Agentic Threat Hunting Framework (ATHF)

ATHF Logo

クイックスタート • インストール • ドキュメント • サンプル

脅威ハンティングプログラムに記憶と自律性を。

Agentic Threat Hunting Framework (ATHF) は、脅威ハンティングプログラムのための記憶と自動化のレイヤーです。ハントに構造、永続性、コンテキストを与え、過去のすべての調査を人間とAIの両方からアクセス可能にします。

ATHFはあらゆるハンティング手法（PEAK、TaHiTI、あるいは独自のプロセス）と連携します。既存の手法を置き換えるものではなく、既存のプロセスをAI対応にするためのレイヤーです。

ATHFとは？

ATHFは脅威ハンティングプログラムに構造と永続性を提供します。Markdownベースのフレームワークで、以下を実現します：

LOCKパターン（Learn → Observe → Check → Keep）を用いてハントを文書化
過去の調査を検索可能なリポジトリとして維持
AIアシスタントがあなたの環境と過去の作業を参照可能に
あらゆるSIEM/EDRプラットフォームと連携
新機能： AIを活用したリサーチおよび仮説生成エージェントを搭載（v0.3.0以降）

課題

ほとんどの脅威ハンティングプログラムは、ハントが終わると同時に貴重なコンテキストを失います。ノートはSlackやチケットに散在し、クエリは一度書かれて忘れられ、得られた教訓はアナリストの頭の中にしか存在しません。

AIツールでさえ、あなたの環境、データ、過去のハントへのアクセスがなければ、毎回ゼロから始めることになります。

ATHFは、ハントに構造、永続性、コンテキストを与えることで、この状況を変えます。

詳細： docs/why-athf.md

LOCKパターン

すべての脅威ハントは同じ基本ループに従います：Learn → Observe → Check → Keep。

The LOCK Pattern

Learn： 脅威インテリジェンス、アラート、または異常からコンテキストを収集する
Observe： 攻撃者の振る舞いに関する仮説を立てる
Check： 標的を絞ったクエリで仮説を検証する
Keep： 発見事項と教訓を記録する

なぜLOCKなのか？ 使うには十分小さく、エージェントが解釈するには十分厳密です。すべてのハントをこの形式で記録することで、ATHFはAIアシスタントが過去の作業を想起し、過去の結果に基づいて洗練されたクエリを提案することを可能にします。

詳細： docs/lock-pattern.md

GATESメソッド：ハントから検知への昇格検証

ハントのKEEPフェーズを完了した後、GATESメソッドは、あなたの発見事項を本番検知、定期的なハント、またはアドバイザリに昇格させるべきかどうかを検証します。

Generalizable（一般化可能）、Additive（付加的）、Tunable（調整可能）、Exposure-tested（回避策検証済み）、Sustainable（持続可能）

注記： GATESはATHFフレームワークと連携するように設計されており、そのコンテキストで広範囲にテストされています。方法論（5つのBASE基準、判定タイプ）は概念的には移植可能ですが、最良の結果を得るには完全なATHFワークフローの一部として使用することを推奨します。完全な統合については .claude/skills/gates/ を参照してください。

インストール： GATESは現在 git clone 経由でのみ利用可能です。pip install でインストールしたユーザーは、GATESにアクセスするためにリポジトリをクローンしてください。GATESをpipディストリビューションに含める作業を進めています（Issue #21として追跡中）。

GATESはハント由来の検知を2層のフレームワークで評価します：5つのBASE基準（ハントデータから評価）がデプロイ候補を特定し、5つのADVANCED基準（本番環境で検証）が偽陽性率と偽陰性率の低い、回復力のある検知を保証します：

ゲート	問い	検出するもの
G - Generalizable	これは再現可能か？	すぐに失効するIOCベースのルール
A - Additive	カバレッジのギャップを埋めるか？	重複または冗長な検知
T - Tunable	攻撃と正常を区別できるか？	ベースラインノイズの不一致（偽陽性の最大要因）
E - Exposure-tested	回避策をカバーしたか？	単一次元の検知
S - Sustainable	これを維持できるか？	大量・低真陽性のルール

判定はBASEスコア（/5）に基づきます。ADVANCED検証方法については .claude/skills/gates/ を参照してください。

クイックスタート — アシスタントにこれを入力してください；/gates はスキルであり、シェルコマンドではありません：

/gates --hunt H-0001

判定タイプ:

✅ PROMOTE (4.0-5.0) - 常設検知としてデプロイ
⚠️ CONDITIONAL (3.0-3.9) - 前提条件を満たした後にデプロイ
❌ HOLD (0.0-2.9) - ロジックを保持し、デプロイしない
⏱️ TIME_BOX - キャンペーン固有、90日ごとに更新
🔄 RECURRING_HUNT - 四半期ごとの実行、24時間365日ではない
🚫 DROP - 検知する価値なし。再提案されないよう記録

ゲートの FAIL はスコア帯を上書きし、2つのゲートが失敗した場合はこの順序で最初に一致したものが優先される: A→DROP、G→TIME_BOX、E→HOLD、S→RECURRING_HUNT、T→CONDITIONAL。上記のスコア帯はゲートが FAIL しなかった場合にのみ適用される。完全なルール: .claude/skills/gates/SKILL.md ステップ4。

注記: GATES の「PROMOTE」判定は検知ルールをデプロイすることを意味する。これは athf hunt promote とは異なり、こちらはハントファイルをディレクトリ間で移動するものである。

ADEF (Detection Engineering Framework) との統合:

GATES 検証後、本番検知エンジニアリングのために ADEF へ進む:

ATHF Workspace                    ADEF Workspace
──────────────                    ──────────────
Hunt (LOCK)                       
   ↓
GATES Validate                    
   ↓
H-XXXX_GATES.yaml  ────────────→  FORGE (F-O-R-G-E)
                                     ↓
                                  Production Rule

完全なワークフロー:

ATHFワークスペースで、ハントを検証する — シェルコマンドではなく、アシスタントへの入力:
```
/gates --hunt H-0903
```
→ hunt-promotion-analysis/H-0903_GATES.yaml を書き込む（ハントごとに1ファイル、内部にN個の候補）。判定がアーカイブ（HOLD、DROP、TIME_BOX、RECURRING_HUNT）のハントは代わりに .md ナラティブを出力する — 構築すべきルールが存在しないため、ステップ2は .yaml 出力にのみ適用される。
そのドキュメントをADEFにインポートする：
```
adef hunt-promote --gates ~/athf-workspace/hunt-promotion-analysis/H-0903_GATES.yaml
# --dry-run first to preview what it would mint
```
Deployable candidates each land at the Find stage with a D-XXXX, a catalog record and a journal; archival ones are reported as skipped. No cd needed — ADEF resolves its workspace from ADEF_WORKSPACE (default ~/work/adef-workspace/). Confirm your ADEF has this mode with adef hunt-promote --help.

ADEF Repository: https://github.com/Nebulock-Inc/agentic-detection-engineering-framework

GATES ensures you deploy the right detections the right way, avoiding alert fatigue and operational friction.

Read more: .claude/skills/gates/README.md

The Five Levels of Agentic Hunting

ATHF defines a simple maturity model. Each level builds on the previous one.

Most teams will live at Levels 1–2. Everything beyond that is optional maturity.

The Five Levels

Level	Capability	What You Get
0	Ad-hoc	Hunts exist in Slack, tickets, or analyst notes
1	Documented	Persistent hunt records using LOCK
2	Searchable	AI reads and recalls your hunts
3	Generative	AI executes queries via MCP tools, conducts research
4	Agentic	Autonomous agents monitor and act, generate hypotheses

Level 1: Operational within a day Level 2: Operational within a week Level 3: 2-4 weeks (optional) Level 4: 1-3 months (optional)

Read more: docs/maturity-model.md

🚀 Quick Start

Option 1: Install from PyPI (Recommended)

# Install ATHF
pip install agentic-threat-hunting-framework

# Initialize your hunt program
athf init

# NEW: Conduct research before hunting (5-skill methodology)
athf research new --topic "LSASS dumping" --technique T1003.001

# Create your first hunt (link to research)
athf hunt new --technique T1003.001 --title "LSASS Credential Dumping" --research R-0001

オプション2: ソースからのインストール（開発）

# Clone and install from source
git clone https://github.com/Nebulock-Inc/agentic-threat-hunting-framework
cd agentic-threat-hunting-framework
pip install -e .

# Initialize and start hunting
athf init
athf hunt new --technique T1003.001

オプション 3: 純粋な Markdown (インストール不要)

# Clone the repository
git clone https://github.com/Nebulock-Inc/agentic-threat-hunting-framework
cd agentic-threat-hunting-framework

agentic-threat-hunting-framework v0.19.0