mcpField
D
detecting-sql-injection-via-waf-logs

detecting-sql-injection-via-waf-logs

github.com/mukul975セキュリティ35.2k180 回インストール8 週間前に更新
リポジトリ

detecting-sql-injection-via-waf-logs について

WAF ログを扱う SOC アナリスト向けの SQL インジェクション検知手順です。ログ解析、攻撃分類、送信元のクラスタリング、リクエスト相関の方法を示します。

主な機能

  1. 01複数形式の WAF ログを解析
  2. 02正規表現パターンで SQL インジェクションを検知
  3. 03OWASP のインジェクション種別で分類
  4. 04IP をクラスタリングして継続的な攻撃者を特定
  5. 05攻撃キャンペーンを関連付け成功可能性を推定

活用シーン

  1. 01WAF ログ内の SQL インジェクション事案を調査
  2. 02インジェクション検知ルールを作成
  3. 03繰り返し現れる IP の攻撃を分析
  4. 04セキュリティ監視のカバレッジを検証

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-sql-injection-via-waf-logs

インストール後、Claude Code で/detecting-sql-injection-via-waf-logsを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

WAF ログによる SQL インジェクションの検出

使用する場面

  • WAF ログによる SQL インジェクションの検出が必要なセキュリティインシデントを調査する場合
  • この領域の検出ルールや脅威ハンティングクエリを作成する場合
  • SOC アナリストがこの種の分析に関する体系的な手順を必要とする場合
  • 関連する攻撃手法に対するセキュリティ監視の網羅性を検証する場合

前提条件

  • セキュリティ運用の概念とツールに関する知識
  • 安全に実行できるテスト環境またはラボ環境へのアクセス
  • 必要な依存関係をインストールした Python 3.8+
  • テスト活動に対する適切な許可

手順

  1. 依存関係をインストールします：pip install requests
  2. WAF ログ（ModSecurity 監査ログ、AWS WAF JSON ログ、または Cloudflare ファイアウォールイベント）を収集します。
  3. エージェントを実行して解析・分析します：
    • 15 個以上の正規表現パターンで SQLi ペイロードを検出します
    • OWASP のインジェクションタイプ（クラシック、ブラインド、時間ベース、UNION ベース）ごとに攻撃を分類します
    • IP のクラスタリングによって執拗な攻撃者を特定します
    • 複数リクエストにわたるインジェクションキャンペーンを関連付けます
    • レスポンスコードに基づいて攻撃の成功確率を算出します
python scripts/agent.py --log-file /var/log/modsec_audit.log --format modsecurity --output sqli_report.json

例

ModSecurity による SQLi 検出
Rule 942100 triggered: SQL Injection Attack Detected via libinjection
URI: /api/users?id=1' UNION SELECT username,password FROM users--
Source IP: 203.0.113.42 (47 requests in 5 minutes)
Classification: UNION-based SQLi campaign

コメント

Markdown 対応