Maltrailは、インジケータベースのネットワーク監視を目的として設計されています。そのヒューリスティック検出はトレイルマッチングを補完しますが、エンドポイントテレメトリや汎用の侵入防止システムの代替となるものではありません。

## 特徴

- 3,000以上のバンドルされた静的ファイル、42のパブリックフィード統合、およびオペレーターが提供する任意のトレイルを組み合わせた完全なトレイル構築。
- libpcapを使用したマルチスレッドのRustセンサー。オプションでLinuxの`PACKET_FANOUT`キャプチャワーカーをサポート。
- レポートインターフェース、イベント受信、HTTP APIを提供するPythonサーバー。
- レビューおよびバージョン管理が可能なプレーンテキストのカスタムトレイルとホワイトリスト。
- スキャン、DNS枯渇、DGA風のルックアップ、不審なダウンロード、プロキシプローブ、不審なUser-Agent値、および関連するネットワークアクティビティのヒューリスティック。
- ローカルイベントログ、リモートMaltrailログ、syslog経由のCEF、Logstash JSON出力。
- `maltrail-sensor -T`によるデプロイ検証と、オプションのPrometheusメトリクス。

## 目次

- [アーキテクチャ](#architecture)
- [パフォーマンス](#performance)
- [インストール](#installation)
  - [インストーラー](#installer)
  - [ソースからのビルド](#building-from-source)
  - [Systemd](#systemd)
  - [Docker](#docker)
- [設定](#configuration)
- [トレイル](#trails)
- [イベントとAPI](#events-and-api)
- [運用](#operations)
  - [監視](#monitoring)
  - [イベント保持](#event-retention)
- [ドキュメント](#documentation)
- [貢献](#contributing)
- [プロジェクト](#project)
  - [ライセンス](#license)
  - [メンテナー](#maintainers)
  - [スポンサー](#sponsors)
  - [プレゼンテーションと出版物](#presentations-and-publications)
  - [派生ブラックリスト](#derived-blacklist)
  - [サードパーティ統合](#third-party-integrations)
  - [謝辞](#acknowledgements)

## アーキテクチャ

Maltrailは、同じホストまたは別々のホストで実行できる2つの独立したプロセスで構成されています。```text
   ┌──────────┐   events (UDP or file)   ┌──────────┐
   │  sensor  │ ───────────────────────► │  server  │ ◄── browser
   └──────────┘                          └──────────┘
    Rust                                  Python
    libpcap + PACKET_FANOUT               reporting UI + API
    trail matching + heuristics

キャプチャワーカーはデフォルトで1つ使用されます。ワーカーを追加するとキャプチャ容量を増やせますが、Linuxのフロー・ハッシングにより、ワーカー間で送信元ごとの状態が分割されるため、一部のスキャン・ヒューリスティックの感度が低下します。文書化されたテストでは、シングルワーカーのヒューリスティック・アラートの91%が2ワーカーで維持され、4ワーカーでは86%、8ワーカーでは65%でした。正確なトレイル・マッチングは変更されませんでした。キャプチャ・ドロップのメトリクスが必要であることを示す場合にのみ、`CAPTURE_FANOUT`を増やしてください。

ベンチマーク手法、ハードウェア結果、プロファイラ出力、メモリ測定、およびライブ・ファンアウトのチェックは、[`sensor/docs/REPORT.md`](https://github.com/stamparm/maltrail/blob/master/sensor/docs/REPORT.md)に文書化されています。

## インストール

### インストーラ

インストーラは、Debian、Ubuntu、Raspberry Pi OS、RHEL、Fedora、およびopenSUSEをサポートしています。```bash
curl -fsSL https://raw.githubusercontent.com/stamparm/maltrail/master/install.sh | sudo sh

Common installer options:```bash
sh install.sh --role sensor      # Install only the sensor
sh install.sh --ref 3.1.1        # Install a release tag instead of master
sh install.sh --no-service       # Install without changing systemd
sh install.sh --dry-run          # Print commands without applying them
sh install.sh --uninstall        # Remove the managed installation; keep logs and state

次に、センサーをビルドして検証します。```bash
git clone --depth 1 https://github.com/stamparm/maltrail.git
cd maltrail

cargo build --release --manifest-path sensor/Cargo.toml

sudo setcap cap_net_raw,cap_net_admin=eip \
  sensor/target/release/maltrail-sensor

sudo install -d -o "$USER" -g "$(id -gn)" -m 750 /var/log/maltrail

sensor/target/release/maltrail-sensor -T
sensor/target/release/maltrail-sensor

プリビルドの`x86_64`および`aarch64`センサーバイナリは、SHA-256チェックサム付きで現在のリリースに添付されています。これらはglibc 2.28を対象としており、実行時にlibpcapが必要です。Alpine Linuxなどのmuslベースのシステムでは、ソースからビルドしてください。

廃止されたPythonセンサーは、比較ツールおよびパリティツールでのみ使用されます。これらのツールには、さらに`pcapy-ng`と、[`sensor/docs/INSTALL.md`](https://github.com/stamparm/maltrail/blob/master/sensor/docs/INSTALL.md)に記載されているPython開発ヘッダーが必要です。

### Systemd

同梱の`maltrail-server.service`および`maltrail-sensor.service`ユニットは、両方のプロセスを非特権ユーザー`maltrail`として実行します。Systemdは`/var/log/maltrail`と`/var/lib/maltrail`を作成し、ファイルシステムへのアクセスを制限し、センサーに`CAP_NET_RAW`と`CAP_NET_ADMIN`を付与します。

インストーラーはこれらのユニットを自動的に設定します。既存のソースインストールの場合は、[`sensor/docs/INSTALL.md`](https://github.com/stamparm/maltrail/blob/master/sensor/docs/INSTALL.md)の手動サービス手順に従ってください。

サービスの状態とログを確認するには、次のコマンドを使用します。```bash
systemctl status maltrail-sensor maltrail-server
journalctl -u maltrail-sensor -f

コンテナ設定、ストレージ、権限、およびヘルスチェックについては、
[`docker/README.md`](https://github.com/stamparm/maltrail/blob/master/docker/README.md) に記載されています。

## 設定

Maltrail は `maltrail.conf` を読み取ります。このファイルには、個別の `[Sensor]` セクションと `[Server]` セクションの設定が含まれています。インストーラーは、管理対象の設定を `/etc/maltrail.conf` に配置します。

よく使用されるセンサーオプションは次のとおりです。

| オプション | 目的 |
| --- | --- |
| `MONITOR_INTERFACE` | キャプチャインターフェース。`any` を指定すると、サポートされているすべてのインターフェースを選択します |
| `CAPTURE_FILTER` | BPF キャプチャフィルター |
| `CAPTURE_FANOUT` | Linux キャプチャソケットの数。デフォルトは 1 |
| `LOG_DIR` | ローカルイベントログディレクトリ |
| `TRAILS_FILE` | 生成されたトレイルデータベース |
| `LOG_SERVER` | リモート Maltrail イベントサーバー |
| `SYSLOG_SERVER` | CEF syslog の送信先（複数可） |
| `LOGSTASH_SERVER` | Logstash JSON の送信先（複数可） |
| `STATS_ADDRESS` | Prometheus メトリクスリスナー。設定されていない限り無効 |
| `UPDATE_PERIOD` | トレイル更新間隔 |
| `USER_WHITELIST` | アラートを発生させない運用者管理のインジケーター |
| `CUSTOM_TRAILS_DIR` | 運用者管理のトレイルディレクトリ |

`PROCESS_COUNT` は、廃止された Python センサーに適用されます。Rust センサーのキャプチャワーカーは、代わりに `CAPTURE_FANOUT` で設定してください。

設定を変更した後は、デプロイチェックを実行してください。```bash
sensor/target/release/maltrail-sensor -T

`CUSTOM_TRAILS_DIR` の下にローカルインジケータを追加します。アラートを生成すべきでないインジケータは `USER_WHITELIST` に追加します。カスタムデータを管理対象のチェックアウトの外に置くことで、アップグレードによる上書きを防げます。

アップデータは、有効なフィード、バンドルされた静的トレイル、カスタムトレイルから `TRAILS_FILE` を再構築します。新しいファイルは、ビルドが成功した後にのみアトミックに公開されます。空または失敗したフィードは報告されるため、実行中のデプロイメントが古いソースや廃止されたソースに静かに依存することはありません。

トレイルへの貢献には、インジケータ、分類、検証可能なソースを含める必要があります。プルリクエストを送信する前に [Contributing](#contributing) を参照してください。

## イベントとAPI

Maltrail は、検出ごとに1つの空白区切りのイベントを記録し、値にスペースが含まれる場合は CSV 引用符を使用します。```text
"<time>" <sensor> <src_ip> <src_port> <dst_ip> <dst_port> <proto> <type> <trail> "<info>" <reference>

I need the actual content of chunk 31 to translate it. Please provide the Markdown text you'd like translated from English to Japanese.```json
{
  "query": "www.sub.evil.example",
  "found": true,
  "trail": "evil.example",
  "info": "asyncrat (malware)",
  "reference": "(static)"
}

It runs formatting, Clippy with warnings denied, debug and release tests, and parity replay against
the retired Python sensor. Run the Python server suite with:```bash
bash tests/run.sh python3