threat-detection

脅威検知

カテゴリ： エンジニアリング ドメイン： セキュリティ運用

概要

脅威検知スキルは、ブルートフォース攻撃、インジェクションの試み、通常とは異なるアクセスパターン、権限昇格の兆候など、不審なパターンについてログファイルを自動分析します。セキュリティチームがログデータをトリアージし、脅威が深刻化する前に特定できるよう支援します。

最初に確認すること

ログを分析する前に、次の入力内容を確認してください。不明または曖昧な項目があれば、推測せずに質問してください。

• ログファイルとソースの種類 — 分析する認証／アクセス／アプリケーションログ（--file。検知対象）
• 脅威カテゴリ — ブルートフォース／インジェクション／アクセス異常／権限昇格（--category。スキャン対象を絞り込みます）
• 重大度の最小値 — レポート／アラートのしきい値（--min-severity。検出されるシグナルと、SIEM／CI ゲートに影響します）

停止ルール：出力に最も大きく影響する項目を2～3個だけ質問してください。ユーザーが「とりあえず下書きして」と言った場合は作業を進め、成果物の冒頭に前提を列挙してください。

クイックスタート

# Analyze a log file for threat signals
python scripts/threat_signal_analyzer.py --file /var/log/auth.log

# Analyze with specific threat category
python scripts/threat_signal_analyzer.py --file access.log --category injection

# JSON output for SIEM integration
python scripts/threat_signal_analyzer.py --file auth.log --format json

# Set minimum severity
python scripts/threat_signal_analyzer.py --file access.log --min-severity high

ツールの概要

threat_signal_analyzer.py

複数の脅威カテゴリにわたって、不審なアクティビティパターンがないかログファイルを分析します。

機能	説明
ブルートフォース検知	同じ送信元からのログイン失敗の繰り返しを特定します
インジェクションスキャン	リクエスト内の SQL インジェクション、XSS、コマンドインジェクションを検知します
アクセス異常	通常とは異なるアクセス時刻、禁止されたパス、管理者向けパスへの探索を検出します
権限昇格	sudo の悪用、ロールの変更、権限の変更を検知します
レート分析	リクエストの大量送信やサービス拒否のパターンを特定します
IP レピュテーション	既知の不正パターン（スキャナー、ボット、TOR の兆候）を検出します

ワークフロー

ログ分析ワークフロー

1. 収集 - 認証、アクセス、アプリケーションの各ソースからログを収集します
2. 分析 - threat_signal_analyzer.py を実行してログファイルを分析します
3. トリアージ - 重大度「クリティカル」と「高」の検出結果を優先して確認します
4. 相関分析 - ログソース間で検出結果を相互参照します
5. 対応 - 必要に応じて IP をブロックし、認証情報をリセットして、上位にエスカレーションします

インシデント調査ワークフロー

1. 範囲の特定 - 時間範囲と影響を受けたシステムを特定します
2. スキャン - 関連するすべてのログファイルでアナライザーを実行します
3. タイムライン - 脅威シグナルからタイムラインを作成します
4. 影響評価 - アクセスまたは変更された対象を評価します
5. 封じ込め - 脅威アクターをブロックし、脆弱性にパッチを適用します

継続的な監視

# Cron job: analyze auth logs every hour
python scripts/threat_signal_analyzer.py --file /var/log/auth.log --format json --min-severity high > /tmp/threat_report.json

# CI/CD: scan application logs on deployment
python scripts/threat_signal_analyzer.py --file app.log --category injection --format json

リファレンスドキュメント

• 脅威インジケーター - 一般的な攻撃パターン、侵害の指標、対応プレイブック

よくあるパターンのクイックリファレンス

脅威カテゴリ

カテゴリ	シグナル	重大度
ブルートフォース	5分以内に同じ IP から5回以上ログインに失敗	高
SQL インジェクション	リクエスト内の UNION SELECT、OR 1=1、DROP TABLE	クリティカル
XSS	入力内の script タグ、javascript: URI、イベントハンドラー	高
パストラバーサル	../ の連続、/etc/passwd へのアクセス試行	高
コマンドインジェクション	; cat /etc/passwd、	nc、バッククォートの使用
管理者向けパスの探索	/admin、/wp-admin、/phpmyadmin へのアクセス試行	中
レートフラッディング	単一 IP から1分間に100件以上のリクエスト	高

重大度レベル

• クリティカル - 進行中の悪用の試み（インジェクション、RCE）
• 高 - 攻撃が進行中である可能性が高い（ブルートフォース、権限昇格）
• 中 - 調査が必要な不審なアクティビティ
• 低 - 情報提供のみ。誤検知の可能性あり

対応アクション

重大度	即時対応	フォローアップ
クリティカル	IP をブロックし、SOC にアラートを送信	インシデント報告、フォレンジック調査
高	レート制限を適用し、監視	アクセスを確認し、被害を調査
中	記録して監視	週次レビュー
低	記録のみ	月次の傾向分析