-256으로 해시하고 단일 진실 공급원 레지스트리와 대조하여 검증하며, 알려진 코드를 소프트웨어, 버전, 벤더, 출처로 식별합니다. SCVue는 실제로 불러와지는 것으로 관측된 바에서 SBOM을 구축하고, 선언된 CycloneDX 또는 SPDX SBOM을 그것과 대조하므로 섀도 의존 관계가 즉시 드러납니다.
지속적 모니터링
캡처는 그것을 취득한 시점을 기술합니다. 기준선이 확립되면 예정된 재캡처를 그것과 비교하여 델타를 산출하고, 모든 변화가 원래 기록으로 직접 연결되는 알림을 올립니다.
포트폴리오 규모
애플리케이션은 고객사가 설계한 방식대로 부서, 사업부, 리스크 책임자, 고객 단위로 묶이며, 모든 집계 보고서가 그에 맞추어 다시 묶입니다. 제공업체 데이터는 한데 모이므로, 한 공급업체에 대해 알게 된 것이 그 공급업체와 접하는 다른 모든 애플리케이션에 그대로 이어집니다.
비공개 작업 공간과 클라우드 작업 공간
비공개 작업 공간은 모든 데이터를 클라이언트 기기에 유지합니다. 클라우드 작업 공간은 팀 접근, 기기 간 작업, 서버에서 실행하는 모니터링을 더하며, 도착하는 것은 언제나 제거를 마친 데이터뿐입니다. PII 제거는 승격 시 클라이언트 측에서 실행되고 서버가 다시 검증하여 제거되지 않은 페이로드를 거부합니다.
증거와 내보내기
모든 발견 사항은 그것을 만들어낸 네트워크 호출로 되돌아가 연결되며, 주소, 헤더, 내용, 타임스탬프가 함께 붙습니다. 모든 보고서는 필터가 선택한 모든 행과 함께 내보낼 수 있고, 시각 보고서는 이미지로 내보내며, 필터 선택은 페이지 주소에 담기므로 어떤 시점이든 북마크하거나 동료에게 보낼 수 있습니다.
분석가 툴킷

여덟 개의 보고서 섹션

여덟 개의 섹션에 걸친 마흔일곱 개의 보고서를 한 번의 캡처에서 만들어내며, 모든 발견 사항이 그것이 비롯된 증거로 직접 연결됩니다.
개요
포트폴리오 대시보드, 리스크 요인, 공급망 지도, 시간에 따른 변화, 모니터링입니다.
트래픽과 요청
애플리케이션이 네트워크에서 무엇을 했는지에 대한 원시 기록입니다.
자산
애플리케이션이 불러온 모든 것을 그것이 어떤 종류인지에 따라 정리한 것입니다.
인프라와 호스팅
트래픽 배후의 물리적이고 기업적인 실제입니다. 누구의 서버이고, 누구의 네트워크이며, 어디인지입니다.
데이터 흐름과 관할권
정보가 어디로 가고, 어디에 머무르며, 누구의 법이 그것을 규율하는지입니다.
보안과 동작
애플리케이션이 스스로를 방어하도록 구성되어 있는지, 그리고 그 코드가 실행되면 무엇을 하는지입니다.
엔티티와 벤더
기술 배후에 있는 현실의 기업, 사람, 제품입니다.
참조와 노출
실제로 접촉했는지 여부와 무관하게, 파일 안에 이름이 오른 모든 것입니다.
질문

SCVue가 답할 수 있는 질문

시간이 지나면서 애플리케이션에 영향을 미치는 서비스와 벤더의 망이 리스크가 될 수 있으며, 그것은 단기간에 대응하기 쉬운 리스크가 아닙니다.
우리는 사용자의 데이터를 실제로 누구에게 보내고 있는가?
벤더 계약서에 적힌 상대가 아닙니다. 측정한 그날 브라우저가 실제로 접촉한 상대입니다.
이 가운데 가서는 안 되는 곳으로 가는 것이 있는가?
SCVue는 관련된 서버의 물리적, 법적 위치를 식별하므로, 트래픽이 고객사가 중요하게 여기는 국경을 넘을 때나 고객사의 의무를 바꾸는 관할권에 도달할 때를 볼 수 있습니다.
거래가 허용되지 않는 회사에 우리가 노출되어 있는가?
SCVue는 트래픽을 기업, 그 소유자, 그 제재 상태, 그리고 그에 결부된 영향력 요인으로 이루어진 선별된 인텔리전스 카탈로그와 대조합니다.
무언가 바뀌었는가?
공급업체는 알리지 않고 자신의 코드를 바꿉니다. SCVue는 기준선을 캡처하고 이후의 캡처를 그것과 비교하므로, 예고 없는 서드파티 스크립트의 변경이 보이지 않는 사건이 아니라 보이는 사건이 됩니다.
우리가 그것을 증명할 수 있는가?
모든 발견 사항은 기록된 특정 네트워크 호출까지 되짚어 갈 수 있으며, 그 주소, 응답, 내용, 타임스탬프가 함께 붙습니다. 모든 것을 증거로 내보낼 수 있습니다.
실제 화면

단 한 번의 캡처에서 발견하고 시각화합니다

아래의 모든 화면은 실제 캡처를 분석한 것이며 모형이 아닙니다.

모든 HTTP 요청에 대한 리스크 요인 분석

  • 하나의 척도. 열 개의 분석 엔진이 높음, 경고, 정보로 집계되며, 각 발견 사항이 그 보고서로 직접 연결됩니다.
  • 코드 리스크. CSP와 SRI의 약점, HTTPS 강등, 런타임 코드 생성, 가져와서 실행하는 패턴입니다.
  • 추적 리스크. 웹 비콘, 추적 파라미터, 그리고 미디어와 POST 트래픽 안의 핑거프린팅입니다.
  • 증거만. 캡처한 코드와 트래픽에서 도출하며, 빌드 매니페스트에서 도출하지 않습니다.
SCVue 리스크 요인 보고서입니다. 높음, 경고, 정보로 등급을 매긴 발견 사항을 각각의 범주, 상세, 발신 호스트, URL과 함께 보여줍니다.
단일 애플리케이션에 대한 발견 사항이며, 각각이 그 증거에 연결되어 있습니다.

모든 요청을 투시하고 모든 외부 전송 데이터 흐름을 매핑합니다

  • 모든 페이로드. 애플리케이션이 밖으로 전송하는 것을 호출 하나하나 해독하여 살펴봅니다.
  • 자동 표시. 기기 핑거프린팅, 개인 정보, 사이트 간 추적과 세션 추적, 동작 기록입니다.
  • 데이터 흐름 매핑. 어느 서비스 제공업체가 고객사의 애플리케이션과 사용자에 관한 데이터를 받는지 정확히 확인합니다.
SCVue HTTP POST 보고서입니다. 페이로드를 전송한 모든 호출을 열거하고, 상세 패널이 하나의 페이로드를 해독하여 기기 핑거프린팅과 추적 동작에 표시를 붙입니다.
한 페이지의 POST 호출이며, 기기 핑거프린팅으로 표시가 붙은 것을 따로 드러냈습니다.

모든 리소스의 배후에 있는 것이 누구인지 드러냅니다

  • 실재하는 엔티티. 보강 처리가 관측된 도메인을 기업, 소프트웨어 제품, 개인으로 해석합니다.
  • 영향력 요인. 당사자 자체에 붙는 표시입니다. 소유, 지배력, 제재, 관할권입니다.
  • 심층 인텔리전스. nDiligence 프로필이 뒷받침하며, 요청에 따른 확장 보고서와 분석가 조사도 제공합니다.
SCVue 엔티티 보고서입니다. 관측된 도메인을 그것을 운영하는 기업으로 해석하고 각각의 국가, 범주, 역할을 함께 보여줍니다.
하나의 애플리케이션 배후에서 운영하는 기업을 국가와 역할별로 정리한 것입니다.

인프라, 호스팅, 관할권을 매핑합니다

  • 완전한 목록. 도메인, 호스트명, IP, ISP, 클라우드 제공업체, CDN, SSL 인증서입니다.
  • 자동 귀속. 패턴 엔진이 CDN과 클라우드 제공업체의 사용을 식별합니다.
  • 관할권 매핑. 지리 정보와 ASN 해석이 데이터가 어디에 저장되고 어디에서 제공되는지 보여줍니다.
SCVue 호스트명 매트릭스입니다. 캡처에서 관측된 모든 호스트명을 그 CDN 귀속, IP 주소, 총 호출 수, 그것이 제공한 콘텐츠 유형의 구성과 함께 열거합니다.
호스트당 CDN 귀속, IP, 자산 구성을 담은 호스트명 매트릭스입니다.

SCVue는 고객사의 디지털 벤더를 발견합니다

고객사의 애플리케이션에서 사용되는 모든 제공업체와 서비스를 드러내고 문서화합니다. 고객사의 애플리케이션 데이터의 처리와 저장에 권한을 가진 모든 관할권과 준거법을 캡처한 증거로 증명하여 식별하십시오.
하나의 애플리케이션과 그 배후의 벤더 망입니다. 그 도메인과 호스팅이 각각 여러 계층의 벤더로 열리며, 그 벤더는 늘어나면서 화면 바깥으로 흐려집니다. 그러면서도 그 데이터 흐름에서 관할권과 준거법까지 명확한 경로가 남아 있습니다.
SCVue는 nDiligence가 만들었으며, nDiligence는 자체 조사에 그것을 사용합니다. 에디션, 가격, 무료 Community 계정은 scvue.com에 있습니다. SCVue는 측정을 고객사의 손에 맡기며, 질문이 한 번의 캡처를 넘어설 때는 디지털 공급망과 소유권 사슬 매핑이 그것을 더 멀리 가져갑니다.