SILENTCHAIN AI™ - Community Edition

---

注記: これは Community Edition です。高度な機能を備えた Commercial Edition および Professional Edition は別途提供されています。

🌟 概要

SILENTCHAIN AI™ - Community Edition は、Web アプリケーションのセキュリティテストに人工知能の力を取り入れる Burp Suite 拡張機能です。高度な AI モデルを使用して、SILENTCHAIN は HTTP トラフィックをインテリジェントにパッシブ分析し、OWASP Top 10 の脆弱性、セキュリティ設定ミス、および潜在的な攻撃ベクトルを特定します。

なぜ SILENTCHAIN なのか?

従来のセキュリティスキャナーは、事前定義されたシグネチャとパターンに依存しています。SILENTCHAIN AI™ はそれを超え、次のことを実現します:

• 🧠 AI 搭載分析: 最先端の言語モデル(Burp AI、Ollama、OpenAI、Claude、Gemini、Azure)を活用したインテリジェントな脆弱性検出
• 🎯 コンテキスト認識型検出: 単なるパターンマッチングではなく、アプリケーションロジックとビジネスコンテキストを理解
• ⚡ リアルタイムスキャン: Burp のプロキシを通過するトラフィックをリアルタイムで分析
• 📊 プロフェッショナルなレポート: CWE、OWASP マッピング、および修復ガイダンスを含む詳細な検出事項を生成
• 🔄 誤検知ゼロ: AI 検証によりノイズを削減し、実際の脆弱性に焦点を当てる
• 🆓 Community Edition: 無料のパッシブ分析機能

---

✨ 機能

コア機能

🔍 パッシブ AI 分析

• スコープ内トラフィックの自動分析を Burp Scanner のパッシブスキャンチェックとして実行(例: Burp による Proxy トラフィックのライブパッシブ監査)。パッシブチェックはターゲットにリクエストを送信しません
• 右クリックメニューから任意のリクエストをオンデマンド分析
• OWASP Top 10 脆弱性検出
• CWE マッピングされたセキュリティ検出事項
• インテリジェントな信頼度スコアリング

🎨 プロフェッショナルな UI

• モダンで直感的なダッシュボード
• 重大度を色分けしたライブ検出事項パネル
• タスクの追跡と管理
• 統合されたコンソールログ

🤖 マルチ AI サポート

• Burp AI(デフォルト、ゼロ設定、プロンプトは Burp 経由で PortSwigger の Burp AI サービスに送信され、Burp AI クレジットを消費します)
• Ollama(ローカル、無料、プライバシー重視)
• OpenAI(GPT-4 / GPT-4o)
• Claude(Anthropic)
• Gemini(Google)
• Azure OpenAI / Foundry

📋 スマートレポート

• 詳細な脆弱性の説明
• 影響を受けるパラメータの特定
• CWE および OWASP マッピング
• 修復の推奨事項
• セキュリティリソースへの直接リンク

🛡️ データプライバシー(DataSanitizer)

• 常時有効: サニタイザー設定に関係なく、AI リクエストの前に認証情報が [REDACTED] に置き換えられます: Cookie の値、Authorization および API キー/トークンヘッダーの値、および URL 内の認証情報らしい名前のパラメータ / JSON フィールド(password、token、api_key、session など)、URL を含むヘッダー(Referer、Location)、パラメータサンプル、およびリクエストとレスポンスのボディ(フォーム、ネストされた値を含む JSON、multipart、XML、HTML フォーム入力)(名前、Set-Cookie 属性、および Authorization スキームは保持されます)
• サニタイザーはデフォルトで有効 - さらに、やり取りの残りの部分に含まれるシークレットと PII を伏せ字化し、すべてのプロバイダー(Burp AI、Ollama、およびクラウドプロバイダー)に対してプロンプトインジェクションパターンを無効化します
• 双方向の伏せ字化: 機密値は AI プロバイダーに送信する前に [REDACTED_*] プレースホルダーに置き換えられ、レスポンス内で復元されます
• 以下を検出して伏せ字化します:
  • API キー - OpenAI(sk-)、GitHub(ghp_)、AWS(AKIA)、GitLab(glpat-)、Slack(xoxb-)
  • Authorization ヘッダー - Bearer トークン、Basic 認証
  • 認証情報 - password/secret/token フィールド、user:pass@host URI
  • セッション Cookie - セッション ID、CSRF トークン、JWT、認証トークン
  • メールアドレス
  • IP アドレスとホスト名 - ターゲットインフラストラクチャの詳細
• サニタイザーは上級ユーザー向けに設定でオフに切り替えられます(ヘッダーの伏せ字化は引き続き適用されます)
• AI の出力は信頼できないものとして扱われます: 検出事項のタイトルはサニタイズされ、SILENTCHAIN のテーブルは HTML をレンダリングしません

脆弱性検出

SILENTCHAIN AI™ は、以下を含む幅広いセキュリティ問題を検出します:

カテゴリ	脆弱性
インジェクション	SQL インジェクション、NoSQL インジェクション、コマンドインジェクション、LDAP インジェクション、XPath インジェクション
クロスサイトスクリプティング	反射型 XSS、格納型 XSS、DOM ベース XSS
認証	認証の不備、セッション管理の問題、認証情報の露出
アクセス制御	IDOR、認可の不備、権限昇格
暗号	弱い暗号化、安全でない SSL/TLS、機密データの露出
設定	セキュリティ設定ミス、デフォルト認証情報、デバッグ有効
XXE	XML 外部エンティティ攻撃
デシリアライゼーション	安全でないデシリアライゼーション
コンポーネント	脆弱な依存関係、古いライブラリ

---

🚀 クイックスタート

前提条件

• Burp Suite Professional 2025.8 以降。 Burp Suite Community Edition および Burp Suite DAST はサポートされていません: Community Edition では拡張機能はロードされますが、その理由をログに記録し、アイドル状態のままになります。
• Extensions → Installed で SILENTCHAIN の 「Use AI」を有効化してください。手動でロードした拡張機能ではデフォルトでオフになっています(BApp Store からインストールする場合は Burp が確認します)。これは Ollama を含むすべてのプロバイダーを制御します。Burp の AI 設定で AI がグローバルにオフになっている場合、何も送信されません。
• Java 21 ランタイム(現在の Burp リリースに同梱)
• AI プロバイダー(以下のいずれか):
  • Burp AI(デフォルト、ゼロ設定、Burp AI クレジットを使用)
  • Ollama(無料、ローカル、プライバシー重視)
  • OpenAI API キー
  • Claude(Anthropic)API キー
  • Gemini(Google)API キー
  • Azure OpenAI / Foundry

インストール

1. 拡張機能をダウンロード

   • GitHub Releases から最新の silentchain-community-edition.jar を入手します(このリンクは常に最新ビルドを提供します)。特定のバージョン(silentchain-community-edition-X.Y.Z.jar)は Releases ページにあります。
   • またはソースからビルドします: ./gradlew shadowJar を実行すると build/libs/silentchain-community-edition-<version>.jar が生成されます(Gradle ラッパーが含まれています。JDK 21 ツールチェーンは存在しない場合、自動的にプロビジョニングされます)。

2. Burp Suite にロード

   • Extensions → Installed → Add に移動します
   • Extension type を Java に設定します
   • ダウンロードした .jar を選択し、Next をクリックします
   • Extensions → Installed で、SILENTCHAIN の Use AI を有効にします(すべてのプロバイダーで必須)

3. AI プロバイダーを設定

   • SILENTCHAIN Community タブの Settings をクリックするか、Burp の Settings ウィンドウで SILENTCHAIN を検索します
   • プロバイダーを選択します - Burp AI は設定なしで動作します。外部プロバイダーの場合は、API URL / キー / モデルを設定し、Test Connection をクリックします。変更は即座に適用されます(Save ボタンはありません)。

4. スキャンを開始

   • Burp でターゲットスコープを設定します(Target → Scope)
   • SILENTCHAIN Community タブの Start Scanning でパッシブ分析をオンにし(デフォルトではオフです)、Burp のプロキシ経由でターゲットをブラウズします(Burp のデフォルトの Proxy トラフィックのライブパッシブ監査がスコープ内のアイテムを SILENTCHAIN に供給します) - または任意のリクエストを右クリック → Analyze Request (SILENTCHAIN) でオンデマンド分析を行います
   • 検出事項は SILENTCHAIN Community タブに表示され、ネイティブの Burp イシューとしても表示されます(Dashboard / Target → Site map のイシュー)

要件

• クロスプラットフォーム: Windows、macOS、Linux
• Burp Suite Professional 2025.8 以降(Community Edition および Burp Suite DAST はサポートされていません)
• Java 21(現在の Burp リリースに同梱)

---

🔧 設定

AI プロバイダーのセットアップ

SILENTCHAIN の設定は Burp の Settings ウィンドウにあります: SILENTCHAIN Community タブの Settings をクリックするか、Burp の Settings で SILENTCHAIN を検索します。変更は即座に適用されます(Save や Cancel はありません)。各プロバイダーは独自の API URL、API キー、モデルを保持するため、プロバイダーを切り替えても別のプロバイダーのキーが再利用されることはありません。以前のバージョンの設定は自動的に移行されます。

Ollama を含むすべてのプロバイダーは、Extensions → Installed で SILENTCHAIN の Use AI が有効になっている場合にのみ実行されます。

オプション 1: Burp AI(デフォルト - 設定不要)

Burp Suite Professional が必要です。 API URL やキーは不要です - プロンプトは Burp 経由で PortSwigger の AI データ処理ポリシーに基づき PortSwigger の Burp AI サービスに送信され、アカウントの Burp AI クレジットを消費します。

• プロバイダー: Burp AI
• API URL / キー / モデル: (不要)

オプション 2: Ollama(ローカル / プライベート利用に推奨)

無料、ローカル、API キー不要

1. Ollama をインストールします:

   # macOS/Linux
   curl -fsSL https://ollama.ai/install.sh | sh
   
   # Windows
   # Download from https://ollama.ai/download
   

2. モデルをプルする:

   ollama pull deepseek-r1
   # or
   ollama pull llama3
   

3. SILENTCHAIN を設定します：

   • プロバイダー：Ollama
   • API URL：http://localhost:11434（デフォルト。SILENTCHAIN は設定したホストの /api/chat を呼び出します）
   • API キー：(使用されません)
   • モデル：deepseek-r1:latest

オプション 3：OpenAI