概要
- Yamory は、ソフトウェア・ホスト・コンテナ・クラウド設定・ネットワーク機器まで、システム全体の脆弱性を一元管理できる国産クラウドサービス。
- SBOM（CycloneDX / SPDX）インポート・エクスポート対応により、サプライチェーンリスクも可視化。
- 特許取得のオートトリアージ機能により、脆弱性の優先順位を自動判定。
- クラウドアカウント連携のみで導入でき、エージェント不要。
- 日本語UI・日本語サポートで、国内企業のセキュリティ運用に適した設計。
目的
- 脆弱性の可視化と優先順位付けの自動化
- SBOMを活用したサプライチェーンリスク管理
- クラウド設定不備（CSPM）の早期発見
- OSSライセンス違反・EOLリスクの統合管理
- 部署・ベンダー横断での資産管理統一
- セキュリティ運用コストの削減と属人化の解消
機能
- 脆弱性スキャン（SCA / ホスト / コンテナ / クラウド）
- クラウド設定管理（CSPM）
- SBOMインポート／エクスポート（CycloneDX / SPDX）
- OSSライセンス管理
- EOL（サポート終了）管理
- オートトリアージ（特許取得）
- CISA KEV との照合
- SSVCベースのリスク分析
- 対応管理・監査ログ出力
- チーム機能（部署・ベンダー単位の管理）
- IT資産登録（CPEレコメンド機能）
仕組み
- クラウドアカウント連携による自動資産収集
- 依存関係解析エンジンによるソフトウェア構成の解析（SCA）
- 独自の脆弱性データベースを日次更新
- CPEレコメンドによる正確な資産マッチング
- オートトリアージが危険度・攻撃状況・外部公開可否を基に優先度を自動判定
- ダッシュボードで全リスクを可視化し、対応状況を管理
運用方法
- AWS / Azure / GCP のアカウントを連携し、資産を自動収集
- Gitリポジトリやコンテナレジストリを接続してスキャン
- ダッシュボードで脆弱性・設定不備・EOL・ライセンス違反を確認
- オートトリアージの優先度に従って対応を進める
- チーム機能で部署・ベンダー単位に管理範囲を分離
- Slack / Teams / Chatwork / Jira などと連携して通知・チケット化
- 監査ログを出力し、内部監査・外部監査に活用
- SBOMをインポート／エクスポートしてサプライチェーン管理を実施
引用
・「yamoryは、ソフトウェア内部の構成（SCA）からホスト／コンテナ／クラウド／ネットワーク機器など全レイヤーに対応した脆弱性管理ができる国内唯一のクラウドサービスです。」
出典：https://yamory.io/
・「クラウドアカウントと連携するだけで、クラウド上のホスト、コンテナ、ソフトウェアの構成情報を一括把握し、設定情報の不備（CSPM）も検出します。」
出典：https://yamory.io/function/cloud/
・「特許取得のロジックで、危険度、外部からのアクセス可否、攻撃手段の公開有無から、対応の優先順位を自動判定。」
出典：https://yamory.io/function/vulnerability/
・「OSSの利用状況を下層まで可視化し、ライセンス違反がある箇所を検知。」
出典：https://yamory.io/function/license/
・「スキャンしたソフトウェアのEOLの期限が近くなると自動で通知。」
出典：https://yamory.io/function/eol/
・「アナリストが脆弱性情報を収集・分析・精査したデータベースを保持。日次更新なのでゼロデイ攻撃の対策も可能。」
出典：https://yamory.io/function/vulnerability/
・「CPEレコメンド機能により、お客様がIT資産を入力したその瞬間に、システムが適切なCPE候補を提案します。」
出典：https://yamory.io/function/asset/
・「Slack、Microsoft Teams、Chatwork、Jiraなどの主要ツールとWebhook連携が可能。」
出典：https://yamory.io/function/integration/