Mahipal

Microsoft Entra IDのアプリに与えられた権限と同意の監査ログを調べ、過剰なアクセス権や未検証の発行元を手がかりに、不審な権限付与を洗い出すスキル。

• 不審なアプリへの同意を調べたいとき
• メールやファイルへの広範な権限の点検
• 監査ログで同意の経緯を追いたいとき

GitHub ActionsなどのCI/CD設定を点検し、外部依存を通じた攻撃のリスクを探します。参照先の固定漏れ、式の埋め込み、過剰な権限や秘密情報の露出を確認します。

• GitHub Actionsの安全性点検
• Actionの参照先固定を確認したいとき
• スクリプト内の危険な式を探したいとき

Windowsの管理機能WMIを悪用した、攻撃者が居残るための設定を調べます。Sysmonの記録と実際の設定を照合し、不審な実行条件やコマンドを整理するスキル。

• Sysmonの19・20・21を調査
• 侵害端末のWMI居残り設定を探したいとき
• 不審なWMI登録と正規設定の判別

許可されたコンテナ侵入試験で、特権設定やホスト共有、runCの脆弱性によるホストへの脱出を検証し、影響の証拠と修正すべき原因を整理するスキル。

• 承認範囲内でのコンテナ脱出試験
• 特権設定やhostPathの影響評価
• コンテナ脱出防止策の有効性検証

Windowsの認証情報窃取を、EDR・Sysmon・セキュリティログの照合で調査し、不審なアクセスの検知から漏えいの可能性がある範囲の整理まで進めるスキル。

• LSASSへの不審なアクセス警告の調査
• Windowsの認証情報窃取の痕跡調査
• 漏えいの可能性がある認証情報の範囲確認

Azure Storageの公開設定、暗号化、アクセス権限、ネットワーク制限、ログを横断的に点検し、データ露出につながる設定不備と修正方針を整理します。

• 複数サブスクリプションを監査したいとき
• 公開Blobのデータ露出を調べたいとき
• 暗号化・通信制限・ログを確認したいとき

Windowsの認証ログと端末台帳を照合し、認証元の不一致や通信の痕跡からNTLM認証の中継攻撃を調べ、署名設定の監査や検知ルール作成に使うスキル。

• 認証元IPと端末名の不一致の調査
• SIEM向け中継攻撃検知ルールの作成
• SMB・LDAP署名の必須設定の監査

npmパッケージや依存関係を調べ、インストール時の不正処理や認証情報の流出を検査します。既知の悪性バージョンとの照合や隔離環境での挙動確認を支援します。

• 新しいnpm依存関係を採用前に調べたいとき
• コードレビューで依存ファイルを確認したいとき
• 既知の悪性バージョンとの照合

PowerShellの不審な実行を端末やログの記録から調べ、エンコードされたコマンドや検査回避の兆候を分析し、侵害範囲と対応案を整理するスキル。

• 不審なPowerShell実行の調査
• 端末監視やログ分析の警告を調べたいとき
• PowerShell関連の侵害範囲の確認

SuricataやSnortでポートスキャンやネットワーク探索を検知するルールを整えます。通信の特徴と接続回数を使う判定、通知量の調整、送信元別のログ集計を支援します。

• NmapやMasscanの検知ルール作成
• 社内ネットワークの探索を監視したいとき
• 正規スキャナーの通知調整

KubernetesのPod内で想定を超える権限を得る動きを、設定・実行時の挙動・監査ログから調べます。特権コンテナや危険な権限を検出し、起動時の制限も整えるスキルです。

• root実行や特権モードのPodの洗い出し
• ホスト領域へのアクセスと危険な権限の点検
• コンテナ実行中の権限変更を検知したいとき

ランサムウェアによる暗号化前の不審な通信を捉えるため、ネットワーク検知ルールと複数ログの関連付けを設計し、調査・隔離の判断手順を整えるスキル。

• 暗号化前の不審な通信の検知ルール作成
• ログイン失敗・探索・共有アクセスの関連分析
• 社内ネットワークの異常通信調査

正規のプロセスに不正なコードを埋め込む攻撃を、メモリやWindowsのイベントから調べ、注入手法の分類、証拠の整理、検知ルール作成まで進めるスキル。

• 正規プロセスの不審な通信を調べたいとき
• メモリダンプから不正コードを探したいとき
• プロセスへのコード注入手法を分類したいとき

npm、PyPI、crates.ioの依存パッケージ名を導入前に点検します。人気パッケージとの名前の類似性や公開情報から、打ち間違いを狙う偽装候補を絞り込みます。

• 新しい依存関係を導入前に点検
• AIが生成した依存一覧の確認
• lockfile差分の入れ替え調査

Windowsの認証ログからリモートデスクトップへの総当たり攻撃を調べ、送信元IPや狙われたアカウント、失敗後のログイン成功をJSONに整理するスキル。

• 公開RDPの認証失敗を調べたいとき
• パスワード推測の対象を特定したいとき
• 連続失敗後のログイン成功を確認したいとき

CloudFoxでAWS・Azureのリソースや権限、公開先、秘密情報を読み取り専用で調査し、設定不備や権限拡大につながる経路を整理するスキル。

• 不慣れなクラウド環境の棚卸し
• 外部公開リソースを探したいとき
• ロールの信頼関係と権限の確認

Sysmonのログを突き合わせ、正規プロセスに不正なコードを潜ませる攻撃の兆候を調べます。DLL読み込みやプロセス間アクセスを分析し、検出結果を整理します。

• EDRのプロセス間アクセス警告の調査
• 正規プロセスに潜む不正コードの探索
• Sysmonの検出範囲を確認したいとき

WindowsのUAC回避やLinuxの権限昇格の兆候を調べます。レジストリ変更、プロセスの親子関係、権限の変化を確認し、不審な操作とリスクを整理します。

• WindowsのUAC回避を調査したいとき
• 管理者権限の取得経路の調査
• Linuxのsudoやsetuid悪用の監視

Windowsの正規ツールを悪用する攻撃を、実行ログや親子プロセスの関係、Sigmaルールで検出し、深刻度と根拠をレポートに整理するスキル。

• Windows標準ツールの悪用調査
• 不審な引数のSigmaルール作成
• Officeからの不自然な起動の検出

公開サーバーのログからポート探索やSSHへの総当たり攻撃を検出し、Fail2banで送信元IPを自動遮断。通知や繰り返す攻撃への設定も整えます。

• 公開サーバーのポート探索を遮断
• SSHの総当たり攻撃対策
• Nginxの不審なアクセス検出

Windowsのタスク作成・変更ログをSysmonと照合し、不審な実行元やエンコードされたコマンド、遠隔作成を手掛かりに攻撃者の常駐や他端末への侵入を調べます。

• 不審なタスクの作成経緯を調べたいとき
• エンコードされたコマンドを探したいとき
• 遠隔タスク作成を検知したいとき

不審なモバイルアプリの権限、通信、実行中の動作を調べ、情報流出やSMS傍受、認証情報の窃取などの兆候を整理して、マルウェアの種類を検討するスキル。

• 不審なAPK・IPAの初期調査
• モバイルアプリの情報流出を調べたいとき
• SMS傍受や認証情報窃取の確認

サービス用アカウントの不審な対話ログオンや権限昇格、他端末への侵入拡大をログから調べ、複数の証拠を照合してリスクと推奨対応を整理するスキル。

• 予期しない対話ログオンを調べたいとき
• 担当範囲外のアクセスを確認したいとき
• 時間外の端末間アクセスを追跡したいとき

Windowsの正規ツールを悪用する攻撃を、実行引数やプロセスの親子関係、外部通信から調べます。ログ収集設定や検知ルールの作成、実行制限の検討を支援します。

• Windows正規ツール悪用の検知ルール作成
• アラート内の不審なプロセス連鎖の調査
• 端末ログからファイルレス攻撃を探したいとき