MANTIS

MANTISはMulti-source Analysis and Threat Intelligence Searchの略称です。MANTISは、IOCエンリッチメント、OSINT CTI収集、ランサムウェアおよび侵害監視、YARA運用、マルウェア類似性分析、AI支援調査のための脅威インテリジェンスワークベンチです。

ハイライト

• IOC検索: ハッシュ、ドメイン、IP、URL、キーワード、インフラストラクチャターゲットを自動検出または手動で検索します。
• MANTIS AI: エビデンスを考慮したチャット、要約、ピボット推奨、自律エージェントモード、AEADケースワークフロー、アトリビューションスコアリング、相関分析、YARA支援、CTI要約、レポートエクスポート。
• インフラストラクチャハンティング (Infra Hunt & C2 Catalog): 任意のシード (IP、ドメイン、ASN、CIDR、証明書SHA-256) から敵対者のインフラストラクチャへピボットします。JA4/JARM、TLS証明書、favicon MMH3、HTTPヘッダーを抽出し、1,000以上の厳選されたC2プレイブック (Cobalt Strike、Sliver、Havoc、Metasploitなど) を相互参照し、Shodan、Censys、FOFA、Netlas、URLScan、Silent Push、Driftnet、Validin、Etugenを横断して相関付けます。GreyNoiseのアンチノイズ検証で候補をスコアリングし、インタラクティブなグラフ可視化とスケジュールされた再帰を提供します。
• AIバイナリ分析ラボ: ネイティブ (PE、ELF、Mach-O) およびマネージド.NETのリバースエンジニアリング、デュアルヘッドレスIDA ProおよびGhidraバックエンド、GoReSymシンボル復元、自動関数/変数リネーミング、オフラインAIワークスペースエクスポート、データベース内自律調査、マルチフォーマットレポート (HTML、MD、PDF)、ワンクリックMANTISケース作成。
• VirusTotalバルクサンプルダウンローダー: MD5、SHA-1、SHA-256 (最大50ハッシュ) でマルウェアバイナリをバッチダウンロードし、ブラウザのFile System Access API経由でローカルフォルダに直接保存、またはパスワード保護されたAES-256暗号化ZIP (infected) を作成します。VT Live Hunt監視と統合されています。
• 脅威ナレッジ: MISP Galaxyの脅威アクター、マルウェア/ツール、ランサムウェア、Microsoft Activity Groups、Tidalグループ、監視ベンダー、Malpediaファミリ、Kaspersky TIPアクタープロファイルを閲覧します。
• MISPインテリジェンス: 設定されたMISPインスタンスを、IOCイベント、タグ、ギャラクシー、サイトィングス、警告リスト、レポート、関連インジケーターのためのパッシブで読み取り専用のコンテキスト相関ソースとしてクエリします。
• ランサムウェアモニター: RansomLook、Ransomware.live、ThreatLabzのノートから、最近の被害者、グループ、トレンド、国、身代金要求メモ、暗号通貨アドレス、インフラストラクチャ、ウォッチリストを追跡します。
• YARAエコシステム: ローカルYARAリポジトリを探索し、サンプルをスキャンし、ルールを検証し、コーパス/パス/アップロードテストを実行し、ワークベンチルールを保存し、AIを使用してルールを説明または修正します。
• 類似性エンジン: サンプルからエンティティを構築し、静的およびオプションのIDA/Hex-Rays機能を抽出し、サンプルを比較し、関数/ブロック/APIパターンを検査し、しきい値を調整します。
• CTI記事: RSS/CTIフィードを取り込み、IOCを抽出し、カテゴリとソースを管理し、ローカル記事コーパスを検索し、AI記事要約をリクエストします。
• 脆弱性インテリジェンス: CVE/PoCデータ、CISA KEVコンテキスト、トレンドの公開エクスプロイト、OSV悪意のあるパッケージインテリジェンスを追跡します。
• Telegramツールキット: MTProtoでTelegramチャネルを監視し、スティーラーログを解析し、ターゲットの露出を追跡し、ボットトークン調査を管理し、アーティファクトを検証します。
• Xモニター: 監視対象のX/Twitterアカウントとインフォセックのチャットを収集・フィルタリングし、新たなIOCおよび脆弱性の手がかりを探します。
• 侵害ウォッチャー: DailyDarkWeb、RecentBreaches、DataBreach.watch、HaveIBeenPwned、DataBreaches.net、Infostealers Stats、Leak-Lookupのデータを集約します。
• 今日のインテリジェンス: CTI記事、悪用された脆弱性、PoC、ランサムウェア活動、ソーシャルシグナル、オプションのAIブリーフ/レポート出力の日次ロールアップ。

アーキテクチャ

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI は、UI に後付けされた汎用チャットボットではありません。コンパクトなページコンテキスト、プロバイダーの検出結果、現在の結果、表示テキスト、ケース状態、アナリストが選択した証拠を読み取ります。その後、パッシブ/読み取り専用のガードレールを維持したまま、進行中の調査について推論できます。

AI 機能

• Assist: 現在の結果セットまたは調査ページについて質問できます。
• Summarize Findings: 生のプロバイダーカードを簡潔なアナリストノートに変換します。
• Recommend Pivots: パッシブなフォローアップアクションをランク付けし、ノイズの多いピボットを抑制します。
• Compare Relationship: 重複/矛盾の処理を行いながら、エンティティと証拠を相関付けます。
• Attribution: 証拠カテゴリ、矛盾、不足している証拠、信頼度バンドを用いて、候補となるアクター/グループの帰属をスコアリングします。
• Agent Investigation: 承認済みのフロントエンドアクションを通じて、範囲を限定した自律的な次ステップ選択を実行します。
• AEAD Case Run: ケース証拠に対して Acquire、Enrich、Discover/Pivot、Analyze、Deliver を実行します。
• Report Drafting: ケースレポート、Markdown エクスポート、JSON エクスポート、保存済み HTML レポート、ポータブル AI ワークスペース ZIP を構築します。
• YARA Assistant: ルールを説明し、検証エラーを分析し、修正を提案し、安全な構文問題を自動修正し、テスト結果をレビューします。
• CTI AI: CTI 記事を要約し、Today's Intelligence AI のブリーフ/レポートを生成します。
• Audit and Safety: ツールの決定、承認状態、操作メタデータ、抑制されたピボットを保存します。

AEAD ワークフロー

flowchart TD
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef guard fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef out fill:#172033,stroke:#5b8cff,color:#ffffff

    Start["Current page context<br/>indicator, visible results, provider cards"]:::out
    Start --> Acquire["Acquire<br/>sync case, store source snapshots, root artifact"]:::ai
    Acquire --> Enrich["Enrich<br/>normalize observations, claims, relationships, source health"]:::ai
    Enrich --> Discover["Discover<br/>candidate pivots from case evidence"]:::ai
    Discover --> Policy["Pivot policy<br/>reject placeholders, noisy infrastructure, over-depth, duplicates"]:::guard
    Policy -->|approved| Route["Resolve passive sources<br/>pivot registry + selected providers"]:::guard
    Policy -->|rejected| Audit["Pivot audit trail<br/>decision and reason"]:::data
    Route --> Execute["Execute source lookup<br/>_run_single_source"]:::ai
    Execute --> Store["Store evidence<br/>observations, timeline, normalized artifacts"]:::data
    Store --> Discover
    Store --> Analyze["Analyze<br/>contradictions, attribution support, confidence, gaps"]:::ai
    Analyze --> Deliver["Deliver<br/>assessment, report, JSON, HTML, AI workspace"]:::out

AI ワークスペースのエクスポート

Export AI Workspace は、コーディングエージェントと人間によるレビューのために設計されたオフラインのケースバンドルをダウンロードします。各 ZIP には AGENTS.md、CLAUDE.md へのポインタ、正規化された完全な case.json、焦点を絞った JSON カタログ、Markdown レポート、および調査、証拠レビュー、ピボット計画、脅威帰属、レポート作成のための skills/*/SKILL.md 配下のポータブルワークフローが含まれます。帰属ワークフローは、構造化された6カテゴリの脅威帰属証拠モデルを実装し、その証拠カテゴリと注意ルールを MANTIS のケースデータに適合させます。エクスポートには API 認証情報は含まれず、そのスキルは能動的なインジケータへの接触や裏付けのないエンリッチメントの主張を禁止しています。

パッシブピボットレジストリ

backend/ai_pivot_registry.py 内の決定論的レジストリは、検証済みのピボットアーキタイプを既存のプロバイダーアダプターにマッピングします。現在のピボットファミリーには以下が含まれます:

• ハッシュピボット: 類似サンプル、ネットワーク IOC、YARA マッチ、ファミリーコンテキスト、行動シグネチャ、実行親プロセス。
• ドメインピボット: パッシブ DNS、現在の IP、証明書、兄弟ドメイン、Web レピュテーション、脅威パルス。
• IP ピボット: ドメイン、ASN/BGP、証明書、サービス/ポート、abuse/noise、脅威パルス。
• URL ピボット: URL テレメトリ、ペイロードハッシュ、リダイレクトチェーン。
• インフラストラクチャピボット: ASN インフラストラクチャ、CIDR 公開ホスト、証明書に紐づくインフラストラクチャ。
• Infrastructure Hunt Engine: 実行前に再利用可能な TLS/HTTP/DNS フィンガープリントをプレビュー。Shodan、Censys、FOFA、Netlas、Silent Push、Driftnet で検索。Validin と Etugen を経由してピボット。GreyNoise で候補 IP を検証。その後、クラスタをスコアリング、グラフ化、エクスポート、監視。
• 脅威アクターピボット: キャンペーン、インフラストラクチャ、ランサムウェア被害者。
• 脆弱性ピボット: エクスプロイト/PoC および実環境での悪用。
• マルウェア/ソーシャルピボット: ファミリーサンプル、ソーシャルメンション、ThreatFox および MalwareBazaar チェック。

AI バイナリ解析ラボ