MAPS Cloud Scanner

Windows DefenderのMAPS（Microsoft Active Protection Service）クラウドベースのファイルレピュテーションおよび動的署名配信システムと対話するための研究ツールです。

MAPSは、Defenderのリアルタイム保護の判定、サンプル提出パイプライン、動的署名（SDN/DSS）配信を支えるクラウドバックエンドです。このツールは、Defenderクライアントがワイヤ上で使用するのと同じ Bond CompactBinaryV1 プロトコルを使用し、セキュリティ研究目的でMAPSエンドポイントと直接対話することを可能にします。

機能

• ファイルスキャン - ファイルをMAPSに送信し、クラウドの判定（クリーン、マルウェア、PUA、不明）を受け取ります
• ハッシュ検索 - ファイルを送信せずにSHA-256でファイルのレピュテーションを照会します
• URLレピュテーション - URLをDefenderのクラウドレピュテーションサービスに対してチェックします
• ハートビート / 接続確認 - MAPSエンドポイントへの接続をテストします
• ローカル解析 - PEメタデータ、インポート、セクション、Authenticode署名をオフラインで解析します
• Bondプロトコル - Defenderのワイヤ形式に一致する完全なCompactBinaryV1シリアライザ/デシリアライザ
• ペイロード検査 - 生のBondペイロードを構築、デコード、リプレイしてプロトコル研究を行います
• APIファジング - 未文書のエンドポイント、隠しフィールド、レポートタイプ、サーバーの挙動を列挙します

インストール

pip install -r requirements.txt

必要な依存関係は requests のみです。拡張分析のためのオプションの依存関係：

使用方法

# Scan a local file
./maps_scanner scan <file>

# Query reputation by hash
./maps_scanner scan-hash <sha256>

# URL reputation check
./maps_scanner url <url>

# Connectivity test
./maps_scanner heartbeat

# Local-only PE analysis
./maps_scanner analyze <file>

# Build a Bond payload without sending
./maps_scanner build <file>

# Decode a captured Bond binary
./maps_scanner decode <file>

# Replay a previously captured payload
./maps_scanner replay <file>

# Show or edit configuration
./maps_scanner config

任意のコマンドに --json を追加することで、機械可読な出力が得られます。-v を使用すると、詳細なプロトコル情報が表示されます。

プロジェクト構成

maps_scanner/
  __init__.py        # Package metadata
  __main__.py        # CLI entry point and command routing
  client.py          # MAPS protocol client, config, and file analysis
  bond.py            # Microsoft Bond CompactBinaryV1 serializer/deserializer
  fuzz_maps.py       # API fuzzer for endpoint and field discovery
  maps_scanner       # Python wrapper script
  requirements.txt   # Dependencies
  docs/              # Protocol documentation and test results
  tests/             # Test samples and utilities

ドキュメント

詳細なプロトコルドキュメントは docs/ にあります：

• MAPS_SCANNER.md - 完全な技術リファレンス
• MAPS_SAMPLE_IO.md - リクエスト/レスポンスのペイロード例
• MAPS_LIVE_TEST_RESULTS.md - ライブエンドポイントのテスト結果
• maps_protocol_guide.html - ビジュアルプロトコルガイド

免責事項

このツールは許可されたセキュリティ研究専用として提供されます。ライブのMicrosoftサービスと対話します。責任を持って、すべての適用される法律およびMicrosoftの利用規約に準拠して使用してください。著者は誤用に対する一切の責任を負いません。

ライセンス

許可されたセキュリティ研究目的でのみ使用可能です。