blue-team-root

blue-team-root

目的

このスキルは、サイバーセキュリティの中核となるブルーチーム機能を提供し、脅威の検出、インシデント対応、システム防御を可能にします。侵入検知システムやログ記録フレームワークなどのツールと連携し、サイバー脅威から保護します。

使用する場面

ネットワークトラフィックの異常を監視する場合、セキュリティインシデントに対応する場合、またはシステムを強化する場合に、このスキルを使用します。侵害が疑われる際などのリアルタイムの脅威検出や、クラウドインフラストラクチャやオンプレミスサーバーなどの環境における予防的な防御に適用します。

主な機能

• 脅威の検出：Snort などのツールを使用してネットワークをスキャンします。例：snort -A console -q -c /etc/snort/snort.conf でパケットキャプチャを分析し、侵入を検出します。
• インシデント対応：影響を受けたホストを隔離するスクリプトで封じ込めを自動化します。例：次の Python スニペットで IP をブロックします：import subprocess; subprocess.run(['iptables', '-A', 'INPUT', '-s', '192.168.1.1', '-j', 'DROP'])。
• システム防御：ファイアウォールと監視を設定します。ossec.conf で <global><email_notification>yes</email_notification></global> のような設定を使用して、OSSEC のリアルタイムアラートを設定します。
• ログ分析：ELK stack でログを解析します。JSON ペイロード {"query": {"match": {"message": "suspicious login"}}} を使用して、Elasticsearch エンドポイント /logs/_search をクエリします。
• 脆弱性スキャン：API 経由で Nessus のスキャンを実行します。エンドポイント POST /scans には、{"policy_id": 1, "targets": ["192.168.1.0/24"]} のような JSON 本文が必要です。

使用パターン

OpenClaw でスキル ID「blue-team-root」を特定のパラメーターとともに呼び出して、このスキルを実行します。たとえば、脅威を検出するには、次のようにします：openclaw execute blue-team-root --action detect --target 192.168.1.0/24。コードでは、OpenClaw SDK を使用して統合します：from openclaw import Skill; skill = Skill('blue-team-root'); result = skill.run(action='respond', incident_id='INC001')。実行前に、環境変数 $OPENCLAW_API_KEY で必ず認証を設定してください。出力をパイプでつなぎ、他のスキルと連携できます。例：検出してから対応します：openclaw execute blue-team-root --action detect | openclaw execute blue-team-root --action respond。

よく使うコマンド／API

• CLI コマンド：openclaw blue-team-root detect --flags -i interface -t timeout を使用してネットワーク監視を開始します。フラグには、インターフェースを指定する -i と、スキャンのタイムアウトを秒単位で指定する -t があります。
• API エンドポイント：本文 {"target": "192.168.1.0/24", "auth": "$OPENCLAW_API_KEY"} を指定して、HTTP POST で https://api.openclaw.ai/blue-team/detect にアクセスします。応答には {"status": "detected", "threats": ["SQL injection"]} のような JSON が含まれます。
• コードスニペット：インシデント対応では、次を使用します：response = requests.post('https://api.openclaw.ai/blue-team/respond', json={"incident": "INC001", "action": "isolate"}); print(response.json()['status'])。別の例：検出結果をログに記録するには、os.system('snort -c /etc/snort.conf -A fast > detection.log') を使用します。
• 設定形式：設定には YAML を使用します。例：detection: { threshold: 5, rules: ['rule1', 'rule2'] }。Python では、import yaml; config = yaml.safe_load(open('config.yaml')) で読み込みます。

統合に関する注意事項

Webhook 経由で結果を Splunk などの SIEM システムにエクスポートして、外部ツールと統合します：openclaw blue-team-root --action export --format json --url https://splunk.example.com/api。認証には、ヘッダーで必ず $OPENCLAW_API_KEY を使用します。例：Python の requests では、headers = {'Authorization': f'Bearer {os.environ.get("OPENCLAW_API_KEY")}'} を使用します。シミュレーションではレッドチームスキルと組み合わせます。例：出力を直接パイプで渡します：openclaw execute red-team-sim | openclaw execute blue-team-root --action detect`。OpenClaw v2.0 のように、API バージョンを一致させて互換性を確保してください。

エラー処理

ステータスコードを確認して API レスポンスのエラーを処理してください。401 の場合は、更新した $OPENCLAW_API_KEY を使って再試行します。CLI では、スクリプト内で try-except を使用します。try: subprocess.run(['snort', '-c', 'config'], check=True) except subprocess.CalledProcessError as e: print(f"Error: {e.returncode} - {e.output}")。よくある問題にはネットワークのタイムアウトがあります。たとえば、for attempt in range(3): try: requests.get(url) except requests.exceptions.Timeout: time.sleep(2**attempt) のように、指数バックオフを使った再試行を実装してください。監査用に、Python のロギング機能を使ってすべてのエラーをファイルに記録します。import logging; logging.basicConfig(filename='blue-team.log', level=logging.ERROR)。

具体的な使用例

1. 脅威検知の例：ネットワーク上の潜在的な脅威を検知するには、次を実行します。openclaw execute blue-team-root --action detect --target 192.168.1.0/24 --auth $OPENCLAW_API_KEY。これによりサブネットがスキャンされ、異常が返されます。続いて JSON 出力を解析し、重大度の高い項目についてアラートを出してください。
2. インシデント対応の例：進行中のインシデントには、openclaw execute blue-team-root --action respond --incident_id INC002 --steps isolate,notify を使用します。影響を受けたホストを隔離し、通知を送信します。コードでは、if response['status'] == 'success': print('Incident contained') で結果を確認してください。

グラフの関係

• 親クラスター："blue-team" クラスターに接続されており、より広範なサイバーセキュリティ運用に対応します。
• 関連スキル：高度な対応手法については "incident-response"（ID：blue-team-ir）に、インテリジェンスの収集については "threat-intelligence"（ID：blue-team-ti）にリンクしています。
• 下流の依存関係：ログにアクセスするには "logging-core" スキルが必要です。通知は "alerting-system" に出力されます。