ADTrapper - Active Directory セキュリティ分析プラットフォーム

概要

ADTrapper は、サイバーセキュリティ専門家が Windows Active Directory 認証ログを分析するための包括的なセキュリティ分析プラットフォームです。高度な脅威検出、異常分析、インタラクティブな可視化を提供し、セキュリティインシデントの特定と調査を支援します。

主な機能

• 54以上の検出ルール - ブルートフォース、パスワードスプレー、特権昇格、ADCS攻撃など
• インタラクティブな可視化 - ネットワーク関係のフォース指向グラフ
• SharpHound 統合 - BloodHound 収集データをアップロードして AD 分析
• 認証不要 - 匿名アップロードですぐに分析開始
• スタンドアロンの Docker デプロイ - 単一コマンドで起動

クイックスタート

前提条件

• Docker および Docker Compose
• Git

1. クローンと設定

git clone https://github.com/MHaggis/ADTrapper.git
cd ADTrapper

# 環境ファイルのサンプルをコピー
cp env.example .env

# (オプション) 本番環境用の安全なパスワードを生成
# echo "POSTGRES_PASSWORD=$(openssl rand -base64 32)" >> .env

2. サービスの起動

# オプション1: デプロイスクリプトを使用 (推奨)
./deploy.sh

# オプション2: 手動起動
docker compose up -d
docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

3. アプリケーションにアクセス

• アプリケーション: http://localhost:3000
• データベース: localhost:54325 (直接アクセスが必要な場合)

認証は不要です。すぐにログのアップロードを開始してください。

データ収集

Windows 認証ログ

付属の PowerShell スクリプトを使用して認証ログを収集します。完全なアクセスのためには管理者として実行してください:

# ヘルプと全オプションを表示
Get-Help .\capture.ps1 -Detailed

# 基本収集 (過去24時間)
.\capture.ps1

# AD 情報を追加した拡張収集
.\capture.ps1 -Hours 48 -EnrichWithAD

# AD CS 証明書イベントを含める (ADCS攻撃検出用)
.\capture.ps1 -ADCS -EnrichWithAD

# CA データベースの生分析を含む完全収集 (CAサーバーのみ)
# 注意: これにより証明機関サービスが一時的に停止します！
.\capture.ps1 -ADCS -RawDatabase -EnrichWithAD

# JSON ではなく CSV としてエクスポート
.\capture.ps1 -Hours 24 -Format csv -OutputPath C:\Logs\events.csv

コレクター機能

サポートされるイベントタイプ

認証イベント:

• 4624/4625: ログオン成功/失敗
• 4634/4647: ログオフイベント
• 4648: 明示的な資格情報の使用
• 4768/4769/4771: Kerberos 認証
• 4776: NTLM 認証
• 4740/4742: アカウントロックアウト/変更

AD CS イベント (-ADCS 使用時):

• 証明書要求と発行
• テンプレート変更
• CA セキュリティ変更
• ESC1-ESC11 攻撃指標

SMB イベント:

• 5140/5145: 共有アクセスと列挙

SharpHound 統合

ADTrapper は包括的な AD 分析のための SharpHound データをサポートしています:

SharpHound.exe -c All -d YOURDOMAIN.COM --outputdirectory C:\Temp\

生成された ZIP ファイルを ADTrapper にアップロードすると、自動的に分析されます。

コンテナ管理

# ステータス確認
docker compose ps

# ログ表示
docker compose logs -f app
docker compose logs -f database

# サービスの再起動
docker compose restart

# サービスの停止
docker compose down

# 新規デプロイ (注意: 全データが削除されます)
./deploy-fresh.sh

データベースのバックアップと復元

# バックアップ
docker compose exec database pg_dump -U postgres postgres > backup.sql

# 復元
docker compose exec -T database psql -U postgres postgres < backup.sql

設定

環境変数

利用可能なすべてのオプションについては env.example を参照してください:

トラブルシューティング

データベーステーブルが見つからない (500 エラー):

docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

ポート競合:

lsof -i :3000
lsof -i :54325

アプリケーションが応答しない:

docker compose logs app
docker compose restart

本番環境へのデプロイ

本番環境へのデプロイでは:

1. .env ファイルに安全な POSTGRES_PASSWORD を設定
2. 適切な SSL 証明書で HTTPS を有効化
3. データベースアクセスを制限するファイアウォールルールを設定
4. 定期的なデータベースバックアップを設定
5. リバースプロキシ (nginx、traefik) の使用を検討

クラウドデプロイメントオプション

• AWS ECS/Fargate + RDS PostgreSQL
• Google Cloud Run + Cloud SQL
• Azure Container Instances + PostgreSQL
• DigitalOcean App Platform

技術スタック

• フロントエンド: Next.js 14、TypeScript、Tailwind CSS
• バックエンド: Node.js 20 LTS、PostgreSQL 15
• デプロイ: Docker Compose を使用した Docker コンテナ
• 可視化: フォースシミュレーションを使用したカスタム Canvas
• CI/CD: 自動テストとセキュリティスキャンを含む GitHub Actions

貢献

貢献を歓迎します:

1. リポジトリをフォーク
2. 機能ブランチを作成
3. テストを伴う変更を加える
4. プルリクエストを送信

ライセンス

Apache License 2.0 - LICENSE ファイルを参照