DevOps向けのアプリケーションセキュリティ● 開発からプロダクションまでのエンドツーエンド保護

Virsecは、高度なCI/CD （Continuous Integration／Continuous Delivery ）アプリケーションテストをランタイム中の継続的な監視と組み合わせて、他に類を見ない精度、時間節約、及び現実の攻撃の阻止を提供する、初のセキュリティベンダです。
世界で最も高度なランタイムアプリケーション保護プラットフォーム上に構築されたVirsecは、自動化された攻撃のシミュレーション、インテリジェントファジング、及びコンテキストセンシティブなインストルメンテーションを組み合わせて、SLDC（Software Development Life Cycle) の全ての段階において新しいレベルのエンドツーエンド・セキュリティを提供します。Virsecを用いれば、ランタイム保護をCI/CDパイプラインに直接組み込むことによって効果的にシフトレフトすることができます。
● 従来のアプリケーションテストでは物足りないアプリケーションの複雑さが増大するにつれて、コードベースのサイズ及び脆弱性の数も増大します。
2019年12月には、オープンソース及びCOTS (Commercial Off-The-Shelf:商用オフザシェルフ) アプリケーションにおける22,000以上の新しい脆弱性がUS-CERT NVD (National Vulnerability Database) に報告されました。
脆弱性スキャン、ペネトレーションテストやパッチ適用から成る従来のセキュリティモデルでは、この「津波」 についていくことができません。
SAST（Static Application Security Testing）、DAST (Dynamic Application Security Testing）、及びIAST（Interactive Application SecurityTesting) のような従来のアプリケーションセキュリティツールは、
１） 手作業で追いかけなければならない大量のフォールスポジティブを生み出す
２） ソフトウェア欠陥を正確に指摘せず、脆弱性の優先順位を付けない、曖昧な推奨事項を提供する
３） SDLCの初期段階のコンポーネントではなく、完全にアセンブルされたアプリケーションに対してのみ機能する
４） 解析的ペンテストの深いスキルを必要とする
５） 拡張せず、膨大な量の手作業の労力を必要とする結果として、プリプロダクションテストを実施しても、コードが本番稼働する際にアプリケーションの攻撃可能なサーフェスの大半がさらされることになります。これは、プロダクション環境とは異なる(OSバージョン又はランタイムライブラリなどの)コード開発環境によって更に複雑になります。
加えて、アプリケーションは、各々が異なるセキュリティ要件を有するデータセンタ、VM、コンテナ、又はパブリッククラウド/プライベートクラウド/ハイブリッドクラウドなどの様々な環境で展開される場合があります。

ソース
コードは不要サードパーティのコードを保護する

最小限の誤検出

根本原因を指摘する

深刻度を特定する

実用的な修復CI/CDパイプラインに適している

補完統制

プロダクシ
ョンまで拡
張可能

Virsec

顧客例(TEL) 03-5817-3655 (代)www.cornet-solutions.co.jp
Copyright 2021 Cornet Solutions K.K. Rev. B

1/4

文中の社名、商品名等は各社の商標、又は登録商標です。

● 攻撃シミュレーションとランタイムアプリケーション保護と組み合わせる

ConfigureDetect

継続的な監視&修復

継続的なインテグレーション&開発

Remediate

Protect

Virsecセキュリティプラットフォーム● Virsecは、開発とプロダクションの間のセキュリティのループを閉じる、初のソリューションです。

このソリューションは、セキュリティテストを最新化・自動化する一方で、セキュリティテストを高度なランタイムアプリケーション保護と統合します。その結果として、自動化、拡張性、他に類を見ない精度、及び現実の攻撃からの継続的な保護を提供します。
このソリューションは、以下の主要コンポーネントを組み合わせます。
● ウェブ攻撃シミュレータ

Virsecは、自社の調査及び高度な検出ツールによって、CAPEC（Common Attack Pattern Enumeration and Classification）規格にマッピングする特殊なペイロードの広範なライブラリをコンパイルしています。
特殊なペイロードは、広範囲にわたるシミュレートされた攻撃に対してアプリケーションをテストするために、シングルエンコーディング、ダブルエンコーディング、及び混合エンコーディングなどの複数の難読化技法と組み合わされます。
● インテリジェントファジング

Virsecはテストを自動化して、URL、パラメータ、難読化技法、及びOWASP脅威の数千の組み合わせのインジェクションと、HTTPパケットのあらゆるユーザ入力の負荷テストを行います。
特殊なペイロードは、HTTPリクエストライン、パラメータ、クエリストリング、フラグメント、ヘッダ及びキー/値ペアに追加されます。これは、手作業のペネトレーションテストの能力をはるかに超えるコードカバレッジ、ダイバーシティ、及びエントロピーテストを提供します。
● 実用的なレポート&フォレンジック

このソリューションは、開発者及びアプリケーション所有者向けのリスクスコアを始めとする重要な詳細を備えた包括的なレポートを自動的に生成します。これらのレポートは、コンテキスト的な攻撃に関連する豊富なメタデータを用いて、コード欠陥を正確に指摘します。
これにより、開発者が修復作業に優先順位を付けることができる一方で、企業に展開対象アプリケーションのリスクレベルについての賢明な決定を行わせることができます。
このソリューションは、JIRAなどのエンタープライズチケット管理システムとシームレスに統合する一方で、サードパーティのGRC（Governance, Risk, Compliance） ソリューション向けの詳細なフォレンジックデータを生成します。

(TEL) 03-5817-3655 (代)www.cornet-solutions.co.jp
Copyright 2021 Cornet Solutions K.K. Rev. B

2/4

文中の社名、商品名等は各社の商標、又は登録商標です。

● アプリケーションランタイム保護

組み込まれた制御は、Virsecの高度なランタイム・インストルメンテーション技術を使用して、アプリケーションがダウンストリームのインタープリタで実行するために攻撃者の影響を受けたコードを生成中であるかどうかを瞬時に検出します。
RASP (Runtime Application Self Protection) ツールとは異なり、Virsecは、ウェブサーバ、アプリサーバ、及びバックエンドデータベースにわたるレスポンスを含む完全なウェブトランザクションのステートフルな解析と共に全体像をまとめます。 Virsecは、ルール、ヒューリスティックス、学習又は絶えず更新するシグネチャに頼ること無しに、最初に脅威を検出します。

ランタイム中の補完統制（Compensating Controｌ )Virsecは、開発とプロダクションの間のループを閉じる、初のソリューションであり、テスト中及びランタイムプロダクションで同じ高度な攻撃検出を適用します。この継続的な監視及び保護のアプローチは、製品化までの期限や納期の問題で適時に修復することができなかった脆弱性に対する補完統制を効果的に提供します。
Virsecは、ランタイム中のアプリケーションを継続的に監視・保護する唯一のテストソリューションであり、ランタイム中に検出された新しい脅威についての報告を開発チームに自動的に返して、修復を継続することができます。

● クラウド及びコンテナ向けに構築

Virsecのランタイムアプリケーション保護は、パブリッククラウド/プライベートクラウド/ハイブリッドクラウド、並びにコンテナ、VMなどの異なる仮想化タイプ又は物理マシンにわたってシームレスに動作します。

「Virsecの検出の精度及び実行される保護の即時性は卓越していました。
このソリューションが展開されると保護が実施されるので、何もすることがありません。
これは、他の製品と比較すると、驚くべき事実です」– Caffeinated Networksのレポートより

Run time Application Memory Protection

最新のファイルレス攻撃やSpectre/Meltdown など
プロセスメモリを介したアプリケーション
ハイジャックを防止！

(TEL) 03-5817-3655 (代)www.cornet-solutions.co.jp
Copyright 2021 Cornet Solutions K.K. Rev. B

3/4

文中の社名、商品名等は各社の商標、又は登録商標です。

最も革新的な次世代セキュリティ、リアルタイムセキュリティ、ゼロデイ攻撃やエクスプロイトの検出と防止

2020年2月、Virsecは、ノミネートされたカテゴリごとにInfo Security Products Guide
Global Excellence Awardsを受賞！
•最も革新的な次世代セキュリティに対する金賞•リアルタイムセキュリティの金賞•ゼロデイアタック及びエクスプロイトの検出と防止に対するシルバーアワード
Virsecは、Virsec Security Platformでセキュリティ業界で最も権威のある賞を常に受賞しています。
VSP（Virsec Security Platform）は、高度なCI / CDアプリケーションテストと実行時の継続的なモニタリングを組み合わせて、これまでにない精度と時間の節約を実現し、実際の攻撃から保護する最初のソリューションです。
VSPはWeb、メモリ及びホストレベルでアプリケーションスタック全体にわたってアプリケーションを内側から保護します。
Virsecは、特許を取得したAppMap™テクノロジーを用いて、コードの実行時にコードの制御フローの整合性をマッピング及び適用します。
予期しない動作が発生した場合、即座に検出され、ミリ秒以内に停止します。 Virsec Security Platformは、エクスプロイトシグネチャ、ヒューリスティック、または動作ルールに依存することなく、悪意のあるコードがアプリケーション内で実行されるのを予防的に阻止します。
シュナイダーエレクトリックのチーフセキュリティアーキテクトであるポールフォーニー氏は、
Virsec Security Platformについて次のように述べています。
「これらの賞は、彼らのテクノロジーがいかに強力であるかを認め、十分にふさわしいものです。
Virsecの独自の制御フローの整合性は、プロセスメモリの最も深いレベルで重要なアプリケーションを保護します。
ROPチェーン、ファイルレス、バッファオーバーフロー、その他の高度な攻撃手法などの攻撃を阻止します。」
Tech MahindraのSVPグローバルサイバーセキュリティ担当副社長であるRajiv Singh氏は、次のように述べています。
これらの賞は、テレコム、ICS、製造、ヘルスケア、金融サービスなどのお客様から寄せられたものを反映しています。彼らは、Virsecが彼らの最も重要なアプリケーション、つまり王冠の宝石を保護するための革新的なものであると信じています。私たちは1年間Virsecと緊密に協力してきており、マーキーの顧客を獲得し、そしてグローバルパートナーシップを発表しました。」

既に9分野での受賞！

「組織は、従来のセキュリティソリューションの範囲を完全に超えた、全く新しい高度な攻撃が過去5年間に出現し、これらの脅威がもたらす荒廃を考えると、セキュリティの考え方を変えることがいかに重要であるかをますます認識しています」
Virsec CEO （Atiq Raza）● Virsec Systems, Inc.(米国、サンノゼ）について

Virsec社は、損害を及ぼす今日の最も巧妙化されたサイバー攻撃 から組織を保護する革新的なサイバーセキュリティリーダーです。
Virsec社は、独自の技術を通じて、従来のセキュリティツールでは見えないゼロデイ脅威、ファイルレス攻撃及びメモリ破壊エクスプロイトを確実に防止します。特許を取得したVirsec社のTrusted Execution™システムは、高度なセキュリティ攻撃をリアルタイムで決定論的に阻止し、フォールスポジティブなしで、他に類を見ない精度を提供します。Virsec社はカリフォルニア州サンノゼに本社を置き、ヨーロッパ、アジア、及びオーストラリアに世界展開しています。

(TEL) 03-5817-3655 (代)www.cornet-solutions.co.jp
Copyright 2021 Cornet Solutions K.K. Rev. B

4/4

文中の社名、商品名等は各社の商標、又は登録商標です。