Awesome Cybersecurity Blue Team

サイバーセキュリティのブルーチームのための、素晴らしいリソース、ツール、その他のキラリと光るものを集めたリストです。

サイバーセキュリティのブルーチームとは、情報技術システムのセキュリティ上の欠陥を特定し、セキュリティ対策の有効性を検証し、実装された防御策が将来にわたって有効であり続けることを確認するためにシステムを監視する人々のグループです。このリストは排他的ではありませんが、フリーソフトウェアプロジェクトを重視し、プロプライエタリな製品や企業サービスには否定的です。攻撃的なTTPについては、awesome-pentestを参照してください。

あなたのコントリビューションと提案を心から♥歓迎します。(✿◕‿◕)。詳細はコントリビューションガイドラインをご確認ください。この作品はクリエイティブ・コモンズ 表示 4.0 国際 ライセンスの下で提供されています。

多くのサイバーセキュリティ専門家は、地方・州・連邦の警察機関にサービスを提供したり、そうした機関と同様の活動を行う組織に協力したりすることで、意図的かどうかにかかわらず、人種差別的な国家暴力を助長しています。この悪は、多くの場合、食料・住居・医療へのアクセスを失うという脅威の下での雇用という強制的な仕組みを通じて発生します。このリストが公開されているにもかかわらず、このリストが、このような大規模でありながらもありふれた悪に対抗するために活動する人々や組織を支援することを、メンテナの意図と希望としています。

警察への資金提供を廃止せよ。

目次

• 自動化と規約
  • コードライブラリとバインディング
  • セキュリティオーケストレーション、自動化、およびレスポンス (SOAR)
• クラウドプラットフォームのセキュリティ
  • 分散監視
  • Kubernetes
  • サービスメッシュ
• 通信セキュリティ (COMSEC)
• DevSecOps
  • アプリケーションまたはバイナリのハードニング
  • コンプライアンステストとレポート
  • 依存関係の混乱
  • ファジング
  • ポリシー適用
  • サプライチェーンセキュリティ
• ハニーポット
  • ターピット
• ホストベースのツール
  • サンドボックス
• アイデンティティとAuthN/AuthZ
• インシデントレスポンスツール
  • IR管理コンソール
  • 証拠収集
• ネットワーク境界防御
  • ファイアウォールアプライアンスまたはディストリビューション
• オペレーティングシステムディストリビューション
• フィッシングの認知と報告
• 準備トレーニングとウォーゲーミング
  • エンゲージメント後の分析と報告
• セキュリティ設定
• セキュリティ監視
  • エンドポイント検出と応答 (EDR)
  • ネットワークセキュリティ監視 (NSM)
  • セキュリティ情報およびイベント管理 (SIEM)
  • サービスおよびパフォーマンス監視
  • 脅威ハンティング
• 脅威インテリジェンス

自動化と規約

• Ansible Lockdown - 検証済みかつ積極的にメンテナンスされている、情報セキュリティをテーマにしたAnsibleロールの精選コレクション。
• Clevis - 自動復号のためのプラグ可能なフレームワーク。多くの場合Tangクライアントとして使用されます。
• DShell - Pythonで書かれた拡張可能なネットワークフォレンジック分析フレームワーク。ネットワークパケットキャプチャの解析を支援するプラグインを迅速に開発できます。
• Dev-Sec.io - さまざまなベースラインセキュリティ設定のAnsible、Chef、Puppet実装を提供するサーバーハードニングフレームワーク。
• Password Manager Resources - パスワード管理をより良くするための、協力的でクラウドソースされたデータとコード。
• peepdf - スクリプト可能なPDFファイルアナライザー。
• PyREBox - QEMUベースの、Pythonスクリプトが可能なリバースエンジニアリングサンドボックス。
• Watchtower - Dockerコンテナのベースイメージ更新を自動化するコンテナベースのソリューション。無人アップグレード体験を提供します。

コードライブラリとバインディング

• MultiScanner - Pythonで書かれたファイル分析フレームワーク。一連のファイルに対してツール群を自動実行し、出力を集約して評価を支援します。
• Posh-VirusTotal - VirusTotal.com APIへのPowerShellインターフェース。
• censys-python - Censys REST APIのPythonラッパー。
• libcrafter - 高水準のC++ネットワークパケットスニッフィングおよびクラフティングライブラリ。
• python-dshield - Internet Storm Center/DShield APIへのPython的なインターフェース。
• python-sandboxapi - マルウェアサンドボックスとの統合を構築するための、最小限で一貫性のあるPython API。
• python-stix2 - Structured Threat Information eXpression (STIX) JSONコンテンツのシリアライズおよびデシリアライズのためのPython APIと、一般的なタスク向けの高水準API。

セキュリティオーケストレーション、自動化、およびレスポンス (SOAR)

関連項目: セキュリティ情報およびイベント管理 (SIEM)、IR管理コンソール。

• Shuffle - ITプロフェッショナルとブルーチームメンバーのための、グラフィカルな汎用ワークフロー（自動化）ビルダー。

クラウドプラットフォームのセキュリティ

関連項目: asecure.cloud/tools。

• Aaia - Neo4jを利用してAWS IAMとOrganizationsをグラフ形式で可視化するのに役立ちます。
• Falco - Linuxカーネルの監査と、Kubernetesメトリクスなどのランタイムデータを組み合わせて、コンテナ化されたアプリケーション、ホスト、ネットワークパケットフローにおける異常なアクティビティを検出するように設計された動作アクティビティモニター。
• Kata Containers - コンテナのように動作・性能を発揮する軽量仮想マシンを備えたセキュアなコンテナランタイム。ハードウェア仮想化技術を第2の防御層として使用し、より強力なワークロード分離を提供します。
• Principal Mapper (PMapper) - AWSアカウントまたはAWS組織のAWS Identity and Access Management (IAM)設定におけるリスクを特定できるスクリプトおよびライブラリを使用して、AWSのIAM権限をすばやく評価します。
• Prowler - Amazon Web Servicesアカウントのセキュリティ評価とハードニングのためのAWS-CLIコマンドベースのツール。
• Scout Suite - クラウド環境のセキュリティ態勢評価を可能にするオープンソースのマルチクラウドセキュリティ監査ツール。
• gVisor - Goで書かれたアプリケーションカーネル。Linuxシステム面のかなりの部分を実装し、アプリケーションとホストカーネルの間に分離境界を提供します。

分散監視

関連項目: § サービスおよびパフォーマンス監視。

• Cortex - Prometheus向けに、水平スケーラブルで高可用性、マルチテナント、長期的なストレージを提供します。
• Jaeger - マイクロサービスベースの分散システムの監視とトラブルシューティングに使用される分散トレーシングプラットフォームのバックエンド。
• OpenTelemetry - アプリケーションパフォーマンスメトリクスをトレーシングバックエンドにエクスポートするためのツール、API、SDKのコレクションで構成される、クラウドネイティブソフトウェア向けのオブザーバビリティフレームワーク（以前はOpenTracingおよびOpenCensusプロジェクトが保守）。
• Prometheus - もともとSoundCloudで構築されたオープンソースのシステム監視およびアラートツールキット。
• Zipkin - サービスアーキテクチャのレイテンシ問題をトラブルシューティングするために必要なタイミングデータの収集を支援する分散トレーシングシステムのバックエンド。

Kubernetes

関連項目: Kubernetes-Security.info。

• KubeSec - Kubernetesマニフェストの静的アナライザー。ローカル、Kubernetesのアドミッションコントローラー、またはクラウドサービスとして実行できます。
• Kyverno - Kubernetes向けに設計されたポリシーエンジン。
• Linkerd - Kubernetesアプリケーション自体の変更を必要とせずに、可観測性、信頼性、セキュリティを追加する、超軽量のKubernetes専用サービスメッシュ。
• Managed Kubernetes Inspection Tool (MKIT) - マネージドKubernetesクラスタオブジェクトと、クラスタ内で実行されているワークロード/リソースの、一般的なセキュリティ関連設定のいくつかを照会および検証します。
• Polaris - コードコミット、Kubernetesアドミッションリクエスト、またはクラスタ内で既に実行中のライブリソースに対してテストを実行し、Kubernetesのベストプラクティスを検証します。
• Sealed Secrets - 一方向暗号化されたSecretのためのKubernetesコントローラーおよびツール。
• certificate-expiry-monitor - TLS証明書の有効期限をPrometheusメトリクスとして公開するユーティリティ。
• k-rail - Kubernetes向けのワークロードポリシー適用ツール。
• kube-forensics - クラスタ管理者が実行中のPodとそのすべてのコンテナの現在の状態をダンプできるようにし、セキュリティ専門家がオフラインでのフォレンジック分析を実行できるようにします。
• kube-hunter - クラスタの外部（「攻撃者の視点」）または内部から、Kubernetesクラスタのセキュリティ問題に関する一連のテスト（「ハンター」）を実行するオープンソースツール。
• kubernetes-event-exporter - 見逃されがちなKubernetesイベントをさまざまな出力にエクスポートし、可観測性やアラート目的で使用できるようにします。

サービスメッシュ

関連項目: ServiceMesh.es。

• Consul - 動的で分散したインフラストラクチャ全体でアプリケーションを接続および構成するためのソリューション。Consul Connectにより、自動TLS暗号化とアイデンティティベースの認可を用いた安全なサービス間通信を実現します。
• Istio - マイクロサービスの統合、マイクロサービス間のトラフィックフロー管理、ポリシーの適用、テレメトリデータの集約を統一的に行うためのオープンプラットフォーム。

通信セキュリティ (COMSEC)

関連項目: トランスポート層の防御。

• GPG Sync - 組織またはチームの全メンバー間でOpenPGP公開鍵の配布、失効、更新を一元化および自動化します。
• Geneva (Genetic Evasion) - 国家レベルの検閲者に対して、パケット操作ベースの検閲回避戦略を進化させ、ブロックされていたコンテンツの可用性を高める、新しい実験的遺伝的アルゴリズム。
• GlobaLeaks - 誰でも簡単に安全な内部通報プラットフォームをセットアップおよび維持できる、無料のオープンソースソフトウェア。
• SecureDrop - メディア組織やNGOがインストールして、匿名の情報源から文書を安全に受け取ることができるオープンソースの内部通報者提出システム。
• Teleport - エンジニアとセキュリティ専門家が、すべての環境にわたってSSHサーバー、Kubernetesクラスタ、Webアプリケーション、データベースへのアクセスを統合できるようにします。

DevSecOps

関連項目: awesome-devsecops。

• Bane - Dockerコンテナ向けの、カスタムかつより優れたAppArmorプロファイルジェネレーター。
• BlackBox - GnuPGを使用してシークレットを「保存時」に暗号化し、Git/Mercurial/Subversionに安全に保管します。
• Checkov - Terraform（Infrastructure as Code）の静的解析を行い、CISポリシー違反の検出とクラウドセキュリティの設定ミス防止を支援します。
• Cilium - DockerやKubernetesなどのLinuxコンテナ管理プラットフォームを使用してデプロイされたアプリケーションサービス間のネットワーク接続を透過的に保護するためのオープンソースソフトウェア。
• Clair - アプリケーションコンテナ（例: Docker）イメージを介して導入された脆弱性を調査する静的解析ツール。
• CodeQL - コードをあたかもデータであるかのようにクエリを実行し、コードベース全体の脆弱性を発見します。
• DefectDojo - DevOpsと継続的セキュリティ統合のために構築されたアプリケーション脆弱性管理ツール。
• Gauntlt - 定期的な継続的インテグレーションのビルドパイプライン中にアプリケーションのペンテストを実行します。
• Git Secrets - パスワードやその他の機密情報をgitリポジトリにコミットすることを防ぎます。
• SOPS - YAML、JSON、ENV、INI、バイナリ形式をサポートし、AWS KMS、GCP KMS、Azure Key Vault、PGPで暗号化する暗号化ファイルエディター。
• Snyk - オープンソースの依存関係とコンテナイメージにおける脆弱性とライセンス違反を検出および修正します。
• SonarQube - 自動テスト中に詳細なレポートを提供し、新たに導入されたセキュリティ脆弱性を警告する継続的検査ツール。
• Trivy - コンテナやその他のアーティファクト向けのシンプルで包括的な脆弱性スキャナー。継続的インテグレーションパイプラインでの使用に適しています。
• Vault - APIキー、パスワード、証明書などのシークレットに統一インターフェースを介して安全にアクセスするためのツール。
• git-crypt - gitでの透過的なファイル暗号化。保護することを選択したファイルはコミット時に暗号化され、チェックアウト時に復号化されます。
• helm-secrets - SOPSをバックエンドとして、Gitワークフローでシークレットを管理し、どこにでも保存できるようにするHelmプラグイン。
• terrascan - Infrastructure as Codeツール向けの静的コードアナライザー。クラウドネイティブリソースをプロビジョニングする前に、コンプライアンス違反やセキュリティ違反を検出してリスクを軽減します。
• tfsec - ローカルおよびCIパイプラインで実行するように設計された、Terraformコード用の静的解析セキュリティスキャナー。

アプリケーションまたはバイナリのハードニング

• DynInst - バイナリ計装、解析、変更のためのツール。バイナリパッチに役立ちます。
• DynamoRIO - プロセスレベルの仮想マシンとして実装され、プログラムの実行中に任意の部分のコード変換をサポートするランタイムコード操作システム。
• Egalito - 通常のLinuxバイナリを完全に逆アセンブル、変換、再生成できるバイナリ再コンパイラおよび計装フレームワーク。バイナリハードニングとセキュリティ研究のために設計されています。
• Valgrind - 動的解析ツールを構築するための計装フレームワーク。

コンプライアンステストとレポート

• Chef InSpec - セキュリティおよびコンプライアンスルールを記述するための言語。ITインフラストラクチャに対して実行して不適合を検出および報告できる自動テストになります。
• OpenSCAP Base - SCAPベースラインプロファイルに対してシステムを評価し、スキャンしたシステムのセキュリティ態勢を報告するために使用される、ライブラリとコマンドラインツール（oscap）の両方。

依存関係の混乱

関連項目: § サプライチェーンセキュリティ。

• Dependency Combobulator - 依存関係の混乱による情報漏えいと潜在的な攻撃を検出および防止する、オープンソースでモジュール式かつ拡張可能なフレームワーク。
• Confusion checker - リポジトリ間で同じ名前を含むアーティファクトがあるかどうかを確認するスクリプト。
• snync - 依存関係の混乱によるサプライチェーンセキュリティ攻撃に対して脆弱かどうかを検出し、防止します。

ファジング

関連項目: Awesome-Fuzzing。

• Atheris - libFuzzerベースのカバレッジガイド型Pythonファジングエンジン。Pythonコードに加え、CPython用に書かれたネイティブ拡張のファジングもサポートします。
• FuzzBench - Googleスケールで、多種多様な実世界のベンチマーク上でファザーを評価する無料サービス。
• OneFuzz - セルフホスト型のFuzzing-as-a-Service (FaaS)プラットフォーム。

ポリシー適用

• AllStar - 組織またはリポジトリにインストールしてセキュリティポリシーを設定・適用するGitHub App。
• Conftest - 構造化された構成データに対するテストを書くのに役立つユーティリティ。
• Open Policy Agent (OPA) - クラウドネイティブスタック全体のポリシーを統一的に扱うツールセットおよびフレームワーク。
• Regula - Open Policy Agent/Regoを使用して、AWS、Azure、Google Cloud、Kubernetesのセキュリティとコンプライアンスについて、Infrastructure as Codeテンプレート（Terraform、CloudFormation、K8sマニフェスト）をチェックします。
• Tang - データをネットワークの存在に結び付けるサーバー。クライアントが特定の（保護された）ネットワーク上にいる場合にのみデータを提供します。

サプライチェーンセキュリティ

関連項目: § 依存関係の混乱。- Grafeas - ソフトウェアサプライチェーンを監査・管理するためのオープンなアーティファクトメタデータAPI。

• Helm GPG (GnuPG) Plugin - Helm向けにGnuPGを使用したチャートの署名と検証を行います。
• Notary - 人々がコンテンツを簡単に公開・検証できるようにすることで、インターネットをより安全にすることを目指します。
• in-toto - ソフトウェアサプライチェーンの整合性を保護するためのフレームワーク。

ハニーポット

関連: awesome-honeypots

• CanaryTokens - セルフホスト可能なハニートークン生成・レポートダッシュボード。デモ版はCanaryTokens.orgで利用できます。
• Kushtaka - リソース不足のブルーチーム向けの、持続可能なオールインワンのハニーポットおよびハニートークンオーケストレーター。
• Manuka - 脅威アクターによる偵察の試みを監視し、ブルーチーム向けの実践的なインテリジェンスを生成するオープンソースインテリジェンス(OSINT)ハニーポット。

ターピット

• Endlessh - 無限のバナーをゆっくり送信し続けるSSHターピット。
• LaBrea - 未使用のIPスペースに対するARPリクエストに応答し、スキャナやワームなどを減速させるために、さらなるリクエストに非常にゆっくり応答する偽マシンの外観を作り出すプログラム。

ホストベースツール

• Artillery - LinuxおよびWindowsオペレーティングシステムを保護するために設計された、ハニーポット、ファイルシステムモニター、アラートシステムの組み合わせ。
• Crowd Inspect - ネットワークを介して通信している可能性のあるマルウェアの存在を警告することを目的とした、Windowsシステム向けの無料ツール。
• Fail2ban - コンピューターサーバーをブルートフォース攻撃から保護する侵入防止ソフトウェアフレームワーク。
• Open Source HIDS SECurity (OSSEC) - 完全オープンソースかつ無料で、高機能なホスト型侵入検知システム(HIDS)。
• Rootkit Hunter (rkhunter) - ホストをさまざまなマルウェアの兆候についてスキャンする、POSIX準拠のBashスクリプト。
• Shufflecake - Linux上の複数の隠しファイルシステムに対する否定可能性(plausible deniability)を提供します。
• USB Keystroke Injection Protection - Linuxシステム上でUSBキーストロークインジェクションデバイスをブロックするためのデーモン。
• chkrootkit - GNU/Linuxシステム上でルートキットの兆候をローカルにチェックします。

サンドボックス

• Bubblewrap - オペレーティングシステムやユーザーデータの一部へのアクセスを制限できる、非特権Linuxユーザー向けのサンドボックスツール。
• Dangerzone - 潜在的に危険なPDF、オフィスドキュメント、画像を取得し、安全なPDFに変換します。
• Firejail - Linux名前空間とseccomp-bpfを使用して信頼できないアプリケーションの実行環境を制限することで、セキュリティ侵害のリスクを軽減するSUIDプログラム。

アイデンティティと認証/認可

• Gluu Server - フリーかつオープンソースソフトウェアのクラウドネイティブなコミュニティディストリビューションによる、Webおよびモバイルアプリケーション向けの集中型認証・認可。

インシデントレスポンスツール

関連: awesome-incident-response

• LogonTracer - Windowsイベントログを可視化・分析することで、悪意のあるWindowsログオンを調査します。
• Volatility - 高度なメモリフォレンジックフレームワーク。
• aws_ir - セキュリティ準備態勢に関する前提を一切置かずに、インシデントレスポンスを自動化します。

IR管理コンソール

関連: セキュリティオーケストレーション、自動化およびレスポンス(SOAR)

• CIRTKit - Viper上に構築された、スクリプト可能なデジタルフォレンジックおよびインシデントレスポンス(DFIR)ツールキット。
• Fast Incident Response (FIR) - サイバーセキュリティインシデントの作成、追跡、報告を容易に行える、サイバーセキュリティインシデント管理プラットフォーム。
• Rekall - 高度なフォレンジックおよびインシデントレスポンスフレームワーク。
• TheHive - SOC、CSIRT、CERTの業務を容易にするために設計された、スケーラブルで無料のセキュリティインシデントレスポンスプラットフォーム。MISPとの緊密な統合を特徴とします。
• threat_note - Defense Point Securityが構築したWebアプリケーション。セキュリティ研究者が自身の調査に関連する指標を追加・取得できるようにします。

証拠収集

• AutoMacTC - macOS上のさまざまなフォレンジックアーティファクトにアクセスし、パースして、分析に適した形式で提示するように設計された、モジュール式の自動フォレンジックトリアージ収集フレームワーク。
• OSXAuditor - 無料のmacOSコンピュータフォレンジックツール。
• OSXCollector - macOS向けのフォレンジック証拠収集・分析ツールキット。
• ir-rescue - インシデントレスポンス中にホストのフォレンジックデータを包括的に収集するための、WindowsバッチスクリプトとUnix Bashスクリプト。
• Margarita Shotgun - リモートメモリ取得を並列化するためのコマンドラインユーティリティ(Amazon EC2インスタンスの有無にかかわらず動作します)。
• Untitled Goose Tool - SIEMに取り込まれたログが不足している状況でも完全な調査を実行できるよう、Azure/AzureAD/M365環境からクラウドアーティファクトをエクスポートして、インシデントレスポンスチームを支援します。

ネットワーク境界防御

• Gatekeeper - 初のオープンソース分散型サービス拒否(DDoS)防御システム。
• fwknop - ファイアウォールでシングルパケット認証(SPA)を使用してポートを保護します。
• ssh-audit - SSHサーバーのセキュリティ態勢を改善するための迅速な推奨事項を提供するシンプルなツール。

ファイアウォールアプライアンスまたはディストリビューション

関連: Wikipedia: ルーターおよびファイアウォールディストリビューションの一覧

• IPFire - IPCopからフォークされた、堅牢化されたGNU/Linuxベースのルーターおよびファイアウォールディストリビューション。
• OPNsense - pfSenseからフォークされた、堅牢化されたFreeBSDベースのファイアウォールおよびルーティングプラットフォーム。
• pfSense - m0n0wallからフォークされた、FreeBSDファイアウォールおよびルーターディストリビューション。

オペレーティングシステムディストリビューション

• Computer Aided Investigative Environment (CAINE) - 多数のデジタルフォレンジックおよび証拠収集ツールをプリパッケージした、イタリアのGNU/Linuxライブディストリビューション。
• Security Onion - 侵入検知、エンタープライズセキュリティ監視、ログ管理のための、フリーかつオープンソースのGNU/Linuxディストリビューション。
• Qubes OS - Xenハイパーバイザープロジェクト上に構築されたデスクトップ環境。各エンドユーザープログラムを独自の仮想マシン内で実行し、マルウェアによる悪用が成功した場合の影響範囲を制限するための厳格なセキュリティ制御を提供することを目的としています。

フィッシング啓発と報告

関連: awesome-pentest § ソーシャルエンジニアリングツール

• CertSpotter - SSLMate製のCertificate Transparencyログモニター。自社ドメインのいずれかに対してSSL/TLS証明書が発行されると警告します。
• Gophish - 組織のフィッシングに対する曝露を簡単にテストできる、強力なオープンソースのフィッシングフレームワーク。
• King Phisher - 実際のフィッシング攻撃をシミュレートすることで、ユーザーの意識をテストし向上させるためのツール。
• NotifySecurity - ユーザーが不審なメールをセキュリティチームに報告するのを支援するOutlookアドイン。
• Phishing Intelligence Engine (PIE) - フィッシング攻撃の検知と対応を支援するフレームワーク。
• Swordphish - 不審なメールを見分ける訓練を目的とした(偽の)フィッシングキャンペーンを作成・管理できるプラットフォーム。
• mailspoof - メールスプーフィングを可能にする問題がないか、SPFおよびDMARCレコードをスキャンします。
• phishing_catcher - CertStreamサービスを使用して、Certificate Transparency Log(CTL)内のドメイン名による不審なTLS証明書の発行を監視する設定可能なスクリプト。

準備訓練とウォーゲーミング

(別名: 敵対者エミュレーション(adversary emulation)、脅威シミュレーション(threat simulation) などとも呼ばれます。)

• APTSimulator - システムがあたかもAPT攻撃の被害者であるかのように見せかけるツールセット。
• Atomic Red Team - セキュリティ制御をテストするために実行する、シンプルで自動化可能なテストのライブラリ。
• BadBlood - テスト(非本番)用のWindowsドメインにデータを投入し、セキュリティアナリストやエンジニアがツールの使用を練習して理解を深め、Active Directoryのセキュリティ保護を計画できるようにします。
• Caldera - MITREが開発した、スケーラブルで自動化された拡張可能な敵対者エミュレーションプラットフォーム。
• Drool - パケットキャプチャファイルからDNSトラフィックを再生し、指定したサーバーに送信します。DNSへのDDoS攻撃のシミュレーションや通常のDNSクエリの測定などに使用できます。
• DumpsterFire - ブルーチームの訓練とセンサー/アラートマッピングのための、反復可能で時間遅延のある分散セキュリティイベントを構築する、モジュール式・メニュー駆動型・クロスプラットフォームのツール。
• Infection Monkey - 既存の対策を検証し、攻撃者が現在のネットワークセキュリティ上のギャップをどのように悪用する可能性があるかを特定するのに役立つ、オープンソースの侵害・攻撃シミュレーション(BAS)プラットフォーム。
• Metta - 敵対者シミュレーションを行うための、自動化された情報セキュリティ準備ツール。
• Network Flight Simulator (flightsim) - 悪意のあるネットワークトラフィックを生成し、セキュリティチームがセキュリティ制御を評価し、ネットワークの可視性を監査するのに役立つユーティリティ。
• RedHunt OS - 複数の脅威エミュレーションツールとディフェンダー向けツールキットが事前設定された、Ubuntuベースのオープンバーチャルアプライアンス(.ova)。
• Stratus Red Team - クラウド環境に対して、攻撃的な攻撃手法を詳細かつ自己完結的な方法でエミュレートします。「クラウド版Atomic Red Team™」と考えてください。
• tcpreplay - 以前にキャプチャしたネットワークトラフィックを編集・再生するための、フリーかつオープンソースのユーティリティ群。元々は侵入検知・防御システム(IDS/IPS)に悪意のあるトラフィックパターンを再生するために設計されました。

演習後分析と報告

• RedEye - レッドチームとブルーチームの両方が、コマンド&コントロール活動の可視化と報告、攻撃経路の再生とデモンストレーション、そして関係者への是正推奨事項のより明確な伝達を行うのを支援する分析ツール。

セキュリティ構成

(別名: デフォルトで安全なベースライン(secure-by-default baselines) および 実装されたベストプラクティス(implemented best practices) とも呼ばれます。)

• Bunkerized-nginx - Webサイト向けに多くの防御技術を実装したNginX構成とスクリプトのDockerイメージ。

セキュリティ監視

• Crossfeed - 組織の公開された攻撃対象領域を継続的に列挙・監視し、アセットを発見して潜在的なセキュリティ上の欠陥をフラグ付けします。
• Starbase - サービスやシステムからアセットとその関係性を直感的なグラフビューに収集し、グラフベースのセキュリティ分析をすべての人に提供します。

エンドポイント検知およびレスポンス(EDR)

• Wazuh - OSSEC HIDSのフォークに基づく、オープンソースでマルチプラットフォームのエージェントベースのセキュリティ監視。

ネットワークセキュリティ監視(NSM)

関連: awesome-pcaptools

• Arkime - 現在のセキュリティインフラストラクチャを拡張し、ネットワークトラフィックを標準PCAP形式で保存・インデックス化して、高速なインデックスアクセスを提供します。
• ChopShop - アナリストがpynidsベースのデコーダーおよびAPTの手口の検出器を作成・実行するのを支援するフレームワーク。
• Maltrail - 悪意のあるネットワークトラフィック検知システム。
• OwlH - Suricata、Zeek、Molochのライフサイクルを可視化することで、ネットワークIDSの大規模管理を支援します。
• Real Intelligence Threat Analysis (RITA) - Zeekログを取り込み、ビーコニング、DNSトンネリングなどを検知する、オープンソースのネットワークトラフィック分析フレームワーク。
• Respounder - ネットワーク上でResponder LLMNR/NBT-NS/MDNSポイズナーの存在を検出します。
• Snort - 広く導入されているフリーソフトウェアのIPS。リアルタイムのパケット分析、トラフィックログ、カスタムルールベースのトリガーが可能です。
• SpoofSpotter - スプーフィングされたNetBIOS Name Service(NBNS)レスポンスを捕捉し、メールまたはログファイルにアラートを送信します。
• Stenographer - 侵入検知およびインシデントレスポンス目的でパケットをディスクにバッファリングするための、フルパケットキャプチャユーティリティ。
• Suricata - フリーでクロスプラットフォームなIDS/IPS。オンライン・オフライン分析モードとディープパケットインスペクション機能を備え、Luaによるスクリプト化も可能です。
• Tsunami - 拡張可能なプラグインシステムを備えた汎用ネットワークセキュリティスキャナ。高い確信度で深刻度の高い脆弱性を検出します。
• VAST - データ駆動型のセキュリティ調査のための、フリーかつオープンソースのネットワークテレメトリエンジン。
• Wireshark - ネットワークトラブルシューティングやフォレンジックなネットフロー分析に役立つ、フリーかつオープンソースのパケットアナライザー。
• Zeek - セキュリティ監視に焦点を当てた強力なネットワーク分析フレームワーク。旧称はBro。
• netsniff-ng - フリーで高速なGNU/Linuxネットワーキングツールキット。コネクショントラッキングツール(flowtop)、トラフィックジェネレーター(trafgen)、自律システム(AS)トレースルートユーティリティ(astraceroute)など、多数のユーティリティを備えています。

セキュリティ情報およびイベント管理(SIEM)

• AlienVault OSSIM - アセット発見、アセットインベントリ、動作監視、イベント相関を特徴とするシングルサーバーのオープンソースSIEMプラットフォーム。AlienVault Open Threat Exchange(OTX)によって駆動されます。
• Prelude SIEM OSS - 長い歴史と複数の商用バリアントを持つ、オープンソースのエージェントレスSIEM。任意のログ入力および多数の一般的な監視ツールからのセキュリティイベントの収集、正規化、アラート通知を特徴とします。

サービスおよびパフォーマンス監視

関連: awesome-sysadmin#monitoring

• Icinga - プラグ可能なユーザーインターフェースと、拡張されたデータコネクタ、コレクタ、レポートツールを備えた、Nagiosのモジュール式リデザイン。
• Locust - Pythonコードでユーザー動作を定義し、数百万の同時ユーザーでシステムに負荷をかけることができる、オープンソースのロードテストツール。
• Nagios - 人気のあるネットワークおよびサービス監視ソリューションとレポートプラットフォーム。
• OpenNMS - 複数の構成、さまざまなアラートメカニズム(メール、XMPP、SMS)、多数のデータ収集方法(SNMP、HTTP、JDBCなど)をサポートする、フリーで高機能なネットワーク監視システム。
• osquery - macOS、Windows、Linux向けのオペレーティングシステム計装フレームワーク。OSを、SQLライクな構文でクエリできる高性能リレーショナルデータベースとして公開します。
• Zabbix - 大規模なIT環境を監視するための、成熟したエンタープライズレベルのプラットフォーム。

脅威ハンティング

(別名: ハントチーミング(hunt teaming) および 脅威検知(threat detection) とも呼ばれます。)

関連: awesome-threat-detection

• CimSweep - すべてのバージョンのWindowsでリモートインシデントレスポンスおよびハンティング操作を可能にする、CIM/WMIベースのツール群。
• DeepBlueCLI - Windowsイベントログを介したハントチーミングのためのPowerShellモジュール。
• GRR Rapid Response - リモートライブフォレンジックに焦点を当てたインシデントレスポンスフレームワーク。アセットにインストールされるPythonエージェントとPythonベースのサーバーインフラストラクチャで構成され、アナリストが攻撃を迅速にトリアージしてリモートで分析を実行できるようにします。
• Hunting ELK (HELK) - Elasticsearch、Logstash、Kafka、Kibanaに基づくオールインワンのフリーソフトウェア脅威ハンティングスタック。Jupyter Notebookを含む分析用のさまざまな組み込み統合を備えています。
• Logging Made Easy (LME) - 無料かつオープンなロギングおよび保護的監視ソリューション。
• MozDef - セキュリティインシデント対応プロセスを自動化し、インシデントハンドラーのリアルタイム活動を支援します。
• PSHunt - リモートエンドポイントを侵害の指標(IOC)についてスキャンしたり、それらのシステムの状態に関するより包括的な情報を収集するために設計されたPowerShellモジュール。
• PSRecon - リモートWindowsシステムを分析するためのPSHunt類似ツール。調査結果の自己完結型HTMLレポートも生成します。
• PowerForensics - ライブハードディスクフォレンジック分析を実行するための、オールインワンのPowerShellベースのプラットフォーム。
• Redline - FireEye, Inc.が提供する、ホストベースの調査機能を提供するフリーウェアのエンドポイント監査・分析ツール。
• rastrea2r - 多数のエンドポイント上で疑わしいIOCを同時にトリアージし、アンチウイルスコンソールと統合するマルチプラットフォームツール。

脅威インテリジェンス

関連: awesome-threat-intelligence- AttackerKB - 高リスクのパッチ適用の優先順位付けと脆弱性疲労への対抗を支援する、無料で公開されたクラウドソーシング型の脆弱性評価プラットフォーム。

• DATA - 疑わしいフィッシングURLを直接受け付けるか、そのようなURLを含む観測されたネットワークトラフィックでトリガーできる、資格情報フィッシングの分析・自動化ツール。
• Forager - Python3で構築されたマルチスレッドの脅威インテリジェンス収集ツール。使いやすさとデータの可搬性を実現する、シンプルなテキストベースの設定とデータストレージを特徴とする。
• GRASSMARLIN - ICS/SCADAネットワークのトポロジとエンドポイントを受動的にマッピング、集計、レポートすることで、産業用制御システム（ICS）および監視制御とデータ収集（SCADA）のIPネットワーク状況認識を提供する。
• MLSec Combine - 複数の脅威インテリジェンスフィードソースを収集し、カスタマイズ可能な標準化されたCSVベースの単一フォーマットに結合する。
• Malware Information Sharing Platform and Threat Sharing (MISP) - サイバーセキュリティ指標を収集、保存、配布、共有するためのオープンソースソフトウェアソリューション。
• Open Source Vulnerabilities (OSV) - オープンソースのメンテナと利用者の両方を支援することを目的とした、オープンソースプロジェクト向けの脆弱性データベースおよびトリアージ基盤。
• Sigma - SIEMシステム向けの汎用シグネチャ形式。関連するログイベントを簡単に記述できるオープンなシグネチャ形式を提供する。
• Threat Bus - 分散パブリッシュ/サブスクライブメッセージブローカーを通じてセキュリティツールを接続する脅威インテリジェンス配布層。
• ThreatIngestor - Twitter、RSSフィード、その他のソースを含む脅威フィードからIOCを抽出および集約する拡張可能なツール。
• Unfetter - MitreのATT&CKフレームワークを活用して、セキュリティ態勢における防御上のギャップを特定する。
• Viper - マルウェアやエクスプロイトサンプルを簡単に整理できるようにするバイナリ分析および管理フレームワーク。
• YARA - マルウェア研究者がマルウェアサンプルを識別および分類するのを支援することを目的とした（ただしこれに限定されない）ツール。ファイルパターンとシグネチャのための「パターンマッチングのスイスアーミーナイフ」と表現されている。

フィンガープリンティング

• HASSH - 特定のクライアントおよびサーバーSSH実装を識別するために使用できるネットワークフィンガープリンティング標準。
• JA3 - 特定のTLS実装に関するフィンガープリンティングと情報伝達のためのSSL/TLSハンドシェイク設定を抽出する。

脅威シグネチャパッケージとコレクション

• ESET's Malware IoCs - ESETのさまざまな調査から得られた侵害指標（IOC）。
• FireEye's Red Team Tool Countermeasures - FireEye自身のRed Teamツールを使用して実行された攻撃を検出するためのSnortおよびYARAルールのコレクション。FireEyeが2020年12月に侵害を開示した後に初めて公開された。
• FireEye's Sunburst Countermeasures - バックドアを仕掛けられたSolarWinds Orion NMSの活動および関連する脆弱性を検出するための、さまざまな言語によるIoCコレクション。
• YARA Rules - ITセキュリティ研究者が、さまざまなYaraシグネチャをコンパイル、分類し、可能な限り最新の状態に保つ単一のリポジトリを必要とするニーズを満たすプロジェクト。

Tor Onionサービス防御

関連情報: awesome-tor。

• OnionBalance - ロードバランシングを提供するとともに、単一障害点を排除することでOnionサービスをより回復力があり信頼性の高いものにする。
• Vanguards - バージョン3 Onionサービスのガード発見攻撃を緩和するスクリプト（最終的にTorコアへの組み込みを意図している）。

トランスポート層の防御

• Certbot - LetsEncrypt Root CA からのTLS証明書の発行と更新を自動化する無料ツール。さまざまなWebサーバーおよびメールサーバーソフトウェアを設定するプラグインを備える。
• MITMEngine - TLSインターセプションイベントのサーバー側検出のためのGolangライブラリ。
• Tor - 検閲回避と匿名化のためのオーバーレイネットワーク。発行者のプライバシーとサービス可用性を高めるために、分散型で暗号的に検証された名前サービス（.onion ドメイン）を提供する。

オーバーレイおよび仮想プライベートネットワーク（VPN）

• Firezone - MFAとSSOをサポートする、WireGuard上に構築されたセルフホスト型VPNサーバー。
• Headscale - Tailscaleコントロールサーバーのオープンソースかつセルフホスト型の実装。
• IPsec VPN Server Auto Setup Scripts - IPsec/L2TP、Cisco IPsec、IKEv2を使用して独自のIPsec VPNサーバーを構築するためのスクリプト。
• Innernet - 内部でWireGuardを使用するフリーソフトウェアのプライベートネットワークシステム。セルフホストを目的としている。
• Nebula - tincに触発された、完全にオープンソースかつセルフホスト型でスケーラブルなオーバーレイネットワーキングツール。パフォーマンス、シンプルさ、セキュリティに重点を置いている。
• OpenVPN - 長年の実績があるフリーソフトウェア製の、従来型のSSL/TLSベースの仮想プライベートネットワーク。
• OpenZITI - オーバーレイネットワーク、アプリケーションのトンネリング、および多数のSDKを通じて、あらゆるアプリケーションにゼロトラストをもたらすことに焦点を当てたオープンソースイニシアチブ。
• Tailscale - WireGuard上に構築された、管理型のフリーミアムメッシュVPNサービス。
• WireGuard - 最先端の暗号技術を利用する、非常にシンプルでありながら高速でモダンなVPN。
• tinc - 完全にユーザー空間で実装されたフリーソフトウェアのメッシュVPN。拡張可能なネットワーク空間、ブリッジされたイーサネットセグメントなどをサポートする。

macOSベースの防御

関連情報: drduh/macOS-Security-and-Privacy-Guide。

• BlockBlock - 一般的な永続化場所を監視し、永続コンポーネントが追加されるたびに警告する。マルウェアのインストールの検出と防止に役立つ。
• LuLu - 無料のmacOSファイアウォール。
• Santa - macOS向けの許可/拒否リストシステムで、悪意のあるバイナリと正常なバイナリを追跡する。
• Stronghold - ターミナルからmacOSのセキュリティ設定を簡単に構成できる。
• macOS Fortress - プロキシのプライベート化やmacOS向けウイルス対策スキャンを含む、カーネルレベル、OSレベル、クライアントレベルのセキュリティ機能の自動構成。

Windowsベースの防御

関連情報: awesome-windows#security および awesome-windows-domain-hardening。

• CobaltStrikeScan - ファイルまたはプロセスメモリをスキャンしてCobalt Strikeビーコンを検出し、その構成を解析する。
• HardenTools - リスクの高い多数のWindows機能を無効化するユーティリティ。
• NotRuler - Microsoft Exchangeサーバーを侵害しようとする際に Ruler 攻撃ツールが使用する、クライアント側ルールとVBScriptが有効なフォームの両方を検出する。
• Sandboxie - 無料かつオープンソースの、汎用Windowsアプリケーションサンドボックス化ユーティリティ。
• Sigcheck - Microsoftの 証明書信頼リスト（CTL） に対してWindowsホストのルート証明書ストアを監査する。
• Sticky Keys Slayer - ホスト名のリストからWindows RDPセッションを確立し、アクセシビリティツールのバックドアをスキャンして、発見された場合に警告する。
• Windows Secure Host Baseline - Windows 10の最新リリースを安全に展開および維持するための自動化された柔軟なアプローチを提供する、グループポリシーオブジェクト、コンプライアンスチェック、および構成ツール。
• WMI Monitor - 新しく作成されたWMIコンシューマーとプロセスをWindowsアプリケーションイベントログに記録する。

Active Directory

• Active Directory Control Paths - Active Directoryの権限構成（「制御関係」）を可視化およびグラフ化して、「CEOのメールを読めるのは誰か?」などの監査質問に対応する。
• PingCastle - Active Directoryの脆弱性検出およびレポートツール。
• PlumHound - パスファインディングエンジンを活用してActive Directoryのセキュリティ脆弱性を特定することにより、継続的なセキュリティライフサイクルでBloodHoundADをより効果的に使用する。

ライセンス

この作品は クリエイティブ・コモンズ表示4.0国際ライセンス の下でライセンスされています。