VeilGate

VeilGateは、チームが自動セキュリティプロービングのコストを引き上げつつ、実際のユーザーの前に脆弱なブロックルールを配置しないことを目指す、オープンソースの欺瞞プロキシです。

Webアプリケーションの前に配置され、各リクエストをスコアリングし、以下の3つの結果のいずれかを選択します。

• Real: クリーンなトラフィックを上流のアプリに転送します。
• Challenge: 疑わしいが曖昧なクライアントに、ブラウザのProof of Workを要求します。
• Tarpit: 高信頼度のエージェントトラフィックを決定論的な偽アプリに誘導します。

目標は魔法のような無敵ではありません。目標はより良い経済性です：人間と通常の自動化を動かし続けながら、AI支援スキャナーが信頼できる行き止まりに時間、トークン、注意を費やすようにすることです。

機能

• observe、challenge、tarpit、および閾値駆動のautoモードを備えたリバースプロキシ。
• 不審なユーザーエージェント、スパースなブラウザヘッダー、ハニーポットパス、タイミングの規則性、スキャナーパス、SQLi/XSS/OOBマーカー、IP/UAのローテーション、クッキーの動作、リクエストグラフの形状、JA3/JA4 TLSフィンガープリント、HTTP/2フィンガープリント、カナリアリプレイ、オンラインMLスコアリングのための検出シグナル。
• ブラウザProof of Workチャレンジ。cookieと**X-Veilgate-Tokenヘッダー**の両方のトランスポートをサポートし、クロスオリジンSPAがトークンを解決して後続のAPI呼び出しに再添付できるようにします。401チャレンジ応答はSPA対応です：トップレベルナビゲーションにはHTMLを、fetch/XHRコンテキストにはインラインで解決するPoWメタデータを含むJSONを返します。
• オペレーター発行のHMAC検証チェーンで、PoWを解決できないサーバー間クライアントに対応（docs/how-to/server-to-server-hmac.md参照）。
• 安定したクライアント別の偽プロファイルを持つシャドウアプリケーション応答。
• tarpit応答へのプロンプトインジェクションおよびデコイペイロードインジェクション。
• イベント、特徴量ロールアップ、監査ログ、カナリアのためのSQLite永続化。
• Prometheusメトリクスとメトリクスリスナー上の軽量ダッシュボード。
• 別のコミュニティリポジトリveilgate-rulesから供給される、ホットリロード可能なYAMLルールファイル。

クイックスタート

オプション1 — インストールスクリプト（推奨）

バイナリをダウンロードし、systemdサービスをインストールし、コミュニティルールをインストールし、observeモードのスターター設定を書き込みます。

# ワンライナー
curl -sSL https://veilgate.dev/install.sh | sudo bash -s -- --upstream http://localhost:3000

# またはダウンロードしてから実行
curl -sSL https://veilgate.dev/install.sh -o install.sh
sudo ./install.sh --upstream http://localhost:3000

フラグ:

パッケージ化された設定はrules_dir: "~/.veilgate/rules"を使用します。systemd下では、VeilGateはホームが/var/lib/veilgateであるveilgateユーザーとして実行されるため、これは/var/lib/veilgate/.veilgate/rulesに解決されます。

新規インストールで--secretが省略された場合、インタラクティブ端末ではインストーラーがプロンプトを表示し、それ以外ではランダムなシークレットを生成します。サービスユーザーが存在しない場合、インストーラーはインタラクティブ端末では作成前に確認し、非インタラクティブインストールでは作成をデフォルトとします。

インストール後:

systemctl status veilgate
journalctl -u veilgate -f

オプション2 — Docker

docker run -d --name veilgate \
  --network host \
  -v /etc/veilgate/veilgate.yaml:/etc/veilgate/veilgate.yaml:ro \
  -v ~/.veilgate/rules:/home/nonroot/.veilgate/rules \
  -e VEILGATE_SECRET=$(openssl rand -hex 32) \
  ghcr.io/c0oki3s/veilgate:latest -config /etc/veilgate/veilgate.yaml

オプション3 — ソースからビルド

前提条件: Go 1.25.10 以降。

git clone https://github.com/C0oki3s/veilgate.git
cd veilgate
make build
./veilgate -config configs/veilgate.yaml

デフォルトでは、VeilGateは:8080で待ち受け、http://localhost:3000にプロキシし、:9090でメトリクスを公開します。

デフォルト設定はobserveモードで開始されます — challengeまたはtarpitを有効にする前に、通常のトラフィックのベースラインを取得します。

動作モード

推奨ロールアウト:

1. 少なくとも数日間observeを実行します。
2. メトリクスとイベントサンプルで誤検知を確認します。
3. 曖昧なトラフィックに対してchallengeを有効にします。
4. 閾値が環境に合ったらtarpitを有効にします。

設定

configs/veilgate.yamlから始めます:

listen: ":8080"
upstream: "http://localhost:3000"
mode: "observe"
rules_dir: "~/.veilgate/rules"

detector:
  score_challenge_threshold: 40
  score_tarpit_threshold: 70
  trusted_ips: []
  trusted_proxies: []

metrics:
  listen: ":9090"

完全なリファレンス: Configuration reference

ルール

VeilGateは組み込みのルールは提供しません。バイナリは起動時にrules_dirを読み込み、変更をホットリロードします。ディレクトリが空の場合、ゼロの検出シグナルで起動します。ルールは以下の1つのソースから提供されます:

• veilgate-rules — コミュニティ管理のルールパック。install.shスクリプトが初回インストール時に自動的にクローンします。また、内蔵のupdate-rulesサブコマンドを使って手動で更新することもできます — 再ビルドや再起動は不要です:

# 最新のパックを~/.veilgate/rules（デフォルトの場所）にインストール
veilgate update-rules

# リリースタグを指定
veilgate update-rules --dir ~/.veilgate/rules --version v1.2.0

# 利用可能なリリースを一覧表示
veilgate update-rules --list

インストール後、VeilGateのfsnotifyウォッチャーが約500ms以内に新しいファイルを検出します。各既存ファイルは上書き前に<name>.bakとしてバックアップされます（--no-backupを渡すとスキップ）。インストールされたバージョンは<rules_dir>/.rules-version.jsonに記録され、CIや運用担当者がgitメタデータを参照せずに実行中のバージョンを確認できます。

両方のディレクトリをセキュリティポリシーとして扱ってください — 特にdetector.yamlとip_reputation.yamlは、本番にデプロイする前に変更をレビューしてください。完全ガイドとロールバック手順: docs/how-to/install-community-rules.md

ドキュメント

• Getting Started: ローカル実行と最初の確認。
• Configuration Reference: veilgate.yamlとルールファイル。
• Deployment: Linux/systemdインストール。
• Architecture: リクエストフローとサブシステム設計。
• Operations: メトリクス、ダッシュボード、アラート、定常チェック。
• Model Card: MLシグナルの動作と制限。
• Reference Index: 完全なルックアップ指向リファレンスページ。
• Community Rules: veilgate update-rulesによるコミュニティ管理ルールセットのインストールと更新。
• Threat Model: VeilGateが保護するものとしないもの。

セキュリティに関する注意

• 自分が所有または運用するシステムの前でのみVeilGateをデプロイしてください。
• メトリクスリスナーを直接パブリックインターネットに公開しないでください。
• challengeまたはtarpitモードを使用する前に、VEILGATE_SECRETまたはchallenge.secretを設定してください。VeilGateはデフォルトのチャレンジシークレットでobserveモード以外では起動を拒否します。
• rules/以下のファイルをセキュリティポリシーとして扱ってください。レビューし、バージョン管理してください。
• 保守的な閾値から始め、観測されたトラフィックからチューニングしてください。

開発

make test
make fmt
make build

トップレベルのtestsフォルダにはブラックボックス統合テストが含まれています。パッケージプライベートの単体テストは各パッケージの隣にあり、エクスポートされていないディテクター、TLSフィンガープリント、tarpit、MLヘルパーを検証します。

ライセンス

Apache-2.0。 LICENSEを参照。