ALFA

Google Workspace向け自動監査ログフォレンジック分析

Copyright (c) 2026 Invictus Incident Response
原作者: Greg Charitonos & BertJanCyber、Invictus Incident Response がメンテナンス

始める前に

サポートされているオペレーティングシステムに関する注意: ALFA はいくつかの Linux ディストリビューション (Debian および Ubuntu) でテストされています。
Windows または macOS で使用できる可能性もありますが、結果は異なる場合があるため、自己責任で進めてください。

インストール

1. このプロジェクトをダウンロード
2. ターミナルでフォルダに移動し、sudo pip install -e . または sudo pip3 install -e . を実行

macOS へのインストール

1. pyenv を使用して Python 3.9 をインストール ALFA は Python 3.9 で最もよく動作します。pyenv を使用してこのバージョンを管理およびインストールできます。

   • pyenv をまだインストールしていない場合は、Homebrew を使用してインストールできます:
     root@kitploit:~

     brew install pyenv
     

   • シェル設定ファイル (例: ~/.zshrc または ~/.bashrc) に以下を追加して、シェルで pyenv を設定します:
     root@kitploit:~

     export PYENV_ROOT="$HOME/.pyenv"
     export PATH="$PYENV_ROOT/bin:$PATH"
     eval "$(pyenv init --path)"
     

     ファイルを更新した後、シェルを再読み込みします:
     root@kitploit:~

     source ~/.zshrc  # または source ~/.bashrc
     

   • pyenv を使用して Python 3.9 をインストールします:
     root@kitploit:~

     pyenv install 3.9
     

   • Python 3.9 を現在のバージョンとして設定:
     root@kitploit:~

     pyenv global 3.9
     

     または現在のセッションのみ:
   root@kitploit:~

    pyenv shell 3.9
   

2. (オプション) 仮想環境を作成 依存関係を分離するために、プロジェクトは仮想環境で実行することをお勧めします。先ほど設定した Python 3.9 を使用して、仮想環境を作成します:

   root@kitploit:~

   python -m venv alfa
   

   • 仮想環境をアクティベート:
     root@kitploit:~

     source alfa/bin/activate
     

3. ALFA をインストール ALFA プロジェクトがあるフォルダ内で、pip を使用してインストールします:

   root@kitploit:~

   pip install -e .
   

   仮想環境を使用していない場合は、sudo が必要な場合があります:

   root@kitploit:~

   sudo pip install -e .
   

4. インストールの確認 インストール後、コマンドラインツール alfa を実行して、ALFA がインストールされたことを確認できます。

ALFA の使用

注: credentials.json の取得方法については、CREDENTIALS.md を参照してください。

セットアップ

1. 最初のステップは、ALFA を初期化することです。alfa init projectname を実行して、設定とデータを保存する新しいディレクトリを作成します。例: alfa init project_x
2. 'project_x' という名前の新しいプロジェクトが生成されました。そのフォルダ内で、credentials.json を config/ フォルダにコピーします。** (手順については CREDENTIALS.md を参照) **
3. credentials.json ファイルをコピーしたら、ALFA を使用する準備が整いました。

ALFA には以下の3つのオプションがあります:

1. ALFA 収集 (Acquire)

すべての Google Workspace 監査ログを収集

1. "project_x" (または先ほど選択した名前) の内部で alfa acquire を実行
2. ALFA はすべてのユーザーのすべてのログタイプを取得し、'data' フォルダ内のサブディレクトリに保存します。ログタイプごとに .json ファイルが生成されます。
3. その他のオプションを確認するには、alfa acquire -h と入力

ALFA での高度な収集

収集するデータを制限するために、さまざまなフィルタリングを行うことができます。以下に例を示します:

• 'admin' ログタイプのみを取得: alfa acquire --logtype=admin
• 出力を特定のフォルダに保存: alfa acquire -d /tmp/project_secret
• 特定のユーザーのログのみを取得: alfa acquire --user=insert_username
• 定義された期間内のログを取得: alfa acquire --start-time=2022-07-10T10:00:00Z --end-time=2022-07-11T14:26:01Z 時間形式は (RFC3339)

これでデータの収集方法がわかりました。ALFA の力を解き放つための高度な機能を使う準備が整いました。

2. ALFA 分析 (Analyze)

分析機能は、指定された Google Workspace のすべての監査ログデータを自動的に分析し、不審なアクティビティを特定します。

仕組み

1. カテゴリ化 個々のイベントは、alfa/config/event_to_mitre.yml で作成されたマッピングに基づいてカテゴリ化されます。イベントがそのリストに一致する場合、MITRE ATT&CK Cloud Framework (https://attack.mitre.org/matrices/enterprise/cloud/) の一部であるテクニックにマッピングされます。

2. スコアリング 次に ALFA は、マッピングされたすべてのイベントを時系列順に分析し、キルチェーンまたは論理的な攻撃パスを特定しようとします。 例: 永続化 (Persistence) フェーズにマッピングされたイベントの後に、認証情報アクセス (Credential Access) フェーズにマッピングされたイベントが続くと、スコアが高くなります。

3. 結果 最終的に ALFA は、アナリストに特定された「サブチェーン」のリストを提供し、さらに分析することができます。

ALFA 分析の使用方法

1. 最初に alfa analyze を実行します。これにより自動的に識別されます（見つからない場合は識別されません）。また、フォローアップアクティビティを実行できるシェルにドロップされます。
2. 特定のサブチェーンに関する詳細情報を取得するには、単に A.subchains() を実行します。これにより、チェーンが次の形式で表示されます (チェーン内の最初のイベント番号, 最後のイベント番号, キルチェーンスコア)。スコア 1 は完全なチェーンが特定されたことを示し、0 に近づくほどチェーンが弱いことを示します。
3. このチェーンを引き起こした不審なイベントにアクセスするには、A.aoi(export='activities.json') を使用して、特定されたすべてのサブチェーンをファイルにエクスポートし、それをさらなる分析に使用できます。

3. ALFA ロード (Load)

ローカルストレージからデータをロード

ローカルストレージから

A = Alfa.load([logname]) を使用して、ローカルストレージからログをロードおよび分析します。すべてのログをロードするには A = Alfa.load('all') を使用します。Alfa はデフォルトで良性のアクティビティを除外します。フィルタリングせずにすべてのアクティビティとイベントをロードするには、Alfa.load([logname], filter=False) を使用します。

変更を行う

新しいイベントマッピングの追加

config/event_to_mitre.yml ファイルを直接編集することは可能ですが、推奨されません。このファイルのレイアウトは直感的ではありません。代わりに、utils/mappings.yml を修正することを検討してください。その後、utils/event_mitre_remap.py を実行して config/event_to_mitre.yml を再生成します。

キルチェーン発見方法の修正

キルチェーン発見機能はハードコードされた定数を使用します。これらは config/config.yml にあります。 フォレンジックアナリストは、値を確認し、必要に応じてワークスペースに合わせて修正することをお勧めします。 これらの定数は、キルチェーンスタティスティック (kcs) とキルチェーン発見 (サブチェーン) の両方に関与しています。

FAQ

ALFA で使用される統計とアルゴリズムの詳細については、こちらのブログ記事をご覧ください (https://medium.com/@invictus-ir/automated-forensic-analysis-of-google-workspace-859ed50c5c92)

既知のエラー

ValueError: config/credentials.json が見つかりません

プロジェクトフォルダ内の 'config' サブディレクトリに credentials.json ファイルを追加する必要があります。手順は 'CREDENTIALS.md' ファイルにあります。

OSError: [Errno 98] Address already in use

これは、ポート 8089 が別のアプリケーションですでに使用されていることを意味します。このポートでウェブサーバーが実行されている場合や、Splunk がデフォルトでポート 8089 を使用する場合に発生する可能性があります。解決策は、そのポートの使用を（一時的に）停止することです。認証フローではこのポートが利用可能である必要があるためです。

ValueError: Authorized user info was not in the expected format, missing fields refresh_token.

認証情報を更新する必要がある場合があります。最も簡単な方法は、project_name/config フォルダから 'token.json' を削除し、コマンドを再実行することです。それでも問題が解決しない場合は、token.json と credentials.json を削除し、CREDENTIALS.MD に記載されているように OAuth アプリケーションを再登録してください。

アクセスがブロックされました: このアプリのリクエストは無効です // エラー 400: redirect_uri_mismatch

アプリケーションの OAuth 2.0 クライアント ID の Authorized redirect URIs URI http://localhost:8089 に末尾のバックスラッシュ (/) が含まれていることを確認してください。