セキュリティサービス

継続的脅威曝露管理。公開エンドポイント・ドメイン・証明書を継続スキャンして外部攻撃表面・エントリポイントを列挙し、到達可能な攻撃パスを特定、公開経路・依存・所有者の資産コンテキストを付与して、曝露イベントと共通スキーマの所見を VM 台帳へ渡します。ATT&CK T1190 (Exploit Public-Facing Application) / T1595 (Active Scanning) に相当。

Continuous Threat Exposure Management: continuously scans public endpoints, domains and certificates to enumerate the external attack surface and entry points, identifies reachable attack paths, attaches asset context (public routes, dependencies, owner) and feeds exposure events plus shared-schema findings to the VM ledger. Maps to ATT&CK T1190 (Exploit Public-Facing Application) and T1595 (Active Scanning).

• 入力: assets, dns, certificates, open-endpoints
• 出力: attack-paths, exposure-findings, asset-context
• 連携: CTEM は攻撃パスと資産コンテキストを VM 台帳へ渡し、到達可能性スコアの根拠になります。

動的アプリケーションセキュリティテスト (DAST)。稼働中のアプリに対し、走査スコープと認証シナリオ (ログイン等の認証ありのパス) で動的検査を行い、再現性のあるランタイム脆弱性所見 (リクエスト・レスポンスのエビデンスつき) を VM 台帳へ報告します。

Dynamic application security testing (DAST): probes running applications with dynamic inspection across scan scopes and authenticated scenarios (logged-in paths), and reports reproducible runtime vulnerability findings with request/response evidence to the VM ledger.

• 入力: running-apps, scan-scopes, auth-scenarios
• 出力: runtime-findings, request-response-evidence
• 連携: DAST は実行時の再現性のある所見（リクエスト・レスポンスのエビデンス）を VM 台帳へ出します。

静的アプリケーションセキュリティテスト。ソースコードを解析して脆弱パターンとサニタイズ漏れを検出し、静的解析と taint / データフロー検査で、ファイル・行つきのコード所見を VM 台帳へ報告します。依存関係マニフェストも検査し、依存メモを出力します。

Static application security testing: analyzes source code for vulnerable patterns and missing sanitization, and through static analysis and taint / data-flow inspection reports code findings with file and line to the VM ledger. Also inspects dependency manifests and emits dependency notes.

• 入力: source-code, dependency-manifests
• 出力: code-findings, taint-paths, dependency-notes
• 連携: SAST はファイル・行つきのコード所見を VM 台帳へ出し、修正対象の特定を速くします。

標的型メール攻撃検出 (SPECT)。受信メールのなりすましを検出します: ヘッダ検証 (SPF/DKIM/DMARC) とドメイン正規化比較 (punycode / homoglyph / 付加文字)、URL リライト先と送信者の不一致を検査し、標的型メール所見を VM 台帳へ報告します。ATT&CK T1566 (Phishing) に対応。

Spear-phishing detection (SPECT): detects impersonation in received mail — header verification (SPF/DKIM/DMARC) against domain-normalisation comparison (punycode / homoglyph / added characters), URL rewrite targets against the sender — and reports targeted-mail findings to the VM ledger. Covers ATT&CK T1566 (Phishing).

• 入力: received-mail, domain-intel, mail-flow-records
• 出力: targeted-mail-findings, lookalike-domain-notes, impersonation-evidence
• 連携: SPECT はヘッダ・ドメイン正規化・URL 不一致のエビデンスつき所見を VM 台帳へ出し、乗っ取り後の追跡起点になります。

脆弱性管理 (wvme)。4 つの上流サービスが発した共通スキーマの所見を重複排除し、到達可能性と悪用可能性でスコアリングして、CPE/CVE キーつきの修正ライフサイクル台帳として管理します。CVE/CPE フィード入力を受け付けます。

Vulnerability management (wvme): consumes the shared-schema findings emitted by the four upstream services, dedups and scores them by reachability and exploitability, and tracks the remediation lifecycle in a ledger keyed by CPE/CVE. Accepts CVE/CPE feed input.

• 入力: findings-from-ctem, findings-from-dast, findings-from-sast, findings-from-spear-phishing, cve-cpe-feeds
• 出力: vulnerability-ledger, remediation-status, exposure-reports
• 連携: VM は台帳サービス: 上流サービスの所見を共通スキーマで受け、重複排除・スコアリング・修正追跡を行います。

統治（NIST CSF 2.0 GOVERN）。CSF 2.0 組織プロファイル（サブカテゴリごとの現在・目標ティア）からギャップを出し、リスク台帳を発生可能性 × 影響度とリスク許容度で採点し、サプライヤー台帳を重要度で階層化して欠けている要件（契約のセキュリティ条項・インシデント通知条項・再評価・出口計画）を列挙します。POST /v1/security/govern、送った内容だけから決定論的に計算し、保存しません。

Governance (NIST CSF 2.0 GOVERN): turns a CSF 2.0 organizational profile (current and target tier per subcategory) into gaps, scores a risk register by likelihood × impact against a risk appetite, and tiers a supplier register by criticality, listing the missing requirements (security clause, incident-notification clause, reassessment, exit plan). POST /v1/security/govern computes deterministically from the body alone and stores nothing.

• 入力: csf-profile, risk-register, supplier-register
• 出力: profile-gaps, scored-risk-register, supplier-findings
• 連携: GRC は VM 台帳の所見をリスク台帳の入力として扱えます。出力は CSF サブカテゴリ ID つきで、同じ ID 空間のまま IR / DR に渡せます。
• POST /v1/security/govern · GET /v1/security/govern で入力例と応答例

インシデント対応（NIST CSF 2.0 RESPOND）。インシデント報告 1 件から、分類・優先度・エスカレーション先、RS サブカテゴリつきの手順、事実から決まる当局報告期限（個人情報保護法の速報・確報、GDPR 第 33 条、NIS2 第 23 条）、復旧へ移る基準を返します。POST /v1/security/respond、決定論的で保存しません。

Incident response (NIST CSF 2.0 RESPOND): from one incident report, returns its category, priority and escalation, a playbook whose every step names its RS subcategory, the notification deadlines the stated facts trigger (Japan APPI preliminary and final reports, GDPR Art. 33, NIS2 Art. 23) and the criteria for moving to recovery. POST /v1/security/respond is deterministic and stores nothing.

• 入力: incident-report, vm-findings
• 出力: triage, playbook, notification-deadlines, recovery-criteria
• 連携: IR は VM 台帳・SPECT の所見を起点にインシデントを起こし、復旧基準を満たしたら DR に渡します。
• POST /v1/security/respond · GET /v1/security/respond で入力例と応答例

復旧（NIST CSF 2.0 RECOVER）。資産の重要度・RTO・RPO・依存関係・バックアップ（最終成功・最終リストアテスト・オフサイト・イミュータブル）から、依存順の復旧ウェーブ、RPO 充足、3-2-1-1-0 の検査、RTO の逆転、復旧の検証手順と終了基準、関係者・公開向けの連絡マイルストーンを返します。POST /v1/security/recover、決定論的で保存しません。

Recovery (NIST CSF 2.0 RECOVER): from assets' criticality, RTO, RPO, dependencies and backups (last success, last restore test, offsite, immutable), returns dependency-ordered restore waves, RPO checks, 3-2-1-1-0 checks, RTO inversions, verification steps and end-of-recovery criteria, and stakeholder and public communication milestones. POST /v1/security/recover is deterministic and stores nothing.

• 入力: assets, rto-rpo, dependencies, backup-records
• 出力: restore-waves, backup-findings, end-criteria, communications
• 連携: DR は IR の復旧基準を満たした時点で使う復旧計画で、平時にはバックアップと RTO/RPO の検査として回せます。
• POST /v1/security/recover · GET /v1/security/recover で入力例と応答例