Oryon FlowとShannon (Keygraph)の比較

1. 01

   修正まで進む工程

   Flowは再検証した修正と引き渡しを統合します。Shannon OSSは報告書を生成し、Keygraphは商用版でPRを提供します。

2. 02

   アプリ自体も再構築

   Flowはワーカーの隔離に加え、ラボ内に対象を準備します。Shannonにはリポジトリと稼働済みアプリを渡します。

3. 03

   未解決の作業を明確に

   Flowは確認、反証、判定不能の結果を保持し、現在および予測される技術的コントロールに結び付けます。

機能を並べて比較。

この表は文書化された機能を説明するもので、性能や検出品質は測定しません。商用機能は製品、プラン、設定によって異なる場合があります。

必要なこと	Oryon Flow	Shannon (Keygraph)
リポジトリの調査	✓文書化あり コード、パッケージ、インフラ、実行時の情報を一つの調査につなぎます。	✓文書化あり リポジトリ、構成、データフローを分析し、稼働中のアプリへの攻撃を導きます。 ↗
再構築されたテスト環境	✓文書化あり 元のリポジトリから、一時的かつ隔離された環境にアプリを再構築します。	—この範囲では文書化なし ワーカーは一時的で隔離されていますが、稼働対象は別途提供します。対象の自動再構築は確認できません。 ↗
検出結果の検証	✓文書化あり 独立レビューを受けた実証手法で、確認・反証・判定不能を区別します。証拠不足は未解決のまま保持します。	✓文書化あり 再現可能な証拠を伴う攻撃で実証された脆弱性を報告します。 ↗
テストで裏付けた修正	✓文書化あり 隔離された候補で安全性と正当な動作を確認し、その後に独立レビューを行います。	↗スイート内の別製品 再分析と攻撃の再実行を伴う修正は、Shannon OSSではなくKeygraph ProとEnterpriseの機能です。 ↗
レビュー可能なプルリクエスト	✓文書化あり 原因と互換性に基づいて変更をレビュー可能なPRにまとめます。マージはチームが判断します。	↗スイート内の別製品 Keygraph ProとEnterpriseは修正PRを作成します。Shannon OSSは実行ごとの報告書を提供します。 ↗
追跡可能な技術的証拠	✓文書化あり 証拠と変更を技術要件に結び付け、現在の状態と検証済みPR適用後の予測を比較します。	✓文書化あり ShannonはPDF、Markdown、JSON、SARIFを出力します。商用版は検出結果の管理と監査証拠を追加します。 ↗
ソース + ランタイム分析	✓文書化あり ソース、依存関係、インフラストラクチャ、および動的観察を同じ調査内で接続します。	✓文書化あり ソース分析とライブエクスプロイトを組み合わせます。商用版では、SAST、SCA、および機密事項の範囲が拡張されます。 ↗
認証されたロールのテスト	✓文書化あり 正当なセッション、ロール、テナント境界をチェックします。到達不能または期限切れのセッションはカバレッジギャップのままです。	↗スイート内の別製品 OSS は認証スキャンをサポートしています。商用ブラックボックス テストは、最大 4 つのロール アカウントを明示的にサポートします。 ↗
個別の検証	✓文書化あり 結論や修正を提案するエージェントが、それを自ら承認することはありません。独立した検証工程で、保存された証拠を評価します。	✓文書化あり 解析で候補を提案し、攻撃を再現して検証します。商用版では追加レビューと決定論的なチェックが加わります。 ↗
機能回帰チェック	✓文書化あり セキュリティ証明、正当なコントロール、利用可能な機能テストを納品前にオリジナルと比較します。	—この範囲では文書化なし 商用版の修正は再解析と攻撃の再実行で検証されます。機能回帰テスト一式の実施は明記されていません。 ↗
依存関係の修正	✓文書化あり 修正候補は、検証を条件として、依存関係グラフを更新し、アプリケーション コードを適応させることができます。	↗スイート内の別製品 商用版には SCA と修正版 PR が含まれています。パッケージ更新の適用範囲は調査結果によって異なります。 ↗
技術要件のマッピング	✓文書化あり 保存された証拠を選択した技術要件に関連付け、現状の対応範囲と、提案された変更後に見込まれる対応範囲を示します。組織の認証を意味するものではありません。	—この範囲では文書化なし 商業監査の証拠とガバナンスが文書化されます。技術的な制御マッピングは指定されていません。 ↗

製品の対象範囲