xZETA

優れた自動車の脆弱性とSBOM
管理システムによってゼロデイリスクの知見を得る

デモの依頼

今日のシステムはソフトウェアのリスクを適切に軽減できない - その理由

既知の脆弱性のみに注目

脆弱性は既知のオープンソースの脆弱性を超えて、ゼロデイの脆弱性や不正なオブジェクトにまで及んでいます。オープンソースの脆弱性のみに対処するだけでは、新たなソフトウェア定義車両の環境におけるリスクを軽減するには不十分です。

実用的ではない脆弱性の知見

制約があり不十分な修復情報により、自動車メーカー（OEM）やTier 1サプライヤーは、脆弱性の収集、評価、管理に多大な手作業に依存せざるを得ません。この方法は時間がかかるだけでなく、人的ミスのリスクも伴います。

不正確な SBOMへの対応に苦慮

脆弱性管理プラットフォームから自動生成されたソフトウェア部品表（SBOM）には、オープンソースコンポーネントのバージョンやパスの詳細が間違っているなどのエラーが含まれている可能性があります。このため、製品セキュリティチームは手動レビューに多大な時間を費やさざるを得ません。

自動車の脆弱性と
SBOM管理システムの優位性

優れた網羅性

189％広い検出範囲で死角を排除

既知のオープンソースの脆弱性のみに対処する従来の脆弱性管理プラットフォームとは対照的に、xZETAは、ゼロデイ、非公開、既知の脆弱性、共通脆弱性タイプ一覧（CWE）、標的型サイバー攻撃（APT）*、ランサムウェア*に対して優れた可視性を提供します。当社の脅威インテリジェンスは、国家脆弱性データベース（NVD）を+189%も上回ります。

的確な優先順位付け

重要な脆弱性の上位10％に効率的にリソースを配分

独自の技術であるVicOne VVIR*（VicOne Vulnerability Impact Rating）を活用し、xZETAは、自動車メーカー（OEM）とTier 1サプライヤーがシステムに最も大きな影響を与える重要な10％の脆弱性に注力できるようにします。この革新的なアプローチは、システム環境や製品の使用シナリオなどの内部の知見と、当社独自の自動車向けスレットインテリジェンスから得られる外部の情報を組み合わせています。

*特許出願中

実践に結びつく有益情報

自動車脅威情報をいつでも入手可能

ISO/SAE 21434に準拠したxZETAは、世界中のサイバーセキュリティのインシデントやニュースを絶え間なく追跡し、関連する脆弱性と直接関連付ける自動車脅威情報データベースを提供します。これにより、OEMやTier 1サプライヤーは脆弱性の優先順位を正確に決定し、攻撃者が脆弱性を悪用する方法を理解し、必要なコンテクストとともに攻撃経路をマッピングすることができます。

正確なSBOM

不要な手作業を削減

ファイルパスの欠落、バージョンの誤り、パッケージ情報の欠落などの問題を含むSBOMを生成する脆弱性スキャンツールとは異なり、xZETAは正確なSBOMを提供します。xZETAはソフトウェアの内容そのものに着目するため、ソフトウェアのバージョンが関連する設定ファイルやドキュメントと一致していない場合でも、正しいバージョンを検出できます。さらに、xZETAはソフトウェア部品表だけでなくハードウェア部品表（HBOM）や暗号部品表（CBOM）もサポートしており、強固で完全な製品セキュリティ戦略を実現します。

供給元の特定

ソフトウェアの供給元を1か所で把握

米国は、国家安全保障を強化するために、懸念国から供給されたソフトウェアを搭載したコネクテッド車両に関する新たな規則を提案しています。xZETAは、ソフトウェアパッケージのサプライヤーと供給元の詳細情報を自動的に生成し、容易なトレーサビリティを実現します。

その他の製品機能

バイナリ解析では、ソースコードを変更せずに分析を行うことができます。
既存のCI/CDプロセスと連携し、SBOMの抽出と脆弱性の監視を自動化することで、運用効率を向上させます。
JiraやBlock Harborなどのサードパーティーのチケットシステムとシームレスに統合し、ケース管理を合理化します。ソリューションの概要を読む
調査後、CVSSスコアを修正することで、問題の重大度を変更できます。
ファームウェア内の機密データを検出し、データ漏洩のリスクを軽減します。

SBOMでオープンソースライセンスの可視性が得られ、コンプライアンスを確保できます。
SPDXやCycloneDXなどの標準フォーマットでのSBOMエクスポートが可能で、OEMとの簡単な共有を促進し、NTIA SBOMの要件に準拠しています。
業界最大の脆弱性データベースによって強化された、ソフトウェア定義車両（SDV）におけるリスクに対する準備が整います。
カスタマイズ可能なロールベースのアクセス制御（RBAC）により、ユーザー権限の管理を簡単に行えます。

xZETA FAQ

xZETAはどのような製品ですか？

VicOneのxZETAは、クラウドベースの自動車向け脆弱性管理およびSBOM（ソフトウェア部品表）生成ツールです。既知のオープンソース脆弱性のスキャンにとどまらず、車両ソフトウェアに含まれるゼロデイ脆弱性、マルウェア、標的型サイバー攻撃（APT）、ランサムウェア、バックドア攻撃まで全体にわたって検出します。

xZETAは一般的な脆弱性スキャナーと比較してどのような違いがありますか？

xZETAはNVD（National Vulnerability Database）と比較して189%広い脆弱性カバレッジを提供しています。独自技術であるVVIR（VicOne Vulnerability Impact Rating）によりリスクを優先順位付けし、最も影響が大きい上位10%の脆弱性にチームのリソースが集中できるようにすることで、手作業への依存を減らしながら効率的な対応を実現します。

VicOne Vulnerability Impact Rating（VVIR）とはどのような技術ですか？

VVIRは、VicOneの独自技術による脆弱性優先順位付けシステム（特許出願中）です。システム環境や製品の利用シナリオなどの内部要因と、外部の自動車向け脅威インテリジェンスを組み合わせることで、OEMやTier 1サプライヤーのセキュリティチームが本当に対処すべき脆弱性への対応に集中できるよう支援します。

xZETAはどの程度の精度でSBOMを生成できますか？

ファイルパスの欠落、バージョンの誤り、パッケージ情報の欠落といった問題を生じさせる他のツールとは異なり、xZETAはバイナリの深層解析による正確なSBOMを生成します。さらに、包括的な製品セキュリティ管理に向けてHBOM（ハードウェア部品表）とCBOM（暗号部品表）にも対応しています。

xZETAのソフトウェアサプライチェーンへのコンプライアンス対応支援について教えてください。

xZETAはサプライヤー情報と供給元の詳細を含むSBOMを自動生成し、懸念国から供給されたコネクテッドカー向けソフトウェアに関する米国規制案で求められるトレーサビリティ要件への対応を支援します。SPDX・CycloneDX形式でのエクスポートに対応しており、NTIAのSBOM要件にも準拠しています。

xZETAはどのようなコンプライアンスフレームワークに対応していますか？

ZETAは自動車OEMおよびTier 1サプライヤーがISO/SAE 21434およびUN R-155への準拠を実現できるよう支援し脆弱性管理を自動車サイバーセキュリティ関連規制の要件と整合させることができます。

xZETAの導入によって脆弱性対応にかかる時間はどの程度短縮されますか？

お客様事例によると、xZETAの導入により脆弱性スキャンからパッチ適用までの期間が6か月からわずか2週間に短縮され、製品セキュリティチームに大幅な効率改善をもたらしました。

コラボレーション

金澤幸司様

JRCモビリティ株式会社

“

仮に手動で脆弱性抽出を行った場合と比較して、70〜80%の作業工数短縮効果があったと試算しています。xZETAとVicOneのサポートがなければ、目標期日の達成は間違いなく不可能でした。

パートナーストーリーを読むプレスリリースを読む

Tin T. Nguyen

VinCSSの自動車サイバーセキュリティ部門のディレクター

“

監査員に対して効果的な脆弱性管理の能力を示すために、私たちはxZETAシステムを活用しています。これにより、UN R155の要件を満たすことに貢献しています。

パートナーストーリーを読むデモを見るプレスリリースを読む

YC Chang

Askey社自動車製品部門シニアディレクター

“

xZETAシステムは、ほぼ即座に結果を提供し、製品開発の効率を大幅に向上させます。最近の例では、脆弱性のスキャンからパッチの展開まで、わずか2週間で行うことができました。これは、以前の6ヶ月という時間枠から大きな進歩です。

パートナーストーリーを読むデモを見るプレスリリースを読む

Jason Hsu

Primaxのコネクテッド・モビリティ事業部のバイスプレジデント

“

VicOne xZETAは、未知のサイバーセキュリティ脆弱性に迅速に対処し、当社のプロアクティブな管理と製品セキュリティを強化してくれます。

パートナーストーリーを読むデモを見るプレスリリースを読む

John Heldreth

Automotive Security Research Group (ASRG) 創設者

“

専門的なAutoVulnDB CVEデータベースの構築にあたり、VicOneのサポートと業界をリードする専門知識に感謝しています。

プレスリリースを読む

xZETAを選択する理由

脆弱性レポートにおけるグローバルリーダー

トレンドマイクロが運営する脆弱性発見コミュニティ「Trend Zero Day Initiative™ (ZDI)」*の支援を受けてVicOneは、自動車のゼロデイ脆弱性に関する独自のインテリジェンスを提供しています。特に、コネクテッドカーとEV充電器における49件のゼロデイ脆弱性をわずか3日間で発見しました。

*2007年以降、脆弱性発見数第1位
出典: Omdia Research, Quantifying the Public Vulnerability Market: 2024 Edition