Mahipal

Active Directoryの権限や所属、ログイン情報の関係を可視化し、一般アカウントから管理者権限へ至る経路の調査や対策後の再検証を支援します。

• 一般アカウントから管理者への経路調査
• アクセス権限とグループ関係の点検
• 対策後に攻撃経路が閉じたか確認したいとき

許可されたWeb診断でURLを直接たどり、認証なしで開ける管理画面やAPI、公開された設定・バックアップファイルを見つけ、影響と対策を整理します。

• 認証なしで開ける管理画面の調査
• APIの認証要件を確認したいとき
• 公開された設定やバックアップの調査

許可された攻撃模擬演習に向け、Sliverの指令サーバー構築と保護、複数の通信方式の設定、複数担当者のアクセス管理、検証用プログラムの生成を支援するスキル。

• 許可された演習用サーバーの構築
• 演習で使う複数の通信方式の設定
• 複数担当者の証明書認証の管理

NIST SP 800-30 Rev 1に沿ってサイバーリスクの発生可能性と影響を評価し、対策の優先順位を判断できるリスク台帳と経営層向け報告をまとめます。

• 規格対応のリスク分析を文書化したいとき
• 新システムの稼働前に評価したいとき
• 経営層へ主要リスクを報告したいとき

個人データの処理記録、利用の法的根拠、本人の権利、漏えい対応、国外移転などをGDPRに照らして点検し、優先順位付きの改善計画にまとめるスキル。

• 監督当局の監査に向けた資料準備
• 新システムのプライバシー要件確認
• 買収前調査でのGDPR対応評価

OpenCTIに取り込んだ不審なIPアドレスなどへ外部サービスの情報を自動で補い、既知の攻撃者との関連や信頼度を基に調査の優先順位を付ける仕組みを構築するスキル。

• OpenCTIと情報補完用コネクタの導入
• 不審なIPやドメインの情報補完の自動化
• 指標と既知の攻撃者・攻撃活動の関連付け

ランサムウェア被害に備え、検知から隔離、原因の除去、復旧までの対応手順書を作ります。判断の分岐、証拠保全、事後の振り返りを含め、監視チームの対応を整理します。

• ランサムウェア対応を標準化したいとき
• 端末隔離と復旧手順の文書化
• 机上演習で見つかった連携不足の改善

公開情報から組織のドメイン、外部公開サービス、漏えい情報を調べ、侵入経路になり得る資産や問題点を整理した調査レポートにまとめるスキルです。

• 侵入テスト前の公開情報収集
• 未知の外部公開資産を探したいとき
• 認証情報や文書の漏えい確認

Linuxの定期実行、サービス、シェル設定、SSH鍵などを点検し、侵入者がアクセスを維持する仕掛けを調べます。監査ログと照合して設置時系列とリスクを整理します。

• Linux侵害後のアクセス維持手段の調査
• 不審な定期実行やサービスの探索
• 監査ログから設置時系列を作りたいとき

SplunkでWindowsの認証やプロセスのログを分析し、不審なログイン、権限昇格、侵入後の活動を調べます。検知クエリの作成や時系列整理にも使えます。

• Windowsの不審な認証を調べたいとき
• Splunkの検知クエリ作成
• インシデントの時系列整理

MISPに蓄積した脅威情報を集計し、脅威レベルや攻撃者、通信先などの指標の内訳と時系列の変化を分析して、脅威動向レポートを作成するスキル。

• 直近90日間の脅威動向レポート作成
• 攻撃者の活動や主要な攻撃手法の把握
• 脅威指標の種類や登録件数の推移確認

WindowsのPrefetchファイルから実行日時や回数、参照ファイルを抽出し、プログラムの実行履歴と名前を偽装した疑いのある実行ファイルを調べるスキル。

• プログラムの実行時系列を復元したいとき
• 名前を変えた実行ファイルの調査
• 不審なツールや実行頻度の確認

Windowsのショートカットから参照先や日時、ドライブ・端末の識別情報を抽出し、USBや共有フォルダーへのアクセスの痕跡を時系列に整理するスキル。

• 文書へのアクセス履歴を再構成したいとき
• USB内のファイルへの参照を調べたいとき
• 共有フォルダーへのアクセスを調べたいとき

不審なIPやURLなどに複数の脅威情報サービスの調査結果を自動で付け加え、スコアと統一形式の出力で、担当者によるアラートの優先度判断を支援するスキルです。

• アラートに脅威情報を付け加えたいとき
• フィッシング報告内のIOC調査
• 脅威フィードのIOC一括照会と形式統一

書面で許可された環境で、Microsoft Entra IDのデバイスコードやアプリ同意を悪用するフィッシングを再現し、認証対策とアクセス範囲を検証します。

• 許可されたフィッシング演習
• Conditional AccessとMFAの検証
• アプリ同意の制限を確認したいとき

攻撃者の行動や侵害の痕跡をMITRE ATT&CKの手法に対応付け、検知範囲を可視化します。未監視の手法や集団間の共通点を整理し、監視改善に役立てます。

• 攻撃行動と侵害の痕跡を手法に対応付け
• ATT&CK Navigatorで検知範囲を可視化
• 監視できていない攻撃手法の洗い出し

Microsoft Entra IDのユーザーや権限、設定を収集し、認証トークンの取得・交換を検証します。許可された侵入テストで、認証制御の確認に使えます。

• テナント内のユーザーや権限の把握
• 条件付きアクセスの設定確認
• トークン交換とデバイス認証の検証

文書検索を組み合わせるRAGの検索層を対象に、ベクトルからの原文推測や利用組織間の情報漏えい、検索結果への不正な文書混入を検証し、対策を整理するスキル。

• ベクトルからの原文推測リスクの評価
• 利用組織間のデータ分離の確認
• テスト環境での検索結果操作の検証

Windowsのレジストリを解析し、利用者の操作、導入済みソフト、USB接続や自動起動の痕跡を整理して、不審な活動の調査や時系列の再構成に役立てるスキル。

• 不審な自動起動設定を調べたいとき
• インシデント前後の操作の再構成
• USB機器の接続痕跡の確認

ソフトウェアの構成部品表を既知の脆弱性情報と照合し、間接的な依存関係も追跡します。影響範囲とリスクを整理し、修正の優先順位や監査向けの報告書にまとめるスキルです。

• 取引先のSBOMを評価したいとき
• 新しいCVEの影響を調べたいとき
• CI/CDに脆弱性チェックを組み込む

WindowsのPowerShellログから分割されたスクリプトを復元し、難読化や不審なダウンロード、検査回避の兆候を調べ、リスク付きの報告書にまとめるスキル。

• 不審なPowerShell実行の調査
• 分割されたスクリプトを復元したいとき
• 符号化コマンドや不審な通信の確認

Apache・Nginxのアクセスログから攻撃の痕跡や不審なアクセス傾向を調べ、送信元IPの地理情報を加えて、優先順位付きの調査報告にまとめるスキル。

• Webアクセスログの不審な通信を調べたいとき
• 注入攻撃や不正なファイル参照の痕跡調査
• スキャナーやログイン連続試行の確認

ランサムウェアの情報公開サイトに掲載された被害組織の情報を収集・整理し、攻撃グループの活動推移や業種・国別の傾向を分析して報告書にまとめます。

• 攻撃グループの月次動向を追いたいとき
• 業種・国別のリスク評価
• 新たな攻撃グループの把握

端末やメールから集めた不審ファイルを既知情報と照合し、隔離環境での解析、判定、侵害の手掛かりの抽出、監視システムへの送信をつなぐ自動処理を構築します。

• 隔離メール添付の解析を自動化したいとき
• 端末の隔離ファイルを一括解析したいとき
• インシデント調査で痕跡を抽出したいとき