Mahipal

複数組織のセキュリティ事案を、攻撃の痕跡・手口・時系列から照合します。共通する攻撃活動を整理し、根拠と確信度を添えた脅威分析レポートにまとめるスキル。

• 攻撃の痕跡が重なる事案を照合したいとき
• 他組織と共有した攻撃情報の分析
• 継続的な攻撃活動のレポート作成

Canarytokensでおとりの認証情報や文書、URLを配置し、アクセス時にメールやWebhookで通知して、侵入や情報持ち出しの兆候を捉えるスキル。

• 共有フォルダーの侵入検知を補いたいとき
• おとりのクラウド認証情報の使用検知
• おとり文書で情報持ち出しの兆候を監視

Cisco Duoを使ってVPNやRDP、SSH、Webアプリに多要素認証を導入し、利用者や端末の状態に応じたアクセス制御と認証ログの監視を整えるスキル。

• VPNやサーバー接続へのDuo導入
• 管理者アカウントの認証強化
• 端末の状態に応じたアクセス制限

IBM QRadar SIEMで複数のログを関連付け、攻撃の流れを調べます。検索クエリや検知ルールの作成、誤検知の調整を通じて、関連する事象をまとめた調査を支援します。

• QRadarのオフェンス調査
• 認証失敗後の成功を検知したいとき
• 誤検知の多いルールを調整したいとき

社内アプリへの接続を、利用者の認証と端末の状態に基づいて制御します。Cloudflare Tunnelの構築からアクセス権限、端末登録、監査ログまで設定するスキルです。

• VPNからアプリ単位の接続管理へ移行
• 受信用ポートを開けず社内アプリを提供
• 委託先の接続先を限定したいとき

ネットワークの不審な通信を検知するため、Snort 3の導入と設定を進めるスキル。独自ルールの作成、誤検知の調整、アラートの集約と検証まで扱います。

• ネットワーク境界に侵入検知を導入したいとき
• 組織固有の検知ルールを作りたいとき
• 誤検知や過剰な通知を減らしたいとき

メールの不審報告ボタンの導入から、報告メールの自動分類、攻撃の痕跡抽出、削除対応、報告者への結果通知まで、一連のフィッシング対策を設計するスキル。

• Outlookに不審メール報告を導入したいとき
• 報告用メールボックスの一次判定を自動化
• 確定したフィッシングメールの一括回収

脅威情報を基にSigma形式の検知ルールを作り、SplunkやElastic、Microsoft Sentinel向けに変換して、構文検証や誤検知の確認まで進めるスキル。

• 脅威レポートを検知ルールにしたいとき
• 複数のSIEMで検知条件を共用
• 検出結果と誤検知を確認したいとき

人事データを基に、入社・異動・退職に伴う複数システムの権限管理を設計します。権限申請や定期確認、退職後に残るアカウントの整理まで扱います。

• 入社・異動・退職の権限変更を自動化したいとき
• 退職後に残るアカウントを探したいとき
• 重複する役割や不要な権限を見直したいとき

セキュリティ事故の影響端末、隔離状況、侵害の痕跡、対応経過をダッシュボードにまとめ、対応チームの状況共有や経営層への報告を支援するスキルです。

• 進行中のセキュリティ事故の対応連携
• 影響端末と隔離状況を追跡したいとき
• 事故後に対応経過を振り返りたいとき

攻撃の痕跡となるURLやIPアドレスを抽出・整理し、誤クリックを防ぐ表記の報告書と、システム間で共有する標準形式のデータを作るスキルです。

• 誤クリックを防ぐ脅威報告書の作成
• 複数の情報源からIOCを整理したいとき
• MISPやTAXIIでのIOC配信

許可された攻撃演習で、公開する中継サーバーと内部の指令サーバーを分離し、通信条件に合う要求だけを転送するC2中継基盤の構築と検証を支援するスキル。

• 演習用の公開基盤と指令サーバーの分離
• 通信プロファイルに沿った要求の選別
• 中継サーバーへのTLS証明書設定

Microsoftの月例セキュリティ更新について、脆弱性の優先順位付け、事前テスト、段階的な配布、適用後の再確認までを継続運用の手順にまとめるスキル。

• Microsoft月例更新の運用整備
• 悪用リスクに応じた脆弱性の優先順位付け
• 試験端末から本番への段階配布計画

脅威情報や監視の抜けから検証可能な調査仮説を立て、端末監視・ログ分析の検索で確かめながら、証拠やリスク、推奨対応を共通形式の報告に整理します。

• 脅威情報を基に調査を計画したいとき
• ATT&CKの監視不足の調査
• 異常な活動から立てた仮説の検証

Splunkのログから不審な動きを見つける検知ルールを作成します。認証失敗や大量通信などの検索例を基に、重要度の設定、過去ログでの検証、誤検知の評価まで扱います。

• 不審なログインの検知ルールを作りたいとき
• 大量通信や複数端末へのアクセスを検知したいとき
• 過去ログで検知ルールを検証したいとき

侵害された端末の停止や修復前に、消えやすいメモリ・通信・プロセス情報を順に収集し、改変確認用のハッシュ値と証拠の取扱記録を残すためのスキル。

• 侵害端末を停止する前の証拠保全
• ファイルレス攻撃が疑われるメモリの収集
• 侵入中の通信接続とプロセスの記録

複数の脅威情報源から攻撃の痕跡を示す指標を自動収集し、形式統一・重複排除・信頼度評価を経て監視システムへ配信する仕組みを構築します。

• 脅威情報の取り込みを自動化したいとき
• 攻撃指標の形式統一と重複排除
• 複数の監視基盤へ指標を配信したいとき

公開データから攻撃者に関係するドメインやIP、証明書を調べ、相互のつながりを整理します。フィッシング調査や脅威情報レポートの補強に使うスキルです。

• フィッシングの関連設備を調べたいとき
• 攻撃者プロフィールの情報補強
• 組織の外部公開状況の確認

許可されたWindows環境で、CoercerとPetitPotamによる認証の強制と中継を検証し、検知状況や署名・EPAによる防御の有効性を確認するスキル。

• 認証強制が可能な方法の調査
• 許可された環境で認証中継リスクの検証
• 検知ルール調整用の動作確認

利用者と権限の割り当てデータを分析し、共通する権限から役割の候補を抽出します。重複した役割や過剰な権限を見直し、業務に合うアクセス管理を設計するスキルです。

• 重複するアクセス権限の役割統合
• 既存の権限データから役割を再設計
• 過剰な権限や例外の見直し

端末やクラウドのログをTimesketchで検索可能な時系列にまとめ、複数の調査担当者で検索・注釈・タグ付けをしながら攻撃の流れと報告資料を整理します。

• インシデントの経緯を復元したいとき
• 複数人で証拠を調査したいとき
• Plasoの出力とログを統合したいとき

マルウェア感染時の社内初報、経営層への報告、IT部門への技術連絡、顧客・規制当局への通知文を作成します。重大度に応じた連絡先と通知期限も整理するスキルです。

• マルウェア感染時の社内初報作成
• 経営層へ事業影響と判断事項を報告
• IT部門への技術対応指示を作成

インフラの脆弱性を定期的に検査し、機器の重要度や悪用情報を踏まえた優先順位付けから、修正期限の管理、対応状況の可視化までの運用を組み立てるスキル。

• インフラの定期的な脆弱性検査の整備
• 機器の重要度と悪用情報による修正の優先順位付け
• 修正期限と対応漏れを管理したいとき

企業の端末でマルウェア感染が疑われる際に、種類や侵入経路、被害範囲を調べ、端末の隔離から駆除、復旧後の監視、対応報告まで一連の手順を整理するスキル。

• 端末保護ツールのマルウェア警告の調査
• 複数端末への感染拡大の把握
• 隔離・駆除・端末復旧の手順整理