Oryon Flow
開発中 · 早期アクセス
シグナルから、証拠へ。
Flowの調査をたどる：何を分析し、検出事項をどう検証し、修正に何を求め、結果を技術要件へどう結び付けるか。
15のツール、4つの分析領域。
15
ツール
OpenGrep
Joern
Gitleaks
OSV-Scanner
Syft
Grype
Checkov
KICS
Terraform
ZAP
Playwright
アラートから調査が始まる。
検証では、再現された悪用、影響を受けるコンポーネント、宣言された設定を区別します。
検出候補
独立した検証
- 確認済み
- 反証済み
- 証拠不十分
元のソースから候補を調査し、共通原因をまとめます。
スペシャリストに照会し、実行可能な検証手法を準備します。
潜在的な脆弱性を、証拠と正常動作の対照条件に照らして確認します。
確認済み、反証済み、証拠不十分を区別し、影響を受ける依存関係と実証された悪用を同一視しません。
パッチには、根拠となる証拠を。
変更前に基準と正当な利用のチェックを確定。引き渡しには解決済みのケースと未完了の作業を残します。
-
基準とベースライン
-
分離された変更
-
検証とレビュー
-
レビュー用のプルリクエスト
GitHub
修正対象が特定され、正常利用の検証可能なベースラインがある確認済みの検出結果を受け付けます。
パッチ前に受け入れ基準を定め、隔離した修正候補でセキュリティと動作の検査を繰り返します。
変更を個別に確認し、修正の適用順序と組み合わせを検査します。
証拠、残りの作業、merge順序を添えたGitHub pull requestとデリバリー用Issueを準備します。統合はチームが決定します。
技術的な証拠を、あなたのフレームワークへ。
Flowは証拠を選択された技術要件に対応付けます。不足を可視化し、実際に観測した状態と修正後に見込まれる状態を区別します。
27参照フレームワーク
選択された64の要件
- 23部分的な技術評価
- 4文書上の参照
部分的な技術評価を行う23のフレームワーク
- BIO2
- BSI C5
- CIS Controls
- Cyber Resilience Act (CRA)
- Cybersecurity Law (CSL)
- Cyber Essentials
- CyberFundamentals
- DORA
- Data Security Law (DSL)
- ENS
- FedRAMP
- GDPR
- HIPAA Security Rule
- Australian ISM
- ISMAP
- LGPD
- MLPS 2.0
- NIS2
- NIST CSF
- NIST SP 800-53
- OWASP ASVS
- PIPL
- SecNumCloud
文書上の参照として扱う4つのフレームワーク
- ISO/IEC 27001
- SOC 2
- PCI DSS
- MTCS
結果を、参照フレームワーク内の選択した技術要件に結び付けます。
観測した状態と、提供された検証済み修正後に見込まれる状態を区別します。
基準、追跡情報、未確認部分、証拠の日付を保持します。
未解決のケースと制約を明示します。技術的な証拠は認証の取得を意味しません。
