Threat Monitoring — キーワードによるアラート
プラットフォームが収集した集積に対して、検索語による監視を繰り返し実行します。対象はTelegram、WhatsApp、フォーラム、SNS、.onionサイト、ペーストサイト、コードリポジトリ、IOCフィード、認証情報のデータベース、インフォスティーラーのログです。監視設定が「何に関心があるか」を記述し、収集は独自のスケジュールで走り、合致したものがトリアージ待ちのアラートになります。
概要
各監視設定には、組織内で一意の名前、カテゴリ（脅威検知から役員保護まで12種類）、担当チーム（SOC、CSIRT、Threat Intelligence、DevSecOps、コンプライアンス、リスク、不正対策、データ保護）、優先度、ステータスを持たせます。
実行頻度は1分から30日まで。実行のタイムアウトは最大2時間、失敗時のリトライ回数は最大10回まで設定できます。実行はAirflowがオーケストレーションし、手動実行はDAGをキューに投入します。履歴には各実行の所要時間、結果、傾向が残ります。
検索語は保存時に暗号化されます。 キーワード、検索語リスト、検索コマンド、監視設定の説明文は、暗号化フィールドに書き込まれます。ある組織が何を監視しているかは、それ自体が機微情報です。どの資産、どの役員、どのブランドがリスクに晒されているかを露わにするからです。
検索クエリの組み立て方
指定した検索語は、アラートの4つのフィールド（タイトル、説明、生データ、ソース）に対する必須のフレーズ条件になります。これに演算子を重ねます。
- AND は必須の検索語を追加します
- OR は「少なくとも1語が出現すればよい」グループになります
- NOT はいずれかの語を含む文書を除外します
クエリの後段には、返ってきた結果に対する2段目のフィルタリングがあります。単独の語は語境界付きで扱い、空白を含む表現は部分一致として扱います。これにより、bin が「binário」の内部に一致することを防ぎつつ、「クレジットカード」のようなフレーズは1つのまとまりとして一致させられます。2段構えにしているのは、クエリだけの除外では入れ子フィールドに対する否定を扱いきれないためです。
洪水ではなく、トリアージ
アラートは保留の状態で生まれます。アナリストがそれを有効または除外に振り分け、その判断は担当者、日時、付与した深刻度、誤検知フラグとともに記録されます。3つのキューはそれぞれ独立して閲覧でき、タイトル、深刻度、合致した語、スティーラーのファミリー、カード情報の有無で絞り込めます。
並行して、正規表現のレイヤーがアラートに10種類のカテゴリ（認証情報、詐欺、データ漏洩、ブランド悪用、フィッシング、ダークウェブ、マルウェア、役員、インフラ、SNS）のラベルを付けます。ラベルはキューの見通しを良くするためのもので、何かを決定するものではありません。
監視設定には、宣言的なトリアージ設定も持たせられます。スコープ、監視対象エンティティ、重要度別のキーワード階層、ネガティブワード、自動的な有効化・破棄のパターン、既知の良性ソース、重複排除の時間枠、スコアの閾値です。クエリを書き直すことなく「学術的な文脈での言及は無視する」と表明するための仕組みです。
主な機能
- 112の収集ソースを、それぞれ専用インデックスに対応付け
- アラート単位の任意のAI要約。脅威タイプは固定スキーマで、要約の有無によるフィルタも可能
- 漏洩データの集積（コンボリスト）およびインフォスティーラーのパッケージとの突き合わせ。スティーラーのファミリー別フィルタを含む
- アラートは個別または一括で、インシデントやレポートの項目に変換可能
- アラートのXLSXエクスポート
- 実行者と日時を伴うソフト削除、設定のバージョン管理、8種類の変更履歴
- 10グループ41カテゴリからなる組織の資産ディクショナリ。監視設定の検索語の供給源になります
ユースケース
- フォーラムやクローズドなチャンネルでのブランド・役員への言及を追跡する
- インフォスティーラーのパッケージ内にある自社の認証情報を、ファミリーを特定したうえで検知する
- 肯定・否定の検索語を組み合わせ、特定の攻撃者のキャンペーンを監視する
- カテゴリ分けと優先度付けが済んだアラートをSOCのキューに供給する
本モジュールが行わないこと
- 通知チャンネルはメール、Slack、Webhookです。 Microsoft TeamsとDiscordへのネイティブ配信はありません。これらにはWebhookを使ってください
- AI要約はアラートの有効・無効を判断しません。判定はアナリストが行い、記録として残るのはその判定です
- 自動カテゴリ付けはテキストパターンによる語彙的な処理です。学習済み分類器ではなく、公表された精度指標もありません
- 監視設定に新しい検索語を追加したとき、過去分を自動で再処理する機能はありません
連携
- Slack、メール、カスタムWebhook
- Airflow（実行のオーケストレーション）、OpenSearch（収集した集積）
- OODA Leaks、OODA Incident、OODA Reports、およびプラットフォームのREST API
SLA・保証
1分から30日までの実行頻度 · 検索語は保存時に暗号化 · アラートの判定はすべて署名付き