ORYON CODE SECURITY

早く検出し、より多くの文脈で判断する。

コード、依存関係、設定を、チームが修正・レビュー・次の開発に必要な文脈と結びつけます。

コード
パッケージ
設定

Oryon Code

文脈を伴う検出結果
AI支援による変更
履歴とレポート

コードの一行を取り巻くすべて。

最初の検出から修正まで。コード、パッケージ、認証情報、設定のリスクを、ひとつの解析でチームの作業につなげます。

コードとデータフロー

インジェクション、コマンド実行、安全でないデシリアライズ、XSS、パスなどの脆弱なパターン。ルールとファイル内のデータ追跡により、各検出結果の確認に必要な位置と背景を示します。

依存関係と更新

パッケージ一覧、既知の脆弱性、CVE/GHSA識別子、修正済みバージョン。patch、minor、majorの変更を区別し、移行レビューの指針を用意します。

シークレットとインフラ

Terraform、Bicep、Kubernetes、Docker、パイプラインの露出した認証情報や危険な設定。本番に反映される前に、リポジトリで宣言された内容を確認できます。

AIアプリケーションとMCP

プロンプトインジェクション、実行処理に渡されるモデル出力、危険なツール、露出したキー、エージェント権限のパターンを検査するルール。MCP設定、フック、指示ファイルも確認します。

品質と互換性

正確性、保守性、性能、非推奨APIのパターン。設定した対象の互換性レビュー情報に加え、依存関係のmajorバージョン変更時には追加の指針を示します。

背景の理解から変更へ

AIによる説明と修正案、共有の抑制設定、Issueの下書き、レポート。変更を確認し、適用するタイミングはチームが決定します。

言語と形式

対応範囲は言語、ルール、プロファイルによって異なります。テンプレートや設定には汎用ルールを使う場合があり、解析では制約と部分的な結果を明示します。

コード: JavaScript / JSX · TypeScript / TSX · Python · Java · C# / .NET · Go · PHP · Ruby · Rust · Kotlin · Swift · Scala · C / C++ · Apex · Solidity · Bash · Elixir · Clojure · OCaml
テンプレート: Vue · ERB / RHTML · EJS · Handlebars / HBS · Mustache · Nunjucks / NJK · Pug / Jade · Jinja / Jinja2 / J2 · FreeMarker · Velocity · Liquid · Twig · JSP / JSPX · PHP / Blade · EEx / HEEx
設定: Terraform (AWS / Azure / GCP) · Azure Bicep · AWS JSON · Kubernetes · Dockerfile / Containerfile · Compose · GitHub Actions · GitLab CI · Azure Pipelines · Bitbucket Pipelines · CircleCI · CI / Jenkins · Argo · OpenAPI / Swagger · Nginx · Gradle · Visualforce
パッケージエコシステム: npm / Yarn / pnpm · Python / pip / Pipenv / Poetry / uv · Ruby / Bundler · PHP / Composer · Rust / Cargo · Go · JVM / Maven / Gradle / Leiningen · .NET / NuGet · Dart / Pub · Elixir / Mix

エンジンと技術

何を、どのエンジンで解析するか。

OpenGrepとOSVが検出を担い、Oryonの各層が背景情報、互換性、支援機能、結果の共有ビューを加えます。

専門エンジンの力を、ひとつに。

OpenGrep
OSV-Scanner
MDN
Oryon

コード、シークレット、設定

プロジェクトのファイルをローカルで検査。

OpenGrep + Oryonルール: コード、シークレット、インフラ、パイプライン、AI/MCPセキュリティの静的解析。パターン検出と各ファイル内のデータ追跡を組み合わせ、プロファイルと除外設定でリポジトリに合わせて調整できます。

パッケージとバージョン

一覧の把握から、影響を受けるバージョンと修正済みの選択肢まで。

OSV-Scanner / OSV-Scalibr: Mavenプロジェクトを含め、リポジトリからパッケージとその関係の一覧を拡充します。拡張機能とCIで自動的に実行を試み、利用できない場合は組み込みの解析機能で補います。
Oryon解析機能 + OSV API: パッケージとバージョンを抽出し、OSVのセキュリティアドバイザリと照合します。CVE/GHSA識別子、重大度、説明、修正済みバージョンを結び付け、検出結果ごとの次の対応を明確にします。
Oryon更新解析: アドバイザリの修正済みバージョンをpatch、minor、major更新に分類します。大きな変更を示し、依存関係ファイルを自動変更せずに移行レビューの手順を用意します。

背景情報と判断

残りの作業の理解、確認、共有を支援。

OpenAI · 修正支援: 原因、リスク、影響を説明し、変更、diff、工数、検証項目を提案します。利用可否はプランと設定によって異なり、ユーザーがエディタで提案を確認して適用します。
Oryon AIトリアージ · 二段階レビュー: 任意機能で、初期設定では無効です。一次レビューが誤検知の除外を提案し、二次レビューが証拠を確認します。不確実な場合や処理に失敗した場合は検出結果を保持します。OpenAIモデルを使用します。
MDN Browser Compat Data + Oryonカタログ: String.replaceAllのブラウザ対応を調べ、設定した対象に応じてAPI、ランタイム、フレームワーク、ツールのレビュー情報を提供します。検査内容はルールごとに異なります。
Proレポート生成 · OpenAI: 保存済みの結果から、経営上の優先事項、事業へのリスク、対応計画をPro PDFにまとめます。証拠と評価の制約を要約し、追加のスキャンは実行しません。

静的解析はローカルで実行します。依存関係の一覧作成や照会では外部サービスを使う場合があり、AI機能は要求されたコードの背景情報を設定済みのプロバイダーに送信します。

Oryon Dashboard

共通の視点で、より明確な判断を。

開発とセキュリティが同じ背景情報を共有。分析を比較し、リスクの推移を追い、監査レポートをひとつのプラットフォームから共有できます。

0:00

製品デモ · サンプルデータ見たいステップを選択

プラットフォームを詳しく見る

**Oryon Dashboard · 検出結果**製品インターフェース · サンプルデータ

監査トレーサビリティ

スキャン履歴、作成者と日付付きの抑制設定、API操作ログから、プロジェクトの活動を確認できます。

ワークスペースアクセス

Google、Magic Link、SSO の各フローを、会社スコープのロールに紐付けて管理します。

マルチテナント分離

プロジェクト、スキャン、検出結果は設計段階から会社単位で分離されています。

一括取込 API

プロジェクトやスキャンを作成したり、IDE や CI から検出結果と依存関係データを同期したりできます。

チームのワークフロー

エディタ、CI、プラットフォームで共有する背景情報。

コードを修正する人、リリースを確認する人、チームのセキュリティ改善を把握する人を、ひとつのワークフローでつなぎます。

エディタで

編集時や保存時にスキャンするか、ファイルまたはリポジトリのスキャンを開始し、プロファイルと除外設定を指定します。
結果を絞り込み、該当箇所を開いて重大度、背景情報、ルールに含まれるCWE/OWASPを確認します。
AIの説明と修正案を確認し、明示的な操作で変更を適用します。
共有の誤検知を指定または復元し、JSON/CSVを出力してGitHubやGitLabのIssueを用意します。
リポジトリをプロジェクトに関連付け、組織やワークスペースを切り替えます。

デリバリーのたびに

OIDCとプロジェクトトークンを使い、GitHub ActionsやAzure Pipelinesから同じ解析コアを実行します。
JSON形式の結果とMarkdownの要約を公開し、コードの検出結果をSARIFで出力します。
チームの判断でパイプラインを停止する重大度のしきい値を設定できます。初期設定では無効です。
プロジェクトの抑制設定を再利用し、結果のアップロードとAIの使用を管理します。

チーム全体で

プロジェクトを整理し、重大度、技術、状態別に結果を確認します。
スキャンを比較し、新規、解消済み、継続中の検出結果や、重大度・バージョンの変更を区別します。
履歴、誤検知、完全・部分的・失敗・未検証の各対応状況を確認します。
PDF監査レポートと、コード・依存関係の検出結果のCSVをダウンロードします。
設定に応じて、招待、管理者・マネージャー・開発者・閲覧者の役割、SSO/OIDCの選択肢を管理します。

いつものツールで。

エディター、リポジトリ、プラットフォームを作業に接続。

VS Code

Cursor

Antigravity

VSCodium

Windsurf

GitHub

GitLab

それぞれの連携に、明確な役割を。

VS Code互換エディタ向けの拡張機能。GitHubとGitLabでは、検出結果の背景情報を添えたIssueの下書きを作成できます。

GitHub ActionsとAzure PipelinesでCI解析を実行します。Docker、Kubernetes、Terraform、その他のパイプラインファイルは、リポジトリの一部として解析します。

コードとともに、セキュリティも前進。