Security services (CTEM)
セキュリティサービススイート (CTEM / DAST / SAST / VM) のカタログは GET /v1/security/services で取得できます。認証不要の公開エッジで、記述 (describe) のみを行います。
curl -s https://api.kotoba.cloud/v1/security/services | jq '.[] | {id, status}'
# ctem → "component-shipped"
# dast → "gated"
# sast → "gated"
# vm → "component-shipped"CTEM — exposure management
CTEM は外部攻撃表面と社内エントリポイントを継続的に列挙し、攻撃パスと資産コンテキストを VM 台帳へ渡します (status: component-shipped)。
# CTEM capabilities (from the catalog entry)
surface-inventory # continuous external attack-surface / asset inventory
attack-path # reachable attack-path identification
context # asset context (public routes, deps, owner)
exposure-feed # exposure events fed to the VM ledger
# inputs: assets, dns, certificates, open-endpoints
# outputs: attack-paths, exposure-findings, asset-context
# integration: feeds vm, emits :finding (shared finding-schema)SAST — static application security testing
SAST はソースコードを解析して脆弱パターンとサニタイズ漏れを検出し、ファイル・行つきのコード所見を VM 台帳へ出します (status: gated)。
# SAST capabilities (from the catalog entry)
code-analysis # static source-code analysis
taint-flow # taint / data-flow inspection
code-finding # code findings with file + line
# inputs: source-code, dependency-manifests
# outputs: code-findings, taint-paths, dependency-notes
# integration: feeds vm, emits :finding (role: code-findings)DAST — dynamic application security testing
DAST は稼働中のアプリを実行して脆弱性を検出し、再現性のあるランタイム所見 (リクエスト・レスポンスのエビデンス) を VM 台帳へ出します (status: gated)。
# DAST capabilities (from the catalog entry)
runtime-probe # dynamic probing of running applications
auth-scenarios # probing with authenticated scenarios
runtime-finding # runtime vulnerability detection as findings
# inputs: running-apps, scan-scopes, auth-scenarios
# outputs: runtime-findings, request-response-evidence
# integration: feeds vm, emits :finding (role: runtime-findings)DAST / SAST は gated (非公開の authority の後方でゲート中)。3 つの上流サービスは共通 finding-schema で所見を出し、VM が重複排除・スコアリング (到達可能性 × 悪用可能性)・修正ライフサイクルを CPE/CVE キーで管理します。