mcpField
D
detecting-insider-threat-with-ueba

detecting-insider-threat-with-ueba

github.com/mukul975セキュリティ35.2k46 回インストール8 週間前に更新
リポジトリ

detecting-insider-threat-with-ueba について

SOC アナリストや脅威ハンター向けに、UEBA で内部脅威の可能性を検出するセキュリティスキルです。Elasticsearch による行動ベースライン、異常スコアリング、複数の弱い兆候をまとめたアラート作成を扱います。

主な機能

  1. 01活動ログからの行動ベースライン作成
  2. 02ユーザーごとの異常リスクスコア算出
  3. 03ピアグループとの行動比較
  4. 04指標の相関によるアラート生成
  5. 05調査アクションを含む JSON レポート

活用シーン

  1. 01内部関係者による活動の調査
  2. 02UEBA 脅威検知の構築
  3. 03セキュリティ監視範囲の確認

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-insider-threat-with-ueba

インストール後、Claude Code で/detecting-insider-threat-with-uebaを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

UEBAによる内部脅威の検知

概要

ユーザー・エンティティ行動分析（UEBA）は、静的なルールベースの検知を超えて、ユーザー、ホスト、アプリケーションの通常の振る舞いをモデル化し、内部脅威を示唆する統計的に有意な逸脱を検出します。分析バックエンドとしてElasticsearchを使用し、本スキルでは、認証ログ、ファイルアクセスイベント、ネットワークアクティビティから行動ベースラインを構築する方法、統計的な逸脱とピアグループ比較を用いてリスクスコアを算出する方法、複数の低信頼度の指標を相関させて高信頼度の内部脅威アラートを生成する方法を扱います。

使用するタイミング

  • ueba による内部脅威の検知が必要なセキュリティインシデントを調査するとき
  • この領域の検知ルールや脅威ハンティングクエリを作成するとき
  • SOCアナリストに、この種の分析のための体系的な手順が必要なとき
  • 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

  • セキュリティ監査データを保持するElasticsearch 8.xまたはOpenSearch 2.xクラスター
  • ログソース：Active Directory認証、VPN、DLP、ファイルサーバーアクセス、メール
  • elasticsearchクライアントライブラリを利用するPython 3.9以降
  • ユーザーの通常のアクティビティデータを30日以上含むベースライン期間
  • 部門、役割、職務に基づいて定義されたピアグループ

手順

手順 1: アクティビティログの取り込みと正規化

認証、ファイルアクセス、メール、ネットワークのログを、統一されたユーザーIDフィールドとともにElasticsearchへ取り込むようログパイプラインを構成します。

手順 2: 行動ベースラインの構築

Elasticsearchの集計機能を用いて、ローリング30日間のウィンドウにわたり、ユーザーごとのログイン時刻、データ量、アプリケーション利用状況、アクセスパターンのベースラインを算出します。

手順 3: 異常スコアの算出

z スコア偏差とピアグループ比較を用いて現在のアクティビティをベースラインと比較し、ユーザーごとのリスクスコアを生成します。

手順 4: 相関とアラート

複数の異常な指標（通常と異なる時間帯 + 大量のダウンロード + 新しいシステムへのアクセス）を組み合わせて複合リスクスコアを算出し、SOCの調査ワークフローを起動します。

期待される出力

ユーザーごとのリスクスコア、異常なアクティビティの詳細、ピアグループからの逸脱、推奨される調査アクションを含むJSONレポート。

コメント

Markdown 対応