현대의 웹 애플리케이션은 수십 곳의 서드파티 벤더가 제공하는 코드, 미디어, 데이터로 런타임에 스스로를 조립하며, 그 대부분은 소유자에게 보이지 않고 사용자에게는 전혀 보이지 않습니다. SBOM과 벤더 설문은 무엇이 불러와져야 하는지를 기술합니다. SCVue™는 사실을 보여줍니다. 모든 벤더, 모든 리소스, 모든 외부 전송 페이로드를 캡처하여 증거로 분석합니다.
SCVue™가 답하는 근본적인 질문입니다. “이 웹사이트와 그 내용을 제작자가 의도한 것과 일치한다고 신뢰할 수 있는가, 아니면 조작이나 영향에 취약한가?”
공급망 무결성
고객사의 애플리케이션 내부에 있는 공급업체
현대의 웹 애플리케이션은 대개 다른 사람이 제공한 부품으로 조립됩니다. 단 한 번의 페이지 로드가 조용히 수십 개의 다른 회사에 도달할 수 있습니다. 분석 제공업체, 광고 네트워크, 폰트 서비스, 동영상 플레이어, 채팅 위젯, 결제 처리업체, 콘텐츠 배포 네트워크, 부정 탐지 서비스입니다. 그 하나하나가 공급업체입니다. 그 하나하나가 데이터가 나갈 수 있는 곳이고, 직접 작성하지 않은 코드가 실행될 수 있는 곳이며, 다른 사람의 사업에서 생긴 문제가 고객사의 문제가 되는 곳입니다.
그 공급업체의 집합이 고객사의 디지털 공급망이며, 대부분의 조직에서 그것은 보이지 않습니다. 고객사의 공급망은 계약한 벤더만이 아닙니다. 직접 유지관리하는 코드와 그 위에 구축한 기술 연동 파트너, 그리고 그들이 다시 불러오는 모든 것을 함께 포함합니다.
SCVue™는 고객사의 애플리케이션 내부에 있는 기술 의존 관계를 파악하고 식별하는 일입니다. 그 코드, 리소스, 데이터, 런타임 네트워크 통신을 살펴봄으로써 고객사의 사이트와 애플리케이션이 실제로 무엇을 하는지, 기술 측면과 서드파티 연동 측면 양쪽에서 무엇에 의존하는지, 그리고 리스크가 공급망에 어디로 들어오는지를 볼 수 있습니다.
벤더 발견
애플리케이션이 실제로 불러오는 모든 벤더, 호스트, 서비스를 실재하는 회사와 제품으로 해석합니다.
런타임 동작 프로파일링
코드가 실제로 하는 일입니다. 스크립팅, 추적, 핑거프린팅, 외부 전송 페이로드입니다.
리소스 기준선 설정
모든 리소스를 SHA-256으로 콘텐츠 주소화하고 알려진 신뢰할 수 있는 코드로 검증합니다.
지속적 모니터링
예정된 재캡처가 모든 변화를 탐지하고 동작이 달라지는 순간 알림을 올립니다.
SCVue를 쓸 수 있는 곳
개인, 기업, 정부, 학계, 연구자를 위해 만들었습니다
SCVue는 사람과 조직이 폭넓은 전문 분야와 산업에 걸쳐 종합적이고 지속적인 모니터링을 수행하도록 돕습니다. 자체 애플리케이션과 내부 포털을 관리하는 조직에게 견고한 도구이며, 서드파티 벤더에 부분적으로 의존하든 전적으로 의존하든 연동 제공업체도 똑같이 충분히 지원합니다.
실사 서비스 제공업체
검증, 리스크 평가, 신원 조회와 스크리닝, 감사와 검토입니다.
자체 공급망의 취약점
의존하는 기술과 소프트웨어 제품, 그리고 그에 영향을 미치는 사람에 걸쳐, 공급망의 다섯 가지 부류 전체를 다룹니다. 인적, 지식, 금융, 디지털, 물리적 공급망입니다.
다른 회사의 애플리케이션 평가
제휴 가능성, 인수, 경쟁 분석, 취약점, 또는 의존 관계를 위한 것입니다.
심층 조사와 경쟁 분석
측정은 바깥에서 이루어지며, 소스 코드도 설치할 것도 필요하지 않습니다. 그 회사가 의뢰한 작업이든 독자적으로 수행하는 작업이든 마찬가지입니다.
공개를 전제로 한 포트폴리오
공공 영역에 서비스를 제공하는 여러 사이트를 관리하거나 감독하는 조직입니다.
개인과 기업
웹 기반 제품의 신뢰성을 검증하는 것입니다.
법무, 컴플라이언스, 감사인
계약 조건, GDPR, 전가 조항, 관할권에 대한 준수입니다.
소프트웨어 벤더
서드파티 의존 관계를 파악하고 문서화하는 일, 즉 SBOM 방식의 작업입니다.
테스터와 침투 테스트 팀
서비스와 동작이 설계하고 개발한 대로 실행되는지 검증하는 것입니다.
리스크 관리자
기술 공급망의 서드파티 리스크를 이해하는 것입니다.
어디에 해당하는지 확인하십시오
당사 솔루션 페이지에 이러한 업무가 어떻게 진행되는지, 그리고 각각의 산출물이 어떤 것인지가 정리되어 있습니다.
애플리케이션이 기대대로 작동하는지를 시야를 좁히지 않고 확인하기 위해 의도를 가지고 만들었습니다. 당사는 비교 모델링, 벤더 발견, 지속적 모니터링, 영향력 요인 표시를 포함하는 열 개의 분석 엔진으로 이루어진 공정을 갖추고 있습니다. 이 가운데 하나 또는 두어 개만 수행하면 앞으로 맹점을 남길 수 있습니다.
주장이 아니라 증거
매니페스트가 선언하는 것이 아니라, 코드와 트래픽이 하는 것으로 관측된 바를 보고합니다.
첫 홉이 아니라 사슬 전체
페이지가 태그를 불러오고, 태그가 스크립트를 불러오고, 그 스크립트가 아무도 벤더 목록에 올리지 않은 서비스를 호출합니다. SCVue는 그 전부를 따라갑니다.
세 개의 독립된 축
어떤 보고서든 시간, 캡처 맥락, 페이지에 걸쳐 비교할 수 있습니다.
리스크와 영향력 요인
그 코드는 위험한가? 그 배후의 당사자에게 표시가 붙어 있는가? 두 가지 질문에 함께 답합니다.
프라이버시 중심 설계
로컬의 비공개 작업 공간이 모든 데이터를 브라우저 안에 유지합니다. 클라우드 저장소는 POST 페이로드에서 PII를 제거한 데이터만 받습니다.
방법론
SCVue가 작동하는 방식
캡처 한 번으로 시작할 수 있습니다.
01
캡처
HAR 캡처를 가져오거나, SCVue가 전 세계 여러 도시의 실제 기기에서 실제 브라우저로 원격 캡처를 수행하게 할 수 있습니다. 스크립트로 제어하는 조작도 함께 가능합니다.
02
파싱과 정규화
애플리케이션, 버전, 컬렉션, 뷰, 호출에 걸친 하나의 중복 제거된 데이터 모델입니다.
03
분석
열 개의 엔진이 코드, 트래픽, 페이로드, 미디어, 엔티티, 인프라를 프로파일링합니다.
04
보고와 모니터링
종합적인 분석가 툴킷 안의 대시보드, 기준선, 델타, 알림입니다.
플랫폼
한 번의 캡처. 그것으로 알 수 있는 모든 것.
모든 요청, 모든 파일, 모든 서버, 모든 쿠키를 한 번 기록하고 마흔 가지가 넘는 각도에서 검토합니다.
다양한 캡처 시나리오
사이트는 기기, 위치, 브라우저에 따라 다른 코드, 다른 추적기, 다른 서드파티 라이브러리를 제공합니다. 캡처 계획은 매번 같은 브라우저 조작을 재현하고, 기기 프로필은 사이트가 어떤 기기에 제공하고 있다고 여기는지를 정하며, 위치는 세션이 어디에서 접속하는지를 정합니다.
실시간 검증과 SBOM 생성
리소스가 불러와질 때 각 응답 본문을 SHA-256으로 해시하고 단일 진실 공급원 레지스트리와 대조하여 검증하며, 알려진 코드를 소프트웨어, 버전, 벤더, 출처로 식별합니다. SCVue는 실제로 불러와지는 것으로 관측된 바에서 SBOM을 구축하고, 선언된 CycloneDX 또는 SPDX SBOM을 그것과 대조하므로 섀도 의존 관계가 즉시 드러납니다.
지속적 모니터링
캡처는 그것을 취득한 시점을 기술합니다. 기준선이 확립되면 예정된 재캡처를 그것과 비교하여 델타를 산출하고, 모든 변화가 원래 기록으로 직접 연결되는 알림을 올립니다.
포트폴리오 규모
애플리케이션은 고객사가 설계한 방식대로 부서, 사업부, 리스크 책임자, 고객 단위로 묶이며, 모든 집계 보고서가 그에 맞추어 다시 묶입니다. 제공업체 데이터는 한데 모이므로, 한 공급업체에 대해 알게 된 것이 그 공급업체와 접하는 다른 모든 애플리케이션에 그대로 이어집니다.
비공개 작업 공간과 클라우드 작업 공간
비공개 작업 공간은 모든 데이터를 클라이언트 기기에 유지합니다. 클라우드 작업 공간은 팀 접근, 기기 간 작업, 서버에서 실행하는 모니터링을 더하며, 도착하는 것은 언제나 제거를 마친 데이터뿐입니다. PII 제거는 승격 시 클라이언트 측에서 실행되고 서버가 다시 검증하여 제거되지 않은 페이로드를 거부합니다.
증거와 내보내기
모든 발견 사항은 그것을 만들어낸 네트워크 호출로 되돌아가 연결되며, 주소, 헤더, 내용, 타임스탬프가 함께 붙습니다. 모든 보고서는 필터가 선택한 모든 행과 함께 내보낼 수 있고, 시각 보고서는 이미지로 내보내며, 필터 선택은 페이지 주소에 담기므로 어떤 시점이든 북마크하거나 동료에게 보낼 수 있습니다.
분석가 툴킷
여덟 개의 보고서 섹션
여덟 개의 섹션에 걸친 마흔일곱 개의 보고서를 한 번의 캡처에서 만들어내며, 모든 발견 사항이 그것이 비롯된 증거로 직접 연결됩니다.
SCVue는 nDiligence가 만들었으며, nDiligence는 자체 조사에 그것을 사용합니다. 에디션, 가격, 무료 Community 계정은 scvue.com에 있습니다. SCVue는 측정을 고객사의 손에 맡기며, 질문이 한 번의 캡처를 넘어설 때는 디지털 공급망과 소유권 사슬 매핑이 그것을 더 멀리 가져갑니다.
브리핑 요청하기
진행 중인 실제 사례에서 가져온 활용 사례를 통해, 공급망 무결성이 지금 경영진의 주의와 조율된 대응을 필요로 하는 이유를 설명합니다.