Mahipal

攻撃グループの手口をMITRE ATT&CKに対応付け、Navigator用ファイルを生成します。検知範囲を重ねて、防御の不足を確認するスキル。

• 特定の攻撃グループの手口を整理したいとき
• 複数の攻撃グループを比較したいとき
• 想定する攻撃者に対する検知の不足確認

ランサムウェアの情報公開サイトに掲載された被害組織の情報を収集・整理し、攻撃グループの活動推移や業種・国別の傾向を分析して報告書にまとめます。

• 攻撃グループの月次動向を追いたいとき
• 業種・国別のリスク評価
• 新たな攻撃グループの把握

正規サイトに似たドメインをdnstwistで探し、DNS情報やページの類似度から調査の優先順位を付けます。継続監視や遮断リスト、削除依頼用の資料作成も扱います。

• 企業やブランドの類似ドメイン調査
• フィッシングが疑われるドメイン調査
• 新たに見つかる類似ドメインの監視

AIエージェントが使うMCPサーバーを監査し、ツール説明に潜む不正な指示や承認後の変更、内部への不正アクセス、認証なしの公開を調べるスキル。

• MCPサーバーの導入前チェック
• 社内MCPサーバーの安全性監査
• 承認済みツールの変更確認

書面で許可された環境で、Microsoft Entra IDのデバイスコードやアプリ同意を悪用するフィッシングを再現し、認証対策とアクセス範囲を検証します。

• 許可されたフィッシング演習
• Conditional AccessとMFAの検証
• アプリ同意の制限を確認したいとき

脅威情報レポートから攻撃者の行動を抽出し、MITRE ATT&CKの手法に対応付けて、検索・共有できる攻撃パターン集と検知ルールのひな型を作ります。

• 脅威情報レポートから攻撃行動を整理
• 目的・手法・攻撃者別のパターン集作成
• 記録された行動から検知ルールのひな型作成

Apache・Nginxのアクセスログから攻撃の痕跡や不審なアクセス傾向を調べ、送信元IPの地理情報を加えて、優先順位付きの調査報告にまとめるスキル。

• Webアクセスログの不審な通信を調べたいとき
• 注入攻撃や不正なファイル参照の痕跡調査
• スキャナーやログイン連続試行の確認

Terraformのコードや変更計画を検査し、過剰な権限、意図しない公開、暗号化の不足を洗い出します。独自ルールの作成や、デプロイ前の自動チェック導入も支援します。

• 配備前のTerraform構成レビュー
• CI/CDに安全性チェックを追加
• 組織独自の構成ルールを適用

複数の脅威情報フィードから侵害の手掛かりや攻撃の背景を抽出し、情報源の品質評価、形式の統一、重複排除、関連情報の追加を経て監視システムへの配信を支援するスキル。

• 脅威情報フィードの品質や関連性の評価
• 侵害の手掛かりをSTIX 2.1に統一したいとき
• 重複を除いて攻撃活動の背景を補いたいとき

不審なPDFを閲覧せずに内部構造を調べ、埋め込まれたJavaScriptやファイル、外部URLを抽出し、攻撃の仕組みと調査結果を整理するスキル。

• 不審な添付PDFを一次調査したいとき
• JavaScriptや自動実行を調べたいとき
• 埋め込みファイルやURLを抽出したいとき

WindowsのPowerShellログから分割されたスクリプトを復元し、難読化や不審なダウンロード、検査回避の兆候を調べ、リスク付きの報告書にまとめるスキル。

• 不審なPowerShell実行の調査
• 分割されたスクリプトを復元したいとき
• 符号化コマンドや不審な通信の確認

Intel CHIPSECでBIOSやSecure Bootの保護設定を点検し、ファームウェアの書き換えリスクや不審な変更を調べるための情報を収集するスキル。

• 新しい機器のファームウェア安全性評価
• BIOSとSPI flashの書き込み保護確認
• 正常なファームウェアと比較したいとき

Windowsに残るフォルダー閲覧の痕跡を解析し、削除済みの場所や取り外したUSB、ネットワーク共有へのアクセス履歴を調べるスキル。

• フォルダーの閲覧履歴を調べたいとき
• 取り外したUSBの閲覧痕跡の調査
• 削除済みフォルダーのアクセス調査

OutlookのPST・OSTファイルから本文、ヘッダー、添付ファイルや削除済み項目を抽出し、メールの配送経路や通信履歴を調べるスキル。

• Outlookの不審メールを調べたいとき
• ヘッダーから配送経路を追いたいとき
• 添付ファイルを抽出したいとき

文書検索を組み合わせるRAGの検索層を対象に、ベクトルからの原文推測や利用組織間の情報漏えい、検索結果への不正な文書混入を検証し、対策を整理するスキル。

• ベクトルからの原文推測リスクの評価
• 利用組織間のデータ分離の確認
• テスト環境での検索結果操作の検証

GCPのアクセス権限を組織やプロジェクト単位で監査し、広すぎるロール、不要なサービスアカウント鍵、なりすましや公開設定のリスクを洗い出して、見直しにつなげます。

• GCP組織全体の権限を見直したいとき
• OwnerやEditorを減らしたいとき
• 未使用アカウントと鍵の棚卸し

ランサムウェアの暗号方式や鍵の生成・保存方法を解析し、実装上の弱点や既存の復号ツールを調べて、復号の可否とファイル復旧の選択肢を整理するスキル。

• 暗号化ファイルの復号可否を調べたいとき
• 暗号処理と鍵の管理方法の解析
• メモリダンプからの鍵回収の調査

Windowsのレジストリやイベントログを照合し、USB機器の接続日時、ドライブ文字、利用者との関連を整理して、持ち出し調査に使う時系列を作るスキル。

• USB経由のデータ持ち出し調査
• 未承認USB機器の接続を確認したいとき
• USB接続とマルウェア実行の照合

SplunkでWindowsの認証やプロセスのログを分析し、不審なログイン、権限昇格、侵入後の活動を調べます。検知クエリの作成や時系列整理にも使えます。

• Windowsの不審な認証を調べたいとき
• Splunkの検知クエリ作成
• インシデントの時系列整理

Microsoft Entra IDのユーザーや権限、設定を収集し、認証トークンの取得・交換を検証します。許可された侵入テストで、認証制御の確認に使えます。

• テナント内のユーザーや権限の把握
• 条件付きアクセスの設定確認
• トークン交換とデバイス認証の検証

AWS・Azure・GCPの設定をCISのセキュリティ基準で監査します。自動検査の結果から不適合項目と修正の優先順位を整理し、継続的な監視まで支援するスキル。

• クラウド設定の初回セキュリティ監査
• SOC 2・ISO 27001の監査準備
• 不適合項目の修正順位を決めたいとき

UPXで圧縮されたマルウェア検体を識別し、改変ヘッダーの修復や手動展開を案内。復元した実行ファイルを検証し、GhidraやIDAでの静的解析に備えます。

• UPX圧縮が疑われる検体の識別
• UPXの展開エラーの調査
• デバッガーを使った実行ファイル復元

Kubernetesの役割に基づくアクセス制御を監査し、過剰な権限や危険な割り当て、サービスアカウントの悪用につながる設定と改善点を整理します。

• 共有クラスタのアクセス権限を見直したいとき
• 機密情報の参照権限や権限昇格経路の調査
• サービスアカウントのトークン配置の確認

攻撃者の行動や侵害の痕跡をMITRE ATT&CKの手法に対応付け、検知範囲を可視化します。未監視の手法や集団間の共通点を整理し、監視改善に役立てます。

• 攻撃行動と侵害の痕跡を手法に対応付け
• ATT&CK Navigatorで検知範囲を可視化
• 監視できていない攻撃手法の洗い出し