Intelligence over
de internettoeleveringsketen

Zicht op de internettoeleveringsketen die binnen uw applicatie werkt.
Moderne webapplicaties stellen zichzelf tijdens uitvoering samen uit code, media en gegevens die door tientallen leveranciers van derden worden aangeleverd, waarvan de eigenaar bijna niets ziet en de gebruiker niets. SBOM's en leveranciersvragenlijsten beschrijven wat er zou moeten laden. SCVue™ laat u de feiten zien: elke leverancier, elke resource, elke uitgaande payload, vastgelegd en geanalyseerd als bewijs.
De interactieve ketengraaf van SCVue: één brondomein in het midden, met relaties met eigen partijen en met derden die naar buiten uitwaaieren bij één keer laden van een pagina.

De grondvraag die SCVue™ beantwoordt: “Kan ik erop vertrouwen dat deze website en de inhoud ervan overeenkomen met wat de maker bedoelde, of is die gevoelig voor manipulatie of invloed?”

Ketenintegriteit

De leveranciers binnen uw applicatie

Moderne webapplicaties worden doorgaans samengesteld uit onderdelen die door anderen worden aangeleverd. Eén keer een pagina laden kan ongemerkt tientallen andere bedrijven aanspreken: een analyticsaanbieder, een advertentienetwerk, een lettertypedienst, een videospeler, een chatwidget, een betaalverwerker, een contentdistributienetwerk, een dienst voor fraudedetectie. Elk daarvan is een leverancier. Elk is een plek waar gegevens kunnen weggaan, waar code kan lopen die u niet hebt geschreven, en waar een probleem in het bedrijf van iemand anders een probleem in het uwe wordt.
Dat geheel van leveranciers is uw digitale toeleveringsketen, en voor de meeste organisaties is die onzichtbaar. Uw toeleveringsketen bestaat niet alleen uit de leveranciers waarmee u hebt gecontracteerd. Het is de code die u onderhoudt en de integratiepartners waarop u bouwt, samen met alles wat zij op hun beurt laden.

SCVue™ gaat erom de technologische afhankelijkheden binnen uw applicaties te kennen en te benoemen. Door hun code, resources, gegevens en netwerkverkeer tijdens uitvoering te onderzoeken kunt u zien wat uw sites en apps werkelijk doen, van wie zij afhankelijk zijn, zowel technologisch als vanuit het oogpunt van integraties met derden, en waar risico uw toeleveringsketen binnenkomt.

Leveranciersdetectie
Elke leverancier, host en dienst die de app werkelijk laadt, herleid tot echte bedrijven en producten.
Profilering van gedrag tijdens uitvoering
Wat de code werkelijk doet: scriptuitvoering, tracking, fingerprinting en uitgaande payloads.
Nulmeting van resources
Elke resource op inhoud geadresseerd met SHA-256 en gevalideerd als bekende, vertrouwde code.
Doorlopende monitoring
Geplande heropnames onderkennen elke verandering en geven een melding zodra het gedrag verschuift.
Wie SCVue kan gebruiken

Gebouwd voor particulieren, bedrijven, overheden, wetenschap en onderzoekers

SCVue helpt mensen en organisaties uitvoerige, doorlopende monitoring uit te voeren over een breed scala aan specialismen en sectoren. Het is een robuust hulpmiddel voor organisaties die hun eigen applicaties en interne portalen beheren, en het ondersteunt integratieaanbieders even volledig, of zij nu deels of geheel op leveranciers van derden leunen.
Aanbieders van due diligence-diensten
Screening, risicobeoordeling, achtergrondonderzoek, audit en toetsing.
Kwetsbaarheden in uw eigen toeleveringsketen
Over de technologie- en softwareproducten waarvan u afhankelijk bent en de mensen die daarop van invloed zijn, door alle vijf klassen van de toeleveringsketen: mensen, kennis, financieel, digitaal en fysiek.
Beoordelingen van applicaties van andere bedrijven
Voor mogelijke samenwerking, overname, concurrentieanalyse, kwetsbaarheden of afhankelijkheden.
Diepgaand onderzoek en concurrentieanalyse
De meting werkt van buitenaf, zonder broncode en zonder iets te installeren, of het werk nu door het bedrijf is opgedragen of zelfstandig wordt uitgevoerd.
Portfolio's van publieke sites
Organisaties die meerdere sites beheren of daarop toezien die het publiek bedienen.
Particulieren en bedrijven
De betrouwbaarheid van een webproduct valideren.
Juristen, compliance en accountants
Naleving van juridische voorwaarden, de AVG, doorwerkingsclausules en jurisdicties.
Softwareleveranciers
Uw afhankelijkheden van derden kennen en vastleggen, werk in de geest van een SBOM.
Testers en penetratietestteams
Valideren dat diensten en gedrag werken zoals ontworpen en ontwikkeld.
Risicomanagers
Risico van derden in technologische toeleveringsketens doorgronden.
Bekijk waar u past
Onze oplossingenpagina's zetten uiteen hoe deze opdrachten lopen en hoe het eindproduct er per opdracht uitziet.
Onderscheidend

Wat SCVue™ onderscheidt is de bewijsgebaseerde aanpak

Het is met opzet gebouwd om te bevestigen dat de applicatie doet wat wordt verwacht, zonder een versmald beeld. Wij hebben een proces met tien analysemotoren, met vergelijkend modelleren, leveranciersdetectie, doorlopende monitoring en het signaleren van invloedsfactoren. Slechts een of enkele van deze processen uitvoeren kan later een blinde vlek achterlaten.
Bewijs, geen beweringen
Rapporteert wat code en verkeer blijken te doen, nooit wat een manifest verklaart.
De hele keten, niet de eerste stap
Een pagina laadt een tag, de tag laadt een script, en dat script roept een dienst aan die niemand op de leverancierslijst heeft gezet. SCVue volgt het allemaal.
Drie onafhankelijke assen
Vergelijk elk rapport over tijd, opnamecontext en pagina.
Risico- en invloedsfactoren
Is de code riskant? Zijn de partijen erachter gesignaleerd? Twee vragen, samen beantwoord.
Privacy door ontwerp
Een lokale, privéwerkomgeving houdt alle gegevens in de browser. Cloudopslag ontvangt alleen gegevens waarvan de POST-payloads zijn geschoond van persoonsgegevens.
Methode

Hoe SCVue werkt

Eén opname is genoeg om te beginnen.

01

Opnemen
Importeer een HAR-opname, of laat SCVue op afstand opnemen vanaf echte browsers op echte apparaten in steden wereldwijd, met scriptgestuurde interactie.

02

Ontleden en normaliseren
Eén ontdubbeld gegevensmodel voor applicaties, versies, collecties, weergaven en aanroepen.

03

Analyseren
Tien motoren profileren code, verkeer, payloads, media, entiteiten en infrastructuur.

04

Rapporteren en monitoren
Dashboards, nulmetingen, verschillen en meldingen in een uitgebreide analistentoolkit.
Platform

Eén opname. Alles wat die u kan vertellen.

Elk verzoek, elk bestand, elke server en elke cookie, één keer vastgelegd en vanuit meer dan veertig invalshoeken bekeken.
Verschillende opnamescenario's
Sites leveren andere code, andere trackers en andere bibliotheken van derden, afhankelijk van het apparaat, de locatie en de browser. Opnameplannen spelen elke keer dezelfde interactie in de browser na, apparaatprofielen bepalen wat de site denkt te leveren, en locaties bepalen van waaruit de sessie de site bezoekt.
Validatie in realtime en het opstellen van een SBOM
Terwijl resources laden wordt de body van elk antwoord gehasht met SHA-256 en gevalideerd tegen het Single Source of Truth-register, waarmee bekende code wordt geïdentificeerd op software, versie, leverancier en herkomst. SCVue bouwt een SBOM op uit wat er werkelijk blijkt te laden en stemt elke opgegeven CycloneDX- of SPDX-SBOM daartegen af, zodat schaduwafhankelijkheden onmiddellijk naar boven komen.
Doorlopende monitoring
Een opname beschrijft het moment waarop die is gemaakt. Zodra er een nulmeting is vastgelegd worden geplande heropnames daartegen vergeleken, worden verschillen berekend en geeft elke verandering een melding met een directe verwijzing naar het oorspronkelijke record.
Schaal van een portfolio
Applicaties groeperen zoals u ze indeelt, naar afdeling, bedrijfsonderdeel, risico-eigenaar of klant, en elk overzichtsrapport groepeert mee. Aanbiedersgegevens worden gebundeld, zodat wat u over één leverancier leert doorwerkt naar elke andere applicatie die die leverancier raakt.
Privé- en cloudwerkomgevingen
Een privéwerkomgeving houdt alle gegevens op de machine van de gebruiker. Een cloudwerkomgeving voegt toegang voor het team, werken op meerdere apparaten en monitoring op de server toe, en er komen alleen geschoonde gegevens binnen: het schonen van persoonsgegevens gebeurt aan de clientzijde bij het overzetten en de server valideert dat opnieuw en weigert ongeschoonde payloads.
Bewijs en export
Elke bevinding verwijst terug naar de netwerkaanroep die haar heeft opgeleverd, met adres, headers, inhoud en tijdstempel. Elk rapport exporteert met alle rijen die uw filters hebben geselecteerd, visuele rapporten exporteren als afbeelding, en de filterselectie staat in het adres van de pagina, zodat elke weergave als favoriet kan worden opgeslagen of naar een collega kan worden gestuurd.
Analistentoolkit

Acht rapportsecties

Zevenenveertig rapporten in acht secties, opgebouwd uit één opname, waarbij elke bevinding direct verwijst naar het bewijs waaruit die komt.
Overzicht
Een portfoliodashboard, risicofactoren, ketenkaart, verandering over tijd en monitoring.
Verkeer en verzoeken
De ruwe vastlegging van wat de applicatie op het netwerk heeft gedaan.
Bezittingen
Alles wat de applicatie heeft geladen, geordend naar wat voor soort ding het is.
Infrastructuur en hosting
De fysieke en zakelijke werkelijkheid achter het verkeer: wiens servers, wiens netwerk, en waar.
Gegevensstroom en jurisdictie
Waar informatie heen gaat, waar die tot rust komt en wiens recht erover gaat.
Beveiliging en gedrag
Of de applicatie is ingericht om zichzelf te verdedigen, en wat haar code doet zodra die loopt.
Entiteiten en leveranciers
De echte bedrijven, mensen en producten achter de technologie.
Vermeldingen en blootstelling
Alles wat binnen de bestanden wordt genoemd, of daar ooit contact mee is geweest of niet.
Vragen

Vragen die het kan beantwoorden

Met de tijd kan het web van diensten en leveranciers dat een applicatie beïnvloedt een risico worden, en een risico waarop op korte termijn niet makkelijk te reageren valt.
Naar wie sturen wij de gegevens van onze gebruikers eigenlijk?
Niet wat het leverancierscontract zegt. Wie de browser werkelijk heeft aangesproken, op de dag dat u het hebt gemeten.
Gaat hier iets heen waar het niet heen zou moeten?
SCVue stelt de fysieke en juridische locatie van de betrokken servers vast, zodat u ziet wanneer verkeer een grens overgaat waar u om geeft, of belandt in een jurisdictie die uw verplichtingen verandert.
Zijn wij blootgesteld aan een bedrijf waarmee wij geen zaken mogen doen?
SCVue legt het verkeer naast een zorgvuldig samengestelde intelligencecatalogus van bedrijven, hun eigenaren, hun sanctiestatus en de invloedsfactoren die aan hen vastzitten.
Is er iets veranderd?
Leveranciers veranderen hun code zonder het u te melden. SCVue legt een nulmeting vast en vergelijkt latere opnames daarmee, zodat een onaangekondigde verandering in een script van derden een zichtbare gebeurtenis wordt in plaats van een onzichtbare.
Kunnen wij het aantonen?
Elke bevinding is terug te voeren op een specifiek vastgelegde netwerkaanroep, met adres, antwoord, inhoud en tijdstempel. Alles kan als bewijs worden geëxporteerd.
In de praktijk

Ontdek en visualiseer vanuit één opname

Elk scherm hieronder is de analyse van een echte opname, geen ontwerpvoorbeeld.

Analyse van risicofactoren op elk HTTP-verzoek

  • Eén schaal: tien analysemotoren komen samen in High, Warning en Info, en elke bevinding verwijst direct naar het bijbehorende rapport.
  • Coderisico's: zwakke plekken in CSP en SRI, terugval van HTTPS, codegeneratie tijdens uitvoering, en patronen waarbij wordt opgehaald en meteen uitgevoerd.
  • Trackingrisico's: webbeacons, trackingparameters en fingerprinting in media en POST-verkeer.
  • Alleen bewijs: afgeleid uit vastgelegde code en verkeer, nooit uit buildmanifesten.
Het risicofactorenrapport van SCVue, met bevindingen ingedeeld als High, Warning en Info, met per bevinding categorie, detail, host van herkomst en URL.
Bevindingen op één applicatie, elk verbonden met het bewijs erachter.

Doorlicht elk verzoek, breng elke uitgaande gegevensstroom in kaart

  • Elke payload: bekijk wat de applicatie naar buiten verzendt, aanroep voor aanroep gedecodeerd.
  • Automatische signalering: fingerprinting van het apparaat, persoonsgegevens, tracking over sites en sessies heen, gedragslogging.
  • Kartering van gegevensstromen: zie precies welke dienstverleners gegevens over uw applicatie en uw gebruikers ontvangen.
Het HTTP-POST-rapport van SCVue met elke aanroep die een payload heeft verzonden, en een detailpaneel dat één payload decodeert en fingerprinting van het apparaat en trackinggedrag signaleert.
POST-aanroepen op één pagina, met de aanroepen die zijn gesignaleerd voor fingerprinting van het apparaat uitgelicht.

Blootleggen wie er achter elke resource zit

  • Echte entiteiten: verrijking herleidt waargenomen domeinen tot bedrijven, softwareproducten en personen.
  • Invloedsfactoren: markeringen op de partijen zelf: eigendom, zeggenschap, sancties, jurisdictie.
  • Diepgaande intelligence: onderbouwd met profielen van nDiligence, met uitgebreide rapporten en analistenonderzoek op aanvraag.
Het entiteitenrapport van SCVue, dat waargenomen domeinen herleidt tot de bedrijven die ze beheren, met per bedrijf land, categorie en rol.
De bedrijven die achter één applicatie werken, naar land en rol.

Breng de infrastructuur, hosting en jurisdicties in kaart

  • Volledige inventaris: domeinen, hostnamen, IP's, ISP's, cloudaanbieders, CDN's, SSL-certificaten.
  • Automatische toeschrijving: patroonmotoren stellen het gebruik van CDN's en cloudaanbieders vast.
  • Kartering van jurisdicties: geolocatie en ASN-herleiding laten zien waar gegevens worden opgeslagen en vanwaar ze worden geleverd.
De hostnamematrix van SCVue, met elke hostnaam die in een opname is waargenomen, met de toeschrijving aan een CDN, het IP-adres, het totaal aantal aanroepen en de mix van inhoudstypen die de host heeft geleverd.
Hostnamematrix met toeschrijving aan CDN's, IP-adressen en de mix van bezittingen per host.

SCVue vindt uw digitale leveranciers

Het toont en legt alle aanbieders en diensten vast die in uw applicaties worden gebruikt. Stel elke jurisdictie en elk toepasselijk recht vast met bevoegdheid over de verwerking en opslag van de gegevens van uw applicatie, aangetoond met vastgelegd bewijs.
Eén applicatie en het leveranciersweb erachter: haar domeinen en hosting gaan elk over in lagen leveranciers die zich vermenigvuldigen en buiten de rand van het beeld wegvallen, terwijl er een duidelijk pad blijft van haar gegevensstroom naar beneden tot jurisdictie en toepasselijk recht.
SCVue is gebouwd door nDiligence, dat het zelf gebruikt bij eigen onderzoeken. Edities, prijzen en een gratis Community-account staan op scvue.com. SCVue legt de meting in uw handen; groeit een vraag een opname voorbij, dan brengen de digitale toeleveringsketen en kartering van de eigendomsketen die verder.