Mahipal

ランサムウェア被害に備え、検知から隔離、原因の除去、復旧までの対応手順書を作ります。判断の分岐、証拠保全、事後の振り返りを含め、監視チームの対応を整理します。

• ランサムウェア対応を標準化したいとき
• 端末隔離と復旧手順の文書化
• 机上演習で見つかった連携不足の改善

複数クラウドのセキュリティログをMicrosoft Sentinelに集約し、不審な操作の検知ルール、過去ログの調査、インシデント対応の自動化を整えるスキル。

• 複数クラウドの監視を集約したいとき
• 既存のログ監視基盤からの移行
• 不審な操作への対応を自動化したいとき

社内のActive DirectoryとMicrosoft Entra IDをSAMLで認証連携し、クラウドへのシングルサインオン設定から証明書の更新管理まで進めるスキル。

• 社内認証をクラウドへ拡張したいとき
• 社内とクラウドの認証方式の比較
• SaaSへのSAMLログイン設定

セキュリティ事故の影響端末、隔離状況、侵害の痕跡、対応経過をダッシュボードにまとめ、対応チームの状況共有や経営層への報告を支援するスキルです。

• 進行中のセキュリティ事故の対応連携
• 影響端末と隔離状況を追跡したいとき
• 事故後に対応経過を振り返りたいとき

攻撃の痕跡となるURLやIPアドレスを抽出・整理し、誤クリックを防ぐ表記の報告書と、システム間で共有する標準形式のデータを作るスキルです。

• 誤クリックを防ぐ脅威報告書の作成
• 複数の情報源からIOCを整理したいとき
• MISPやTAXIIでのIOC配信

セキュリティ事案の重大度、資産の重要性、事業やデータへの影響から、対応期限と引き継ぎ先を整理します。SOCの担当階層ごとの役割や通知手順を設計するスキル。

• 事案の優先度と対応期限を定めたいとき
• 担当階層間の引き継ぎルール整備
• 未解決事案の引き上げ条件の設定

サイバー攻撃の種類ごとに、検知から封じ込め、復旧までの対応手順を文書化します。判断の分岐や担当者、上位者への連絡基準を整理し、自動化の設計にも役立ちます。

• インシデント対応体制の立ち上げ
• フィッシングやランサムウェアの手順整備
• セキュリティ対応の自動化設計

Splunkのログから不審な動きを見つける検知ルールを作成します。認証失敗や大量通信などの検索例を基に、重要度の設定、過去ログでの検証、誤検知の評価まで扱います。

• 不審なログインの検知ルールを作りたいとき
• 大量通信や複数端末へのアクセスを検知したいとき
• 過去ログで検知ルールを検証したいとき

許可されたWindows環境で、CoercerとPetitPotamによる認証の強制と中継を検証し、検知状況や署名・EPAによる防御の有効性を確認するスキル。

• 認証強制が可能な方法の調査
• 許可された環境で認証中継リスクの検証
• 検知ルール調整用の動作確認

脅威情報や監視の抜けから検証可能な調査仮説を立て、端末監視・ログ分析の検索で確かめながら、証拠やリスク、推奨対応を共通形式の報告に整理します。

• 脅威情報を基に調査を計画したいとき
• ATT&CKの監視不足の調査
• 異常な活動から立てた仮説の検証

脅威情報を基にSigma形式の検知ルールを作り、SplunkやElastic、Microsoft Sentinel向けに変換して、構文検証や誤検知の確認まで進めるスキル。

• 脅威レポートを検知ルールにしたいとき
• 複数のSIEMで検知条件を共用
• 検出結果と誤検知を確認したいとき

AWS・Azure・GCPの許可された侵入テストを支援し、権限設定や認証情報の漏えい経路、監視の検知状況を検証して改善策付きの報告書にまとめるスキル。

• クラウドの本番公開前の安全性評価
• クラウド移行後の権限設定を点検したいとき
• 監視とインシデント対応の検証

実際の攻撃者の行動を模したセキュリティ演習を計画し、偵察から侵入後の活動までを通じて、組織の検知・防御・対応能力と改善点を評価するスキル。

• レッドチーム演習の範囲と目的の設計
• 特定の攻撃者を想定したシナリオ作成
• 演習での検知・対応能力の測定

Active Directoryの権限や所属、ログイン情報の関係を可視化し、一般アカウントから管理者権限へ至る経路の調査や対策後の再検証を支援します。

• 一般アカウントから管理者への経路調査
• アクセス権限とグループ関係の点検
• 対策後に攻撃経路が閉じたか確認したいとき

端末やクラウドのログをTimesketchで検索可能な時系列にまとめ、複数の調査担当者で検索・注釈・タグ付けをしながら攻撃の流れと報告資料を整理します。

• インシデントの経緯を復元したいとき
• 複数人で証拠を調査したいとき
• Plasoの出力とログを統合したいとき

人事データを基に、入社・異動・退職に伴う複数システムの権限管理を設計します。権限申請や定期確認、退職後に残るアカウントの整理まで扱います。

• 入社・異動・退職の権限変更を自動化したいとき
• 退職後に残るアカウントを探したいとき
• 重複する役割や不要な権限を見直したいとき

侵害された端末の停止や修復前に、消えやすいメモリ・通信・プロセス情報を順に収集し、改変確認用のハッシュ値と証拠の取扱記録を残すためのスキル。

• 侵害端末を停止する前の証拠保全
• ファイルレス攻撃が疑われるメモリの収集
• 侵入中の通信接続とプロセスの記録

MISPの導入から脅威情報の収集・保存・照合までを支援します。複数の配信元の侵害指標をPyMISPで取り込み、検索や監視ツール向けの出力を自動化するスキルです。

• 複数の配信元から侵害指標を集めたいとき
• MISPへの取り込みや検索の自動化
• 監視ツール向けの侵害指標出力

許可された攻撃模擬演習に向け、Sliverの指令サーバー構築と保護、複数の通信方式の設定、複数担当者のアクセス管理、検証用プログラムの生成を支援するスキル。

• 許可された演習用サーバーの構築
• 演習で使う複数の通信方式の設定
• 複数担当者の証明書認証の管理

REST、GraphQL、gRPCのAPIを対象に、認証・権限管理・入力検証などの弱点を調べます。権限別の応答を比較し、問題の再現手順や影響、修正案をまとめます。

• 利用者の権限別にAPIを検査したいとき
• トークン処理や回数制限の確認
• GraphQLの権限管理・情報露出の評価

複数の配信元から脅威情報をMISPへ集め、侵害の手掛かりとなるIPアドレスやドメインを一元管理します。自動同期や情報同士の関連付け、監視基盤への連携を支援します。

• 複数の脅威情報を一元管理したいとき
• DockerでのMISP導入
• 脅威情報の同期を自動化したいとき

脆弱性の発見から修正までの日数を可視化し、深刻度別の対応期限と照合するスキル。期限超過の通知や例外管理、遵守率のレポート作成まで支援します。

• 脆弱性の修正期限を決めたいとき
• 期限超過の脆弱性を可視化したいとき
• 督促と管理者への通知を自動化したいとき

GitLab CI/CDに、コード・依存関係・コンテナ・稼働中アプリの脆弱性検査と秘密情報の検出を組み込みます。検出結果の管理や重大な問題に対する承認ルールも整えます。

• .gitlab-ci.ymlに自動検査を追加
• 依存関係とコンテナの脆弱性確認
• コミットされた認証情報の検出

AWS、Azure、GCPでの不正アクセスや認証情報の漏えいに対応します。監査ログで影響範囲を調べ、認証情報の無効化、リソース隔離、証拠保全、復旧の手順を整理します。

• クラウド認証情報の漏えい対応
• 不正な権限変更やリソース作成の調査
• 監査ログやディスクの証拠保全