agentic-threat-hunting-framework v0.19.0
ATHFは、エージェント型脅威ハンティングのためのフレームワークです。記憶し、学習し、自律性を高めながら行動するシステムを構築します。
Agentic Threat Hunting Framework (ATHF)
クイックスタート • インストール • ドキュメント • サンプル
脅威ハンティングプログラムにメモリ（記憶）とエージェンシー（自律性）を。
Agentic Threat Hunting Framework (ATHF) は、脅威ハンティングプログラムのためのメモリ（記憶）と自動化レイヤーです。ハントに構造、永続性、コンテキストを与え、過去のすべての調査を人間とAIの両方が利用できるようにします。
ATHFはあらゆるハンティング手法（PEAK、TaHiTI、または独自のプロセス）に対応します。これは置き換えではなく、既存のプロセスをAI対応にするレイヤーです。
ATHFとは？
ATHFは脅威ハンティングプログラムに構造と永続性を提供します。これはMarkdownベースのフレームワークで、以下のことを実現します：
- LOCKパターン（Learn → Observe → Check → Keep）を使用したハントの文書化
- 過去の調査の検索可能なリポジトリの維持
- AIアシスタントが環境と過去の作業を参照できるようにする
- あらゆるSIEM/EDRプラットフォームに対応
- 新機能: AI駆動の調査および仮説生成エージェントを搭載（v0.3.0以降）
問題
ほとんどの脅威ハンティングプログラムは、ハントが終了すると貴重なコンテキストを失ってしまいます。メモはSlackやチケットの中に散在し、クエリは一度書かれると忘れられ、学んだ教訓はアナリストの頭の中にしか存在しません。
環境やデータ、過去のハントにアクセスできないAIツールでさえ、毎回ゼロから始まることになります。
ATHFはハントに構造、永続性、コンテキストを与えることでこの状況を変えます。
詳細はこちら: docs/why-athf.md
LOCKパターン
すべての脅威ハントは同じ基本ループに従います：Learn（学習）→ Observe（観察）→ Check（検証）→ Keep（記録）。
- Learn（学習）: 脅威インテル、アラート、または異常からコンテキストを収集
- Observe（観察）: 敵対者の振る舞いに関する仮説を立てる
- Check（検証）: ターゲットを絞ったクエリで仮説を検証
- Keep（記録）: 調査結果と学んだ教訓を記録
なぜLOCKなのか？ 使用するには十分にシンプルで、エージェントが解釈するには十分に厳密です。すべてのハントをこの形式で記録することで、ATHFはAIアシスタントが過去の作業を想起し、過去の結果に基づいて洗練されたクエリを提案することを可能にします。
詳細はこちら: docs/lock-pattern.md
エージェント型ハンティングの5つのレベル
ATHFはシンプルな成熟度モデルを定義します。各レベルは前のレベルの上に構築されます。
ほとんどのチームはレベル1〜2に留まります。それ以降はすべて任意の成熟度です。
| レベル | 機能 | 得られるもの |
|---|---|---|
| 0 | アドホック | ハントはSlack、チケット、アナリストのメモの中に存在 |
| 1 | 文書化 | LOCKを使用した永続的なハント記録 |
| 2 | 検索可能 | AIがハントを読み取り、想起 |
| 3 | 生成型 | AIがMCPツール経由でクエリを実行、調査を実施 |
| 4 | エージェント型 | 自律エージェントが監視・行動し、仮説を生成 |
レベル1: 1日以内に運用可能 レベル2: 1週間以内に運用可能 レベル3: 2〜4週間（任意） レベル4: 1〜3か月（任意）
詳細はこちら: docs/maturity-model.md
🚀 クイックスタート
オプション1: PyPIからインストール（推奨）
# Install ATHF
pip install agentic-threat-hunting-framework
# Initialize your hunt program
athf init
# NEW: Conduct research before hunting (5-skill methodology)
athf research new --topic "LSASS dumping" --technique T1003.001
# Create your first hunt (link to research)
athf hunt new --technique T1003.001 --title "LSASS Credential Dumping" --research R-0001
オプション2: ソースからインストール（開発用）
# Clone and install from source
git clone https://github.com/Nebulock-Inc/agentic-threat-hunting-framework
cd agentic-threat-hunting-framework
pip install -e .
# Initialize and start hunting
athf init
athf hunt new --technique T1003.001
オプション3: 純粋なMarkdown（インストール不要）
# Clone the repository
git clone https://github.com/Nebulock-Inc/agentic-threat-hunting-framework
cd agentic-threat-hunting-framework
# Copy a template and start documenting
mkdir -p hunts
cp athf/data/templates/HUNT_LOCK.md hunts/H-0001.md
# Customize AGENTS.md with your environment
# Add your SIEM, EDR, and data sources
AIアシスタントを選択: Claude Code、GitHub Copilot、Cursorなど、リポジトリのファイルを読み取れるツールなら何でも使用できます。
完全ガイド: docs/getting-started.md
🔧 CLIコマンド
ATHFにはハントを管理するためのフル機能のCLIが含まれています。クイックリファレンスは以下のとおりです：
ワークスペースの初期化
athf init # Interactive setup
athf init --non-interactive # Use defaults
調査と仮説生成（v0.3.0の新機能）
# Conduct thorough pre-hunt research (15-20 min)
athf research new --topic "LSASS dumping" --technique T1003.001
# Quick research for urgent hunts (5 min)
athf research new --topic "Pass-the-Hash" --depth basic
# Generate AI-powered hypothesis from threat intel
athf agent run hypothesis-generator --threat-intel "APT29 targeting SaaS"
# List research and agents
athf research list
athf agent list
ハントの作成
athf hunt new # Interactive mode
athf hunt new \
--technique T1003.001 \
--title "LSASS Dumping Detection" \
--platform windows \
--research R-0001 # Link to research document
一覧表示と検索
athf hunt list # Show all hunts
athf hunt list --status completed # Filter by status
athf hunt list --directory test # Filter by environment (test/production)
athf hunt list --output json # JSON output
athf hunt search "kerberoasting" # Full-text search
athf hunt search "credential" --directory production # Search with directory filter
athf research search "credential" # Search research docs
検証と統計
athf hunt validate # Validate all hunts
athf hunt validate H-0001 # Validate specific hunt
athf hunt stats # Show statistics
athf hunt coverage # MITRE ATT&CK coverage
athf research stats # Research metrics
ATT&CKデータ管理（v0.11.0の新機能）
# Install STIX support (optional)
pip install 'agentic-threat-hunting-framework[attack]'
# Download live ATT&CK data (835+ techniques with full metadata)
athf attack update
# Check provider status
athf attack status
# Look up technique metadata
athf attack lookup T1003.001
# List techniques for a tactic
athf attack techniques credential-access
mitreattack-python がない場合、ATHFはハードコードされたv14フォールバック（14の戦術、概算の件数）を使用します。インストールすると、プラットフォーム、データソース、サブテクニック、正確な件数など、完全なテクニックメタデータを取得できます。
MCPサーバー（v0.11.0の新機能）
# Install MCP dependencies
pip install 'agentic-threat-hunting-framework[mcp]'
# Start MCP server (for Claude Code, Copilot, Cursor, etc.)
athf mcp serve --workspace /path/to/hunts
~/.claude/mcp-servers.json で設定します：
{
"athf": {
"command": "athf-mcp",
"env": { "ATHF_WORKSPACE": "/path/to/your/hunts" }
}
}
スタンドアロンの athf-mcp エントリポイントは、cwd または ATHF_WORKSPACE 環境変数からワークスペースを自動検出します。明示的なパスを指定するには athf mcp serve --workspace /path を使用します。
セキュリティに関する注意:
sseおよびstreamable-httpトランスポートは127.0.0.1にバインドされ、認証なしで動作します。すべてのツールがワークスペース全体を読み取り、一部はLLMエージェントを呼び出してコストが発生します。ルーティング可能なインターフェースにバインドする場合のみ--hostを渡し、その際は認証プロキシを前面に配置してください。デフォルトのstdioトランスポートはソケットを一切開きません。
17のツールを公開：ハント管理、セマンティック検索、ATT&CKカバレッジ、リサーチ、調査、AI駆動の仮説生成 — すべてAIコーディングアシスタントから直接利用できます。
完全なドキュメント: CLIリファレンス
📺 動作を確認
ATHFの動作をご覧ください：ワークスペースの初期化、ハントの作成、脅威ハンティングカタログの探索を60秒以内で行えます。
インストール
インストール方法（PyPI、ソース、または純粋なMarkdown）については、上記のクイックスタートセクションを参照してください。
前提条件:
- Python 3.8-3.13（CLIオプション用）
- お気に入りのAIコードアシスタント
ドキュメント
コアコンセプト
- ATHFが存在する理由 - 問題と解決策
- LOCKパターン - すべてのハントのための構造
- 成熟度モデル - 5つのレベルの解説
- はじめに - ステップバイステップのオンボーディング
レベル別ガイド
統合とカスタマイズ
- インストールと開発 - セットアップ、フォークのカスタマイズ、テスト
- MCPカタログ - 利用可能なツール統合
- クイックスタートガイド - 特定のツールのセットアップ
- ATHFの使用方法 - 導入とカスタマイズ
🎖️ 注目のハント
H-0001: macOS情報窃取型マルウェアの検知
AppleScriptを介してSafariのクッキーを収集するAtomic Stealerを検知しました。 結果: 真陽性1件、外部送信が行われる前にホストを隔離。
重要な知見: 振る舞いベースの検知はシグネチャベースの手法よりも優れていました。プロセス署名の検証により、データ収集を試みる未署名のマルウェアを特定しました。
なぜこれが重要なのか
PEAKのようなフレームワークとATHFがどのように相互作用するのか疑問に思われるかもしれません。PEAKはハンティングの進め方に関する確固たる方法を提供します。ATHFはその基盤の上に、構造、メモリ、継続性を加えることで構築されています。PEAKは作業を導き、ATHFは作業を記録し、整理し、将来のハントで再利用できるようにします。
エージェント型脅威ハンティングはアナリストを置き換えることではありません。以下のことができるシステムを構築することです：
- 過去に何が行われたかを記憶する
- 過去の成功と失敗から学ぶ
- 文脈に基づく想起で人間の判断を支援する
フレームワークにメモリがあれば、離職や忘れられたメモによる知識の喪失を防げます。AIアシスタントがそのメモリを参照できれば、それは戦力倍増要因となります。
💬 コミュニティと導入
- GitHub Discussions: 質問、ハントの共有
- Issues: バグ報告や機能リクエスト
- LinkedIn: Nebulock Inc. - 更新情報をフォロー
組織でのATHFの活用: ATHFは拡張するプラットフォームではなく、内製化するフレームワークです。フォークして、カスタマイズして、自分たちのものにしましょう。導入ガイダンスについてはUSING_ATHF.mdを参照してください。ハントはあなたのものです—共有は任意ですが、歓迎します。
リポジトリ: https://github.com/Nebulock-Inc/agentic-threat-hunting-framework
目標は、すべての脅威ハンティングチームがアドホックなメモリから、構造化されたエージェント型の能力へ移行できるようにすることです。
🛠️ 開発とカスタマイズ
ATHFは組織向けにフォークしてカスタマイズできるように設計されています。
以下については docs/INSTALL.md#development--customization を参照してください：
- 開発用フォークのセットアップ
- コード品質のためのpre-commitフック
- テストと型チェック
- カスタマイズ例
- CI/CD統合
クイックスタート：
pip install -e ".[dev]" # Install dev dependencies
pre-commit install # Set up quality checks
pytest tests/ -v # Run tests
👤 著者
Sydney Marrone によって作成 © 2025
小さく始めよう。1つのハントを文書化しよう。構造を追加しよう。メモリを構築しよう。
メモリは倍増要因。エージェンシーは推進力。 プログラムが記憶できるようになれば、他のすべてが可能になります。
楽しいハンティングを！