scambuster

脅威アクターにはMITRE ATT&CKのテクニックマッピング、全IOCへの`indicates`リレーションシップ、エンゲージメントメトリクスを備えたカスタム`x_scambuster_actor`拡張が含まれます。バンドルは**OpenCTI**へのインポート用に検証されます。

### 脅威アクターインテリジェンス

ハニーポット自身のインタラクション（外部エンリッチメントなし）から構築された、*アクターに関する*ファーストパーティインテリジェンス — [脅威アクターのプロファイリングガイド](https://github.com/laugiov/scambuster/blob/HEAD/docs/21_threat_actor_profiling.md)を参照してください：

- **心理プロファイリング** — アクターごとの永続的なフィンガープリント：主要＋副次的な**チャルディーニの影響力レバー**（Authority、Urgency、Scarcity、Secrecy、Reciprocity、Liking、SocialProof）、行動ナラティブ、エスカレーションパターン、被害者ターゲティング。オフラインで生成され、クラスタ詳細ページ、API、`x_scambuster_actor_psych` STIX拡張に表示されます。
- **ファジーアクタークラスタリング** — 会話は、単に同一の値だけでなく、*正規的に等価な*金融/連絡先IOC（ETHウォレットの大文字小文字、IBAN/カード/電話の区切り文字）でリンクされます。一方、真に異なる値（1桁違い）は分離されたままになります。
- **アナリストフィードバックループ** — アナリストはIOCを確認済み / 誤検知としてマークします（`POST /iocs/{id}/feedback`）; その判定はエクスポートの信頼度を上書きします（確認済み → 高、誤検知 → ほぼゼロ）。
- **明示的なSTIXエビデンス** — 各インジケーターは`sighting` SDO（件数、初回/最終確認日時、確認場所）を保持し、標準のobservableも`observed-data`＋Cyber Observable Objectsを出力します。

### 詐欺師のTTPインテリジェンス

ScamBusterはまた、インバウンドメッセージ上の**詐欺師の戦術・手法・手順（TTP）**を、6段階の詐欺キルチェーン（フック、信頼構築、支払い要求、エスカレーション、チャネル切り替え、出口）にわたる27項目のクローズドな分類法に対してタグ付けします。刺激（stimulus）は**私たちのペルソナ**が行う何かであり、TTPは**詐欺師**が行う何かです。この2つは厳密に分離され、分析上の価値は**刺激 → TTP → IOC**の交差にあります。

- **インバウンド限定LLMタグ付け** — 私たち自身の返信は決して分析されません。各観測は、信頼度、`confirmed`/`review`ステータス（設定可能なしきい値を下回る場合も、何も黙って破棄されません）、逐語的なエビデンス引用（**内部保存のみ**、APIレスポンスやエクスポートには一切含まれません — 消費者は文字オフセットを参照します）、およびモデル/プロンプトの来歴を保持します。
- **読み取りAPI** — `GET /conversations/{id}/ttps`、`/clusters/{id}/ttps`、`/ttps`、`/ttps/cluster-matrix`、`/ttps/{code}/iocs`、`/iocs/{id}/ttps`。手動の`POST /communication/message/{msgId}/extract-ttps`は運用/テスト用のインターフェースとして残っています。
- **アナリストUI** — クラスタTTPパネル、中立的な刺激/因果関係チップを備えた会話ごとの刺激 → TTP → IOC抽出タイムライン、およびタブ型の**TTP Explorer**（TTPごとの詳細ページを持つ分類法、8週間トレンド付きのフェーズ分析、クラスタ重複プレイブックマトリクス、オンデマンドかつデフォルトでマスク表示されるエビデンスを備えた読み取り専用レビューキュー）
- **CTIエクスポート** — TTPごとに1つの安定したSTIX 2.1のattack-pattern（`kill_chain_phases`付き）、`threat-actor uses attack-pattern`リレーションシップとクラスタ集計からのsighting、および`scambuster:ttp`＋MITRE ATT&CKギャラクシーMISPタグ。エビデンステキストは決してエクスポートされません。
- **オペレーターツール** — `scambuster:ttp:backfill`（履歴抽出、デフォルトでプレビュー、予算上限付き、冪等）および`scambuster:ttp:audit-sample`（手動精度監査用のランダムサンプルCSV — エビデンステキストがデータベースから外部に出る唯一の経路）
- モジュール全体は**`TTP_EXTRACTION_ENABLED`**機能フラグ（デフォルトでオン）の背後にあり、フェイルセーフです：無効化されているか障害が発生しても、インジェスト、IOC抽出、返信には一切影響しません。

> **メトリクスに関する注意。** TTPモジュールは、ホワイトペーパーが対象とする9か月の本番運用期間**後**に追加されたため、**公開されたメトリクスはこれに適用されません**。その抽出精度は手動監査（`scambuster:ttp:audit-sample`）によって確立される予定です。その監査が存在するまで、精度値は主張されません。

### 自動化されたインテリジェンスフィード

- **STIX 2.1エクスポート** 会話ごと（indicators＋threat-actor＋sightings＋observed-data＋attack-pattern＋relationships）
- **TAXII 2.1サーバー** デルタ同期付き -- IOCインジケーターに脅威アクターの属性情報をエンリッチ
- **MISP Event JSON**エクスポート
- **SIEMエクスポート** CEF、ECS、またはJSON形式で、ファイルまたはsyslog経由

標準規格であり、ベンダーごとのコネクタではありません：STIX 2.1、TAXII 2.1、MISP Event JSON、またはCEF/ECS syslogを消費できる任意のプラットフォームがこれらを読み取れます。**OpenCTIに対してエンドツーエンドで検証済み** -- 何がどこに格納されるかは[OpenCTI統合ガイド](https://github.com/laugiov/scambuster/blob/HEAD/docs/11_opencti_integration.md)を参照してください。他の経路も同じ標準に従いますが、実環境に対しては検証されていません。

[TAXIIサーバーガイド](https://github.com/laugiov/scambuster/blob/HEAD/docs/16_taxii_server.md)と[APIリファレンス](https://github.com/laugiov/scambuster/blob/HEAD/docs/12_api_quick_reference.md)を参照してください。

---

## 技術スタック

| レイヤー | 技術 |
|-------|------------|
| **バックエンド** | PHP 8.3, Symfony 7.4, DDDアーキテクチャ |
| **データベース** | PostgreSQL 15, Redis 7 |
| **フロントエンド** | React 19, TypeScript, TailwindCSS, i18n (EN/FR) |
| **LLM** | マルチプロバイダー: OpenAI, Anthropic, Ollama (完全ローカル), Mock (開発) |
| **オーケストレーション** | n8n (自己ホスト) |
| **シークレット** | 環境変数 / Docker secrets |
| **モニタリング** | Prometheusメトリクス, LLMコスト追跡, パイプライントレーシング |
| **インフラストラクチャ** | Docker Compose, GitHub Actions CI |
| **SIEM** | CEF, ECS, JSON -- プラガブルコネクタ |

> **データ主権**: `LLM_PROVIDER=ollama`でデプロイすると、100%オンプレミス処理が可能です。データがインフラストラクチャの外に出ることはありません。

---

## クイックスタート```bash
git clone https://github.com/laugiov/scambuster.git
cd scambuster
cp .env.dist .env    # then EDIT it (see below) BEFORE the next step for real use
make quickstart      # one command: build, start, migrate, seed, JWT keys, n8n
make test            # optional: run the test suite

---

## セキュリティと倫理

ScamBusterは**防御的な調査ツール**であり、攻撃用の武器ではありません。

- **インバウンド専用**: 詐欺師が接触を開始した後にのみ応答します
- **不正アクセスなし**: 攻撃者のシステムにアクセスすることはありません
- **コンテンツフィルタリング**: PolicyGuardが脅威、違法コンテンツ、実際の個人情報（PII）をブロックします
- **レート制限**: 会話、メッセージ、LLM呼び出しに対する厳格な上限
- **キルスイッチ**: ワークフロー、API、データベース、またはインフラストラクチャレベルで即時停止
- **GDPR**: データ最小化、保持ポリシー、保存時の暗号化

> **責任ある利用は運用者の責任です。** 運用する地域で展開が合法であることを確認し、インバウンド専用に保ち、接触の開始、個人の標的化、嫌がらせ、または晒し（dox）に決して使用しないでください。展開前に**[免責事項と責任ある利用](https://github.com/laugiov/scambuster/blob/HEAD/DISCLAIMER.md)**をお読みください。

詳細は[セキュリティとガードレール](https://github.com/laugiov/scambuster/blob/HEAD/docs/04_security_guardrails.md)、[SECURITY.md](https://github.com/laugiov/scambuster/blob/HEAD/SECURITY.md)、[DISCLAIMER.md](https://github.com/laugiov/scambuster/blob/HEAD/DISCLAIMER.md)を参照してください。

---

## プロジェクトの状況

| フェーズ | 状況 |
|-------|--------|
| マルチエージェントLLMアーキテクチャ | 完了 |
| 適応型エンゲージメント（epsilon-greedy） | 完了 |
| スケール、ダッシュボード、可観測性 | 完了 |
| 品質保証と検証 | 完了 |
| リッチなコンテキストIOCエンリッチメント | 完了 |
| STIX脅威アクターエクスポートとOpenCTI統合（sightings + observed-data） | 完了 |
| 脅威アクタークラスタリング（金融IOCに対するUnion-Find、ファジー正規マッチング） | 完了 |
| 脅威アクターの心理的プロファイリング（チャルディーニのレバー） | 完了 |
| アナリストIOCフィードバックループ（confirmed / false-positive → confidence） | 完了 |
| 詐欺師TTPの抽出とインテリジェンス（キルチェーン分類法、STIX attack-patterns） | 完了（研究後 — 公表されたメトリクスなし） |
| トンプソンサンプリング（v2バンディットアルゴリズム） | 計画中 |

詳細は[ロードマップ](https://github.com/laugiov/scambuster/blob/HEAD/docs/06_roadmap.md)と[チェンジログ](https://github.com/laugiov/scambuster/blob/HEAD/CHANGELOG.md)を参照してください。

---

## ドキュメント

| ドキュメント | 説明 |
|----------|-------------|
| [問題提起](https://github.com/laugiov/scambuster/blob/HEAD/docs/01_problem_statement.md) | 電子メール詐欺の問題 |
| [価値提案](https://github.com/laugiov/scambuster/blob/HEAD/docs/02_value_proposition.md) | 技術的な差別化要因 |
| [アーキテクチャ](https://github.com/laugiov/scambuster/blob/HEAD/docs/03_high_level_architecture.md) | システム設計 |
| [セキュリティと倫理](https://github.com/laugiov/scambuster/blob/HEAD/docs/04_security_guardrails.md) | 防御の原則、GDPR |
| [評価](https://github.com/laugiov/scambuster/blob/HEAD/docs/05_evaluation_methodology.md) | メトリクスと検証 |
| [ロードマップ](https://github.com/laugiov/scambuster/blob/HEAD/docs/06_roadmap.md) | タイムラインとマイルストーン |
| [FAQ](https://github.com/laugiov/scambuster/blob/HEAD/docs/07_faq.md) | よくある質問 |
| [はじめに](https://github.com/laugiov/scambuster/blob/HEAD/docs/08_getting_started.md) | 完全なセットアップチュートリアル |
| [本番展開](https://github.com/laugiov/scambuster/blob/HEAD/docs/runbooks/production-deployment.md) | 自己完結型の本番イメージ＋compose、エンドツーエンドでテスト済み |
| [APIリファレンス](https://github.com/laugiov/scambuster/blob/HEAD/docs/12_api_quick_reference.md) | 全エンドポイント |
| [TAXIIサーバー](https://github.com/laugiov/scambuster/blob/HEAD/docs/16_taxii_server.md) | 自動化CTIフィードガイド |
| [OpenCTI統合](https://github.com/laugiov/scambuster/blob/HEAD/docs/11_opencti_integration.md) | OpenCTIをフィードに接続する: どこに何が入るか、そして落とし穴 |
| [SIEM統合](https://github.com/laugiov/scambuster/blob/HEAD/docs/15_siem_integration.md) | エンタープライズSIEMコネクタ |
| [MISP統合](https://github.com/laugiov/scambuster/blob/HEAD/docs/13_misp_integration.md) | MISPエクスポートマッピング |
| [エンタープライズSSO](https://github.com/laugiov/scambuster/blob/HEAD/docs/20_enterprise_sso.md) | OIDCシングルサインオン |
| [メトリクスカタログ](https://github.com/laugiov/scambuster/blob/HEAD/docs/22_metrics_catalog.md) | メトリクスの定義と由来 |
| [データ検証](https://github.com/laugiov/scambuster/blob/HEAD/docs/18_data_validation.md) | IOC、クラスタ、分類品質の監査コマンド |
| [データ品質監査](https://github.com/laugiov/scambuster/blob/HEAD/docs/19_data_quality_audit.md) | LLM品質監査、手動詳細監査、および是正ガイド |
| [脅威アクタープロファイリング](https://github.com/laugiov/scambuster/blob/HEAD/docs/21_threat_actor_profiling.md) | アクターごとの心理的＋行動的フィンガープリント（チャルディーニのレバー） |
| [脅威アクター画面の見方](https://github.com/laugiov/scambuster/blob/HEAD/docs/23_reading_the_threat_actor_screen.md) | クラスタ詳細ページのフィールドガイド — すべての指標を解説し、デモのトーキングポイント付き |
| [TTP画面の見方](https://github.com/laugiov/scambuster/blob/HEAD/docs/26_reading_the_ttp_screens.md) | TTPエクスプローラーのタブ、TTP別詳細ページ、レビューキュー、会話因果関係チップのフィールドガイド |
| [アナリストフィードバック](https://github.com/laugiov/scambuster/blob/HEAD/docs/24_analyst_feedback.md) | STIX、TAXII、MISP、CSVフィード全体で信頼度の基準となる人間のconfirm / false-positive判定 |

---

## ライセンス

- **コード**: [MITライセンス](https://github.com/laugiov/scambuster/blob/HEAD/LICENSE)
- **ドキュメント**: CC BY-NC-SA 4.0
- **データセット**（公開時）: CC BY-NC-SA 4.0

---

## コントリビューション

ガイドラインについては[CONTRIBUTING.md](https://github.com/laugiov/scambuster/blob/HEAD/CONTRIBUTING.md)を参照してください。

---

## 連絡先

| | |
|---|---|
| **ウェブサイト** | [scambuster.ai](https://scambuster.ai) |
| **ライブデモ** | [demo.scambuster.ai](https://demo.scambuster.ai) |
| **メンテナー** | Laurent Giovannoni |
| **LinkedIn** | [linkedin.com/in/giovannonilaurent](https://linkedin.com/in/giovannonilaurent) |
| **コンテキスト** | Black Hat USA 2026 |
| **イシュー** | [GitHub Issues](https://raw.githubusercontent.com/laugiov/issues) |
| **セキュリティ** | [SECURITY.md](https://github.com/laugiov/scambuster/blob/HEAD/SECURITY.md)を参照 |

---

<p align="center">
  <a href="docs/01_problem_statement.md">詳細を見る</a> &bull;
  <a href="docs/03_high_level_architecture.md">アーキテクチャ</a> &bull;
  <a href="docs/06_roadmap.md">ロードマップ</a> &bull;
  <a href="docs/07_faq.md">FAQ</a>
</p>