mcpField
D
deploying-ransomware-canary-files

deploying-ransomware-canary-files

github.com/mukul975セキュリティ35.2k67 回インストール8 週間前に更新
リポジトリ

deploying-ransomware-canary-files について

おとりファイルとファイルシステム監視を使ったランサムウェア早期検知の導入ガイドです。ファイルサーバー、NAS、エンドポイント向けで、保護対策、バックアップ、ネットワーク分離の代替ではありません。

主な機能

  1. 01選択したディレクトリへのおとりファイル配置
  2. 02変更・削除・移動・作成イベントの監視
  3. 03メール、Slack、syslog、ローカルログでの通知
  4. 04イベント時刻、パス、取得可能なプロセス情報の記録
  5. 05ファイル操作の模擬による通知検証

活用シーン

  1. 01ファイルサーバーや NAS のランサムウェア警告強化
  2. 02共有ドライブ、ユーザーディレクトリ、バックアップ領域の監視
  3. 03エージェントを導入できないシステムの監視補完
  4. 04ランサムウェア対応手順のテスト

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill deploying-ransomware-canary-files

インストール後、Claude Code で/deploying-ransomware-canary-filesを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

ランサムウェアカナリアファイルのデプロイ

使用する場面

  • ファイルサーバー、NAS デバイス、エンドポイントシステムにプロアクティブなランサムウェア検出を導入する場合
  • ビジネス上重要なデータが暗号化される前にランサムウェアを検出する早期警告システムを構築する場合
  • エージェントをデプロイできないシステムで、軽量なカナリアファイルの監視によって EDR ソリューションを補完する場合
  • カナリアファイルのトリガーをシミュレートして、ランサムウェアインシデント対応手順をテストする場合
  • 共有ドライブ、ホームディレクトリ、バックアップボリュームで不正なファイル操作を監視する場合

エンドポイント保護、バックアップ戦略、ネットワークセグメンテーションの代替として使用しないでください。カナリアファイルは検出レイヤーであり、防止メカニズムではありません。

前提条件

  • pip を備えた Python 3.8 以降
  • watchdog ライブラリ（pip install watchdog）
  • カナリアファイルを配置するディレクトリへの書き込み権限
  • アラート送信用の SMTP サーバー認証情報または Slack ウェブフック URL
  • システムディレクトリにカナリアファイルを配置するための管理者権限

ワークフロー

ステップ 1：カナリアファイルを生成する

ランサムウェアのスキャナーを誘引する、現実的な名前と内容のデコイファイルを作成します。ファイル名は Passwords.xlsx、Financial_Report_2026.docx、backup_credentials.csv のようなものにし、もっともらしく見える偽のデータを含めます。ユーザーのデスクトップ、Documents フォルダー、ネットワーク共有のルート、バックアップパスなど、ランサムウェアが最初に狙うことの多いディレクトリに配置します。

ステップ 2：ファイルシステムモニターをデプロイする

Python の watchdog ライブラリと、カナリアファイルのパスを監視するカスタムの FileSystemEventHandler を使用します。このハンドラーは、カナリアファイルに対する on_modified、on_deleted、on_moved、on_created イベントを検知するとトリガーされます。正規のユーザーやプロセスがこれらのファイルに触れることはないため、何らかの操作があれば、ランサムウェアまたは不正アクセスの可能性が非常に高いことを示します。

ステップ 3：アラートパイプラインを設定する

ファイルシステムモニターを複数のアラートチャネルに接続します。SMTP 経由のメール、Slack ウェブフックへの POST、SIEM への syslog 転送、ローカルログファイルが含まれます。アラートのペイロードには、トリガーとなったイベントの種類、ファイルパス、タイムスタンプ、（取得可能な場合は）プロセス情報を含めます。

ステップ 4：検証してテストする

カナリアファイルをプログラムで変更、名前変更、削除してランサムウェアの動作をシミュレートし、検出パイプラインが正しく動作することを確認します。アラートが届くまでの時間を測定し、設定したすべてのチャネルでアラートが配信されることを検証します。

主な概念

用語定義
カナリアファイル監視対象のディレクトリに配置され、アクセス、変更、削除されるとアラートをトリガーするデコイファイル
WatchdogOS ネイティブ API（Linux の inotify、macOS の FSEvents、Windows の ReadDirectoryChangesW）を使用してファイルシステムイベントを監視する Python ライブラリ
ハニーファイルカナリアファイルの同義語。悪意あるアクティビティを誘引して検出するために設計された偽のドキュメント
エントロピーチェック暗号化を検出するためにファイル内容のランダム性を測定すること（ランサムウェアは高エントロピーの出力を生成します）

ツールとシステム

  • watchdog：OS ネイティブのイベント API を使用する Python ファイルシステム監視ライブラリ
  • smtplib：SMTP メールアラート送信用の Python 標準ライブラリ
  • requests：Slack ウェブフック連携用の HTTP ライブラリ
  • hashlib：カナリアファイルの整合性検証用 SHA-256 ハッシュ化
  • psutil：カナリアファイルへのアクセス検出時にプロセス情報を収集

出力形式

RANSOMWARE CANARY ALERT
========================
Timestamp: 2026-03-11T14:23:07Z
Event: FILE_MODIFIED
Canary File: /srv/shares/finance/Passwords.xlsx
Directory: /srv/shares/finance
SHA-256 Before: a3f2...8b4c
SHA-256 After: 7e91...2d3f
Alert Channels: [email, slack, syslog]
Action: Investigate immediately - potential ransomware activity

コメント

Markdown 対応