Analityka
internetowego łańcucha dostaw

Prześwietlamy internetowy łańcuch dostaw, który działa wewnątrz Państwa aplikacji.
Nowoczesne aplikacje internetowe składają się w czasie działania z kodu, mediów i danych dostarczanych przez dziesiątki dostawców zewnętrznych, z czego niemal nic nie jest widoczne dla właściciela, a dla użytkownika nic. Wykazy SBOM i ankiety dla dostawców opisują, co powinno się wczytywać. SCVue™ pokazuje fakty: każdego dostawcę, każdy zasób, każdy ładunek wychodzący, przechwycone i przeanalizowane jako dowód.
Interaktywny graf łańcucha dostaw SCVue: jedna domena źródłowa w środku, od której rozchodzą się na zewnątrz relacje własne i z podmiotami zewnętrznymi dla jednego wczytania strony.

Podstawowe pytanie, na które odpowiada SCVue™: „Czy mogę zaufać, że ta witryna i jej treść odpowiadają zamysłowi twórcy, czy też podlega ona manipulacji lub wpływowi?”

Integralność łańcucha dostaw

Dostawcy wewnątrz Państwa aplikacji

Nowoczesne aplikacje internetowe zwykle składa się z części dostarczanych przez inne podmioty. Jedno wczytanie strony może po cichu sięgnąć do dziesiątek innych firm: dostawcy analityki, sieci reklamowej, usługi czcionek, odtwarzacza wideo, widgetu czatu, procesora płatności, sieci dostarczania treści, usługi wykrywania oszustw. Każdy z nich jest dostawcą. Każdy jest miejscem, z którego mogą wypłynąć dane, w którym może wykonać się kod, którego nikt u Państwa nie napisał, i w którym problem w cudzej firmie staje się problemem w Państwa firmie.
Ten zbiór dostawców jest Państwa cyfrowym łańcuchem dostaw i dla większości organizacji pozostaje niewidoczny. Państwa łańcuch dostaw to nie tylko dostawcy, z którymi zawarto umowy. To kod, który Państwo utrzymują, i partnerzy integracji technologicznych, na których Państwo budują, wraz ze wszystkim, co oni z kolei wczytują.

SCVue™ służy temu, aby znać i wskazać zależności technologiczne wewnątrz Państwa aplikacji. Badając ich kod, zasoby, dane i komunikację sieciową w czasie działania, można zobaczyć, co witryny i aplikacje naprawdę robią, od kogo zależą zarówno pod względem technologii, jak i integracji z podmiotami zewnętrznymi, oraz gdzie ryzyko wchodzi do łańcucha dostaw.

Wykrywanie dostawców
Każdy dostawca, host i usługa, które aplikacja rzeczywiście wczytuje, przypisane do rzeczywistych firm i produktów.
Profilowanie zachowania w czasie działania
Co kod naprawdę robi: wykonywanie skryptów, śledzenie, pobieranie odcisku cyfrowego i ładunki wychodzące.
Poziom odniesienia dla zasobów
Każdy zasób adresowany treścią przez SHA-256 i zweryfikowany jako znany, zaufany kod.
Stałe monitorowanie
Zaplanowane ponowne przechwycenia rozpoznają każdą zmianę i wysyłają powiadomienie w chwili, gdy zachowanie się zmienia.
Kto może korzystać z SCVue

Zbudowane dla osób, firm, instytucji publicznych, nauki i badaczy

SCVue pomaga osobom i organizacjom prowadzić wszechstronne, stałe monitorowanie w szerokim zakresie specjalności i branż. Jest to solidne narzędzie dla organizacji zarządzających własnymi aplikacjami i portalami wewnętrznymi, a równie pełne wsparcie daje dostawcom integracji, niezależnie od tego, czy opierają się na dostawcach zewnętrznych częściowo, czy w całości.
Dostawcy usług due diligence
Weryfikacja, ocena ryzyka, sprawdzanie przeszłości i weryfikacja wobec list, audyt i przegląd.
Podatności we własnym łańcuchu dostaw
W produktach technologicznych i programowych, od których Państwo zależą, oraz wśród osób, które na nie wpływają, przez wszystkie pięć klas łańcucha dostaw: ludzi, wiedzę, finanse, wymiar cyfrowy i zasoby fizyczne.
Ocena aplikacji innych firm
Na potrzeby możliwego partnerstwa, przejęcia, analizy konkurencji, podatności lub zależności.
Pogłębione badania i analiza konkurencji
Pomiar działa z zewnątrz, bez kodu źródłowego i bez instalowania czegokolwiek, niezależnie od tego, czy pracę zleciła firma, czy prowadzi się ją samodzielnie.
Portfele witryn publicznych
Organizacje zarządzające wieloma witrynami obsługującymi odbiorców publicznych lub nadzorujące takie witryny.
Osoby i firmy
Weryfikacja wiarygodności produktu internetowego.
Prawnicy, zgodność i audytorzy
Zgodność z warunkami umów, RODO, klauzulami kaskadowymi i jurysdykcjami.
Dostawcy oprogramowania
Znajomość i dokumentowanie zależności od podmiotów zewnętrznych, praca w duchu SBOM.
Testerzy i zespoły testów penetracyjnych
Potwierdzenie, że usługi i zachowanie działają zgodnie z projektem i wykonaniem.
Menedżerowie ryzyka
Zrozumienie ryzyka podmiotów zewnętrznych w technologicznych łańcuchach dostaw.
Właściwe miejsce dla Państwa
Nasze strony rozwiązań przedstawiają, jak przebiegają te projekty i jak wygląda produkt końcowy w każdym z nich.
Wyróżnik

SCVue™ wyróżnia podejście oparte na dowodach

Zbudowano je celowo tak, aby potwierdzić, że aplikacja działa zgodnie z oczekiwaniem, bez zawężonego widoku. Mamy proces z dziesięcioma silnikami analitycznymi, z modelowaniem porównawczym, wykrywaniem dostawców, stałym monitorowaniem i wskazywaniem czynników wpływu. Wykonanie tylko jednego lub kilku z tych procesów może zostawić martwe pole na przyszłość.
Dowody, nie zapewnienia
Raportuje zaobserwowane działanie kodu i ruchu, a nigdy to, co deklaruje manifest.
Cały łańcuch, nie pierwszy krok
Strona wczytuje tag, tag wczytuje skrypt, a ten skrypt wywołuje usługę, której nikt nie wpisał na listę dostawców. SCVue śledzi to wszystko.
Trzy niezależne osie
Porównanie każdego raportu w czasie, według kontekstu przechwycenia i według strony.
Czynniki ryzyka i wpływu
Czy kod jest ryzykowny? Czy strony, które za nim stoją, są oznaczone? Dwa pytania, na które odpowiada się razem.
Prywatność w fazie projektowania
Lokalne, prywatne środowisko pracy trzyma wszystkie dane w przeglądarce. Do przechowywania w chmurze trafiają tylko dane, z których ładunków POST usunięto dane osobowe.
Metoda

Jak SCVue działa

Wystarczy jedno przechwycenie, aby zacząć.

01

Przechwycenie
Import pliku HAR albo przechwycenie zdalne przez SCVue z prawdziwych przeglądarek na prawdziwych urządzeniach w miastach na całym świecie, ze skryptowaną interakcją.

02

Parsowanie i normalizacja
Jeden zdeduplikowany model danych dla aplikacji, wersji, kolekcji, widoków i wywołań.

03

Analiza
Dziesięć silników profiluje kod, ruch, ładunki, media, podmioty i infrastrukturę.

04

Raportowanie i monitorowanie
Panele, poziomy odniesienia, różnice i powiadomienia w rozbudowanym zestawie narzędzi analityka.
Platforma

Jedno przechwycenie. Wszystko, co może pokazać.

Każde żądanie, każdy plik, każdy serwer i każdy plik cookie, zapisane raz i przejrzane z ponad czterdziestu stron.
Różne scenariusze przechwycenia
Witryny podają inny kod, inne mechanizmy śledzące i inne biblioteki zewnętrzne, zależnie od urządzenia, lokalizacji i przeglądarki. Plany przechwycenia odtwarzają za każdym razem tę samą interakcję w przeglądarce, profile urządzeń określają, jakie urządzenie widzi witryna, a lokalizacje określają, skąd sesja przegląda stronę.
Walidacja w czasie rzeczywistym i tworzenie SBOM
Gdy zasoby się wczytują, treść każdej odpowiedzi jest haszowana przez SHA-256 i weryfikowana wobec rejestru Single Source of Truth, co pozwala rozpoznać znany kod według oprogramowania, wersji, dostawcy i pochodzenia. SCVue buduje wykaz SBOM z tego, co rzeczywiście się wczytuje, i uzgadnia z nim każdy zadeklarowany wykaz w formacie CycloneDX lub SPDX, więc zależności ukryte wychodzą na jaw od razu.
Stałe monitorowanie
Przechwycenie opisuje chwilę, w której je wykonano. Po ustaleniu poziomu odniesienia zaplanowane ponowne przechwycenia porównuje się z nim, obliczane są różnice, a każda zmiana wywołuje powiadomienie z odnośnikiem prowadzącym do pierwotnego zapisu.
Skala portfela
Aplikacje grupują się tak, jak Państwo je zaprojektowali, według działu, jednostki biznesowej, właściciela ryzyka lub klienta, a każdy raport zbiorczy grupuje się odpowiednio. Dane o dostawcach są łączone, więc to, co wiadomo o jednym dostawcy, przenosi się na każdą inną aplikację, która go dotyka.
Środowiska prywatne i chmurowe
Prywatne środowisko pracy trzyma wszystkie dane na maszynie klienta. Środowisko chmurowe dodaje dostęp dla zespołu, pracę na wielu urządzeniach i monitorowanie wykonywane na serwerze, a trafiają do niego wyłącznie dane oczyszczone: usuwanie danych osobowych odbywa się po stronie klienta przy przenoszeniu, a serwer weryfikuje to ponownie i odrzuca ładunki nieoczyszczone.
Dowody i eksport
Każde ustalenie prowadzi z powrotem do wywołania sieciowego, z którego powstało, wraz z adresem, nagłówkami, treścią i znacznikiem czasu. Każdy raport eksportuje się ze wszystkimi wierszami wybranymi przez filtry, raporty wizualne eksportują się jako obrazy, a wybór filtrów zapisuje się w adresie strony, więc każdy widok można dodać do zakładek albo przesłać współpracownikowi.
Zestaw narzędzi analityka

Osiem sekcji raportowych

Czterdzieści siedem raportów w ośmiu sekcjach, zbudowanych z jednego przechwycenia, gdzie każde ustalenie ma odnośnik do dowodu, z którego pochodzi.
Przegląd
Panel portfela, czynniki ryzyka, mapa łańcucha dostaw, zmiany w czasie i monitorowanie.
Ruch i żądania
Surowy zapis tego, co aplikacja zrobiła w sieci.
Zasoby
Wszystko, co aplikacja wczytała, uporządkowane według rodzaju.
Infrastruktura i hosting
Fizyczna i korporacyjna rzeczywistość za ruchem: czyje serwery, czyja sieć i gdzie.
Przepływ danych i jurysdykcja
Gdzie informacje trafiają, gdzie się zatrzymują i czyje prawo nimi rządzi.
Bezpieczeństwo i zachowanie
Czy aplikacja jest przygotowana do obrony samej siebie i co robi jej kod, gdy już się wykonuje.
Podmioty i dostawcy
Rzeczywiste firmy, osoby i produkty za technologią.
Wzmianki i ekspozycja
Wszystko, co wymieniono wewnątrz plików, niezależnie od tego, czy kiedykolwiek się z tym połączono.
Pytania

Pytania, na które potrafi odpowiedzieć

Z czasem sieć usług i dostawców, którzy wpływają na aplikację, może stać się ryzykiem, i ryzykiem, na które niełatwo zareagować w krótkim okresie.
Komu właściwie przesyłamy dane naszych użytkowników?
Nie to, co mówi umowa z dostawcą. To, z kim przeglądarka rzeczywiście się połączyła w dniu pomiaru.
Czy coś z tego trafia tam, gdzie nie powinno?
SCVue ustala fizyczną i prawną lokalizację serwerów biorących udział w wymianie, więc widać, kiedy ruch przekracza granicę, która ma dla Państwa znaczenie, albo trafia do jurysdykcji zmieniającej Państwa obowiązki.
Czy mamy ekspozycję na firmę, z którą nie wolno nam prowadzić interesów?
SCVue porównuje ruch ze starannie dobranym katalogiem analitycznym firm, ich właścicieli, ich statusu sankcyjnego i przypisanych im czynników wpływu.
Czy coś się zmieniło?
Dostawcy zmieniają swój kod bez powiadomienia. SCVue zapisuje poziom odniesienia i porównuje z nim późniejsze przechwycenia, więc niezapowiedziana zmiana w skrypcie zewnętrznym staje się zdarzeniem widocznym, a nie niewidocznym.
Czy możemy to udowodnić?
Każde ustalenie prowadzi do konkretnego zapisanego wywołania sieciowego, wraz z jego adresem, odpowiedzią, treścią i znacznikiem czasu. Wszystko można wyeksportować jako dowód.
W działaniu

Wykrywanie i wizualizacja z jednego przechwycenia

Każdy ekran poniżej to analiza rzeczywistego przechwycenia, a nie makieta.

Analiza czynników ryzyka dla każdego żądania HTTP

  • Jedna skala: dziesięć silników analitycznych zbiega się do High, Warning i Info, a każde ustalenie ma odnośnik do swojego raportu.
  • Ryzyko kodu: słabości CSP i SRI, obniżenie z HTTPS, generowanie kodu w czasie działania i wzorce pobierania z natychmiastowym wykonaniem.
  • Ryzyko śledzenia: sygnalizatory internetowe, parametry śledzące i pobieranie odcisku cyfrowego w mediach oraz ruchu POST.
  • Wyłącznie dowody: wyprowadzone z przechwyconego kodu i ruchu, nigdy z manifestów kompilacji.
Raport SCVue o czynnikach ryzyka, z ustaleniami sklasyfikowanymi jako High, Warning i Info, wraz z kategorią, szczegółem, hostem pochodzenia i adresem URL dla każdego z nich.
Ustalenia dla jednej aplikacji, każde powiązane ze swoim dowodem.

Prześwietlenie każdego żądania, mapowanie każdego wychodzącego przepływu danych

  • Każdy ładunek: wgląd w to, co aplikacja przesyła na zewnątrz, zdekodowane wywołanie po wywołaniu.
  • Automatyczne oznaczenia: pobieranie odcisku urządzenia, dane osobowe, śledzenie między witrynami i w sesji, zapisywanie zachowań.
  • Mapowanie przepływu danych: dokładny obraz tego, którzy usługodawcy otrzymują dane o Państwa aplikacji i Państwa użytkownikach.
Raport SCVue o żądaniach HTTP POST, wymieniający każde wywołanie, które przesłało ładunek, z panelem szczegółów dekodującym jeden ładunek i oznaczającym pobieranie odcisku urządzenia oraz zachowanie śledzące.
Wywołania POST na jednej stronie, z wyróżnieniem tych, które oznaczono za pobieranie odcisku urządzenia.

Odsłonięcie tego, kto stoi za każdym zasobem

  • Rzeczywiste podmioty: wzbogacanie przypisuje zaobserwowane domeny do firm, produktów programowych i osób.
  • Czynniki wpływu: oznaczenia na samych stronach: własność, kontrola, sankcje, jurysdykcja.
  • Pogłębiona analityka: wsparta profilami nDiligence, z raportami rozszerzonymi i badaniami analityków na żądanie.
Raport SCVue o podmiotach, przypisujący zaobserwowane domeny do firm, które nimi zarządzają, wraz z krajem, kategorią i rolą każdej z nich.
Firmy działające za jedną aplikacją, według kraju i roli.

Mapowanie infrastruktury, hostingu i jurysdykcji

  • Pełna inwentaryzacja: domeny, nazwy hostów, adresy IP, dostawcy internetu, dostawcy chmury, sieci CDN, certyfikaty SSL.
  • Automatyczne przypisanie: silniki wzorców ustalają wykorzystanie sieci CDN i dostawców chmury.
  • Mapowanie jurysdykcji: geolokalizacja i ustalenie numeru ASN pokazują, gdzie dane są przechowywane i skąd są podawane.
Macierz nazw hostów SCVue, wymieniająca każdą nazwę hosta zaobserwowaną w przechwyceniu, wraz z przypisaniem do CDN, adresem IP, łączną liczbą wywołań i zestawem typów treści, które podawał.
Macierz nazw hostów z przypisaniem do CDN, adresami IP i zestawem zasobów na każdym hoście.

SCVue wykrywa Państwa cyfrowych dostawców

Pokazuje i dokumentuje wszystkich dostawców i wszystkie usługi wykorzystywane w Państwa aplikacjach. Pozwala ustalić każdą jurysdykcję i każde prawo właściwe mające władzę nad przetwarzaniem i przechowywaniem danych aplikacji, potwierdzone przechwyconym dowodem.
Jedna aplikacja i sieć dostawców za nią: jej domeny i hosting otwierają się w warstwy dostawców, które mnożą się i zanikają za krawędzią kadru, a od jej przepływu danych pozostaje wyraźna ścieżka w dół do jurysdykcji i prawa właściwego.
SCVue tworzy firma nDiligence, która wykorzystuje go we własnych badaniach. Edycje, ceny i darmowe konto Community są dostępne na scvue.com. SCVue oddaje pomiar w Państwa ręce; gdy pytanie wyrasta poza jedno przechwycenie, dalej prowadzą je cyfrowy łańcuch dostaw oraz mapowanie łańcucha własności.