MobSF AI Sidecar

このプロジェクトは、Mobile Security Framework (MobSF) にAI搭載のチャットアシスタントを追加します。セキュリティアナリストは、MobSFが生成した分析レポートについて、インターフェース内で直接質問でき、OpenAIのモデルを活用します。

特徴

• シームレスな統合: Nginxリバースプロキシを使用して、特化したチャットインターフェースをMobSFレポートに直接注入します。
• コンテキスト認識: AIアシスタントは現在の分析レポート（静的解析）を自動的に取得し、それをコンテキストとして質問に回答します。
• インタラクティブQ&A: 脆弱性、コードスニペット、修復手順、またはアプリに関連する一般的なセキュリティ概念について質問できます。

アーキテクチャと仕組み

このソリューションは3つのDockerサービスで構成されています。

1. MobSF (mobsf): 標準のモバイルセキュリティフレームワークアプリケーション（ポート8000で稼働）。
2. サイドカー (chat): ポート5000で稼働するPython Flaskアプリケーション。
   • チャットUIを提供。
   • ユーザー、MobSF API、OpenAI APIを統合。
   • ユニークなスキャンハッシュを使用してMobSFからレポートJSONを取得。
   • レポートの関連部分とユーザーのクエリをOpenAI APIに送信。
3. ゲートウェイ (gateway): すべてを調整するNginxリバースプロキシ（ポート8080で待機）。
   • 標準トラフィックをMobSFコンテナにプロキシ。
   • /chat/ および /api/chat へのリクエストをサイドカーコンテナにルーティング。

データフロー

1. ユーザーがMobSFにモバイルアプリをアップロード。
2. モバイルアプリの分析が完了したら、ユーザーがMobSFでレポート表示を開く。
3. ユーザーがチャットボタンをクリック。
4. ブラウザが別のチャットウィンドウを開く。
5. ユーザーはこの特定のアプリレポートデータと対話できる。
6. サイドカーがMobSF APIからレポートを取得し、プロンプト＋レポート＋質問をOpenAIに送信し、回答を返す。

前提条件

• Docker と Docker Compose
• OpenAI APIキー

セットアップと実行

1. リポジトリをクローン:

   root@kitploit:~

   git clone <repository-url>
   cd Mobsf_Side_Car
   

2. 環境を設定: docker-compose-mobsfai.yml を開き、環境変数を確認してください。

   通常はOpenAI APIキーを指定する必要があります。ファイルに直接設定するか（コミットするコードには推奨しません）、シェルにエクスポートします。

   root@kitploit:~

   export MOBSF_OPENAI_API_KEY="sk-..."
   

   注: MOBSF_API_KEY は現在、docker-composeファイル内で、MobSFインスタンスとサイドカーの両方が通信するために 1234567890 にハードコードされています。一方で変更した場合は、必ず両方のサービスで更新してください。MobSFのGUIでもAPIキーを設定できます。

3. ビルドと起動: 次のコマンドを実行してチャットコンテナをビルドし、スタックを起動します。

   root@kitploit:~

   docker-compose -f docker-compose-mobsfai.yml up --build
   

   または

   root@kitploit:~

   docker-compose -f docker-compose-mobsfai.yml up -d --build
   

   または

   root@kitploit:~

   docker-compose -f docker-compose-mobsfai.yml down -v
   

4. アプリケーションにアクセス: ブラウザを開き、次のURLに移動します。 http://localhost:8080

   (注: ポート8000は使用しないでください。Nginxゲートウェイをバイパスするため、チャットボタンが表示されません。)

使い方

1. http://localhost:8080 にアクセスします。
2. 分析するAndroid（APK）またはiOS（IPA）アプリケーションをアップロードします。
3. スキャンが完了するのを待ちます。
4. 「静的解析」レポートが読み込まれたら、右下隅にある**浮かぶチャットボタン（💬）**を探します。
5. ボタンをクリックしてAIアシスタントを開きます。
6. 次のような質問ができます。
   • 「重要な脆弱性を要約してください。」
   • 「マニフェストで見つかった高重大度の問題を修正するにはどうすればよいですか？」
   • 「'アプリケーションがデバッグ可能です'という発見について説明してください。」

トラブルシューティング

• チャットボタンが表示されない？
  • http://localhost:8080 でアクセスしていることを確認し、ポート8000ではアクセスしないでください。
  • ブラウザのコンソールでJavaScriptエラーがないか確認してください。
  • URLに /StaticAnalyzer/ が含まれているか、注入されたスクリプトが期待するパターンに一致していることを確認してください。
• AIエラー / OpenAIの問題？
  • チャットコンテナのログを確認: docker logs mobsf_chat。
  • OPENAI_API_KEY が有効で、モデルにアクセスできることを確認してください。
• MobSF通信エラー？
  • docker-compose-mobsfai.yml 内の mobsf サービスと chat サービスの定義で、MOBSF_API_KEY が一致していることを確認してください。

AshishSecDev