ASPMとは？アプリのセキュリティ態勢管理の種類（検査結果の集約型・実行環境の連携型）と、他社ツールの取り込み・価格の選び方

ASPMとは

ASPMは、SAST、DAST、SCAなどの検査ツールが出した結果を1か所に集め、重複を除いて、直す順番を決める製品です。ツールごとに別の画面で結果を読んでいると、同じ指摘が重なり、どれから直すかが決まりません。

比較ページには、自社で開発して提供する会社の製品を、日本語の公式ページで確かめられた範囲で載せています。検査ツール単体は載せていません。

2つの種類

• 検査結果の集約型：検査ツールの結果を集めて整理します。例はブラック・ダックの Software Risk Manager と OpenText ASPM ⁠⁠⁠です
• 実行環境の連携型：検査の結果に、動いているアプリとクラウドの情報を結び付けます。例はパロアルトネットワークスの Cortex Cloud ASPM とクラウドストライクの Falcon ASPM ⁠⁠⁠です

SAST・CSPMとの違い

• SASTはソースコードを調べて、脆弱性を見つける検査です。ASPMはその結果を受け取って、順番を決めます
• CSPMはクラウドの設定とコンプライアンスを見ます。ブラック・ダックの解説では、クラウド上のアプリに脆弱なコンポーネントがあるかどうかは、CSPMでは示せません

他社ツールの取り込み

• Software Risk Manager は、150以上の他社ツールと連携します
• Cortex Cloud ASPM は、Black Duck、Checkmarx、Snyk、Veracode などの結果を取り込みます。SARIF形式で出せるスキャナーの結果も入ります
• OpenText ASPM と Falcon ASPM の製品ページには、取り込める他社ツールの一覧がありません。今のツールが使えるかを導入前に聞きます

優先順位の付け方

• Software Risk Manager は、検出結果の相関付け、重複排除、要約で絞ります
• OpenText ASPM は、自社の事業に合わせて調整できるリスクスコアを使います
• Cortex Cloud ASPM は、コード、パイプライン、ランタイム、アプリの情報を組み合わせます
• Falcon ASPM は、ランタイムの振る舞い、クラウド露出、資産の重要度を関連付けます

ポリシーと監査

• OpenText ASPM は、ポリシー違反が出るとリリースを止めたり、チケットを作ったりします。レポートは OWASP、PCI、NIST に沿って出します
• Software Risk Manager は、評価結果を20以上のコンプライアンス標準と照合します

値段

• 4製品とも、製品ページに値段を出していません。デモや問い合わせの窓口から各社に聞きます