AI Pentestのアップグレード、ServiceNow連携、メール通知の刷新、プラットフォーム制御の強化

---

🚀 AI Pentestと自動化

• ブラウザー自動化の強化：公式のChrome DevToolsエンジンを統合し、特にiframeを含む複雑な認証フローにおいて、Webアプリケーションテストの信頼性を大幅に向上させました。
• 認証付きスキャンでのOTPサポート：AIエージェントがテスト端末のSMSメッセージを読み取れるようになり、2FAで保護されたアプリケーションのワンタイムパスワード（OTP）を自動的に処理できます。
• モバイルテストの信頼性向上：
• 従来の端末操作の方法を、動的解析中にモバイル端末の準備とクリーンアップを行う、より堅牢な新しいサービスに置き換えました。
• iOS 18+でのスクリーンショット機能を改善し、ブラウザー自動化のエラー回復を強化し、端末割り当てのリトライロジックを改善しました。
• 高度なiOS静的解析：AIエージェントが、物理端末なしでiOS（IPA）ファイルの詳細な静的解析を実行できるようになりました。パッケージ内容の検査、Info.plistファイルの解析、エンタイトルメントの分析などが含まれます。
• iOS静的解析の出力の改善：UI上のiOS静的解析結果の書式と分かりやすさを改善しました。
• AIを活用したiOSアプリのカスタマイズ：AIを活用して一時的なiOSアプリケーションを動的にカスタマイズしてビルドし、標準的なアプリの挙動を超えた、高度に絞り込んだテストケースを実現します。
• より簡潔な脆弱性レポート：検証エビデンスの保存方法と表示方法をリファクタリングし、重複したコンテンツを排除して、より簡潔で読みやすいAI Pentestレポートを生成できるようにしました。

---

🔌 新しい連携：ServiceNow

Ostorlabの脆弱性をServiceNowにインシデントとしてシームレスに同期できる、フル機能のServiceNow連携をご紹介できることをうれしく思います。

• インシデントの自動作成：OstorlabとServiceNowの間でチケットを自動的に作成、更新、同期します。
• 柔軟なフィールドマッピング：直接のフィールドマッピング、固定値、動的テンプレート（例：{{title}} - {{risk_rating}}）を使ってマッピングをカスタマイズできます。
• 複数構成のサポート：複数のServiceNow連携を同時に設定・管理でき、組織ごとに異なるテーブルやインスタンスに対応します。
• 完全な認証サポート：Basic認証とOAuth 2.0の両方に対応し、安全で柔軟な接続を実現します。

---

✉️ メール通知の刷新

• ビジュアルの全面刷新：ウェルカムメール、スキャンステータスの更新、チケットの割り当て、セキュリティアラートなど、プラットフォームのすべてのメール通知を、モダンでクリーンかつ一貫性のあるデザインに刷新しました。
• 読みやすさとレイアウトの改善：書式を修正し、主要なメールクライアントすべてで正しく表示されるアイコンを用いてレイアウトを強化しました。メールが読みやすく、対応しやすくなります。

---

🧩 Ownerベースのアクセス制御（Owner-Based RBAC）

同じOstorlab環境で複数のチームが作業する組織向けに設計された新しいアクセス制御モデル、Owner-Based RBACを導入しました。既存のロールの上にチーム単位のアクセスレイヤーを追加し、管理の複雑さを増やすことなく、可視性と権限の境界を正確に設定できます。

Ownerは、チーム、製品、事業部門などの論理的なグループを表します。ユーザーはOwnerに割り当てられ、Ownerはアセット（アプリ、ドメイン、IP）を管理します。アクセス権はアセットからスキャン、生成されたチケットへと自動的に伝播するため、権限を手動で管理する必要はありません。

主なメリット：

• チーム単位の分離とやり取り：ユーザーは、自身のOwnerに関連するアセット、スキャン、チケットだけを表示・操作できます。これにはCopilotを通じた操作も含まれます。また、アプリ内とメールの両方で通知がきめ細かく絞り込まれるため、各チームは自身のスコープ内のアセットに関する更新だけを受け取ります。

• アクセスの自動伝播：アクセス権はOwner → アセット → スキャン → チケットの順に伝わります。

• 階層構造：Ownerは親子関係を持つことができ、個々のチームのスコープを維持したまま、マネージャーが複数のチームを監督できます。

• デフォルトで最小権限：ノイズを減らし、意図しないチーム間のアクセスを防ぎます。

Owner-Based RBACを有効にした場合のロールの動作：

• Admin：制限のないアクセス。Ownerによる制限をバイパスします。

• User：割り当てられたOwner内での読み取りと書き込みのアクセス（Ownerが割り当てられていない場合はフルアクセス）

• Reader：割り当てられたOwner内での読み取り専用アクセス（Ownerが割り当てられていない場合はすべてを読み取り可能）

• Attack Surface Auditor：従来のロールで、非推奨です。

Owner-Based RBACはSettings → Organization → Object-Level Access Controlから有効にでき、プラットフォーム全体でチーム単位のきめ細かなアクセス制御が即座に有効になります。

---

🖥️ プラットフォームと請求の強化

• 新しいペンテストプラン：Webアプリケーションとモバイルアプリケーション向けに、AIを活用したペンテストと専門家主導のペンテストの新しいプランを追加しました。プラットフォームから直接利用できます。
• 支払い方法（クレジットカード）の更新：サブスクリプションに使用するクレジットカードを、請求設定から直接、安全に更新または変更できるようになりました。サービスを中断することなく、支払いを簡単に管理できます。
• 請求情報の編集：請求情報（名前、メールアドレス、住所、税ID）を支払い方法の設定から直接更新できるようになりました。
• プランと請求のUIの改善：レイアウトを分かりやすくし、ツールチップを追加し、無効なプランには「Canceled」ラベルを表示するなど、サブスクリプション管理を強化しました。
• テーブル操作の改善：すべてのデータテーブルで、中クリックとCtrl/Cmd+クリックによって項目を新しいタブで開けるようになりました。
• スムーズなナビゲーション：AI Pentestの分析タイムラインで、長い分析のページネーションを無限スクロールに置き換えました。
• モーダルの使い勝手の向上：脆弱性とリスクの詳細モーダルのスクロール動作を改善し、背景ページの移動を防いでフォーカスを維持します。

---

🪲 バグ修正と改善

• モバイルスキャンの信頼性：
• 端末割り当て時のエラー処理を改善し、Androidの動的スキャンの信頼性を高めました。
• root化されたテスト端末でのスキャン実行に対応しました。
• Androidのroot検知の精度向上：Androidの静的解析におけるroot検知チェックの誤検知（フォールスポジティブ）を修正しました。
• スキャン完了ワークフロー：Fast Scansなどのスキャンプロファイルで「scan done」ワークフローがトリガーされない問題を解決しました。
• チケット作成ロジック：同じ脆弱性に対してクローズ済みのチケットがすでに存在する場合に、新しいチケットを作成できない問題を修正しました。
• アイコン表示の修正：ローカルでホストしたアイコンに切り替え、サードパーティのCDNがブロックされている地域での表示の問題を解決しました。
• UIの一貫性と仕上げ：スキャンレポートの余白、スキャン詳細のレイアウトの一貫性、コールカバレッジの区切り線、今後の請求書が常に正しく表示されるようにすることなど、複数の軽微なUIの問題に対処しました。