SILENTCHAIN AI™ - Community Edition

---

注記: これは Community Edition です。高度な機能を備えた Commercial Edition および Professional Edition は別途提供されています。

🌟 概要

SILENTCHAIN AI™ - Community Edition は、人工知能の力を Web アプリケーションセキュリティテストに活用する Burp Suite 拡張機能です。SILENTCHAIN は高度な AI モデルを使用して HTTP トラフィックのインテリジェントなパッシブ分析を実行し、OWASP Top 10 の脆弱性、セキュリティ設定の誤り、潜在的な攻撃ベクトルを特定します。

SILENTCHAIN が選ばれる理由

従来のセキュリティスキャナは、事前定義されたシグネチャとパターンに依存しています。SILENTCHAIN AI™ はそれを超えた機能を提供します:

• 🧠 AI 搭載分析: 最先端の言語モデル (Burp AI、Ollama、OpenAI、Claude、Gemini、Azure) を活用したインテリジェントな脆弱性検出
• 🎯 コンテキスト認識型検出: パターンマッチングだけでなく、アプリケーションのロジックとビジネスコンテキストを理解
• ⚡ リアルタイムスキャン: Burp のプロキシを通過するトラフィックをリアルタイムに分析
• 📊 プロフェッショナルなレポート: CWE および OWASP マッピング、修復ガイダンス付きの詳細な検出結果を生成
• 🔄 ゼロ誤検出: AI による検証がノイズを低減し、実際の脆弱性に焦点を当てる
• 🆓 Community Edition: 無料のパッシブ分析機能

---

✨ 機能

中核となる機能

🔍 パッシブ AI 分析

• Burp Proxy を介したリアルタイムトラフィック分析
• OWASP Top 10 脆弱性の検出
• CWE にマッピングされたセキュリティ検出結果
• インテリジェントな信頼度スコアリング

🎨 プロフェッショナル UI

• モダンで直感的なダッシュボード
• 深刻度に応じたカラーコーディング付きライブ検出結果パネル
• タスクの追跡と管理
• 統合コンソールロギング

🤖 マルチ AI サポート

• Burp AI (デフォルト; プロセス内、設定不要; Burp Suite Professional)
• Ollama (ローカル、無料、プライバシー重視)
• OpenAI (GPT-4 / GPT-4o)
• Claude (Anthropic)
• Gemini (Google)
• Azure OpenAI / Foundry

📋 スマートレポート

• 詳細な脆弱性の説明
• 影響を受けるパラメータの特定
• CWE および OWASP マッピング
• 修復の推奨事項
• セキュリティリソースへの直接リンク

🛡️ データプライバシー (DataSanitizer)

• デフォルトで有効 — 機密データがお使いのマシンから送信される前に自動的に保護
• 双方向の秘匿化: 機密値はクラウド AI プロバイダーに送信される前に [REDACTED_*] プレースホルダーに置き換えられ、応答内で復元されます
• 以下を検出して秘匿化:
  • API キー — OpenAI (sk-)、GitHub (ghp_)、AWS (AKIA)、GitLab (glpat-)、Slack (xoxb-)
  • 認証ヘッダー — Bearer トークン、Basic 認証
  • 認証情報 — password/secret/token フィールド、user:pass@host URI
  • セッション Cookie — セッション ID、CSRF トークン、JWT、認証トークン
  • メールアドレス
  • IP アドレスおよびホスト名 — ターゲットインフラストラクチャの詳細
• Ollama では完全にスキップされます (ローカルのみで、データがマシンから外部に出ることはありません)
• 上級ユーザー向けに設定でオフにすることが可能

脆弱性検出

SILENTCHAIN AI™ は、以下を含む幅広いセキュリティ問題を検出します:

---

🚀 クイックスタート

前提条件

• Burp Suite Professional 2025.2+ (推奨 — デフォルトの Burp AI プロバイダーに必要) または Burp Suite Community (Ollama などの外部プロバイダーで動作)
• Java 21 ランタイム (現在の Burp リリースに同梱)
• AI プロバイダー (次のいずれか):
  • Burp AI (デフォルト; 設定不要; Burp Suite Professional とアクティブな Burp AI サブスクリプションが必要)
  • Ollama (無料、ローカル、プライバシー重視)
  • OpenAI API キー
  • Claude (Anthropic) API キー
  • Gemini (Google) API キー
  • Azure OpenAI / Foundry

インストール

1. 拡張機能をダウンロード

   • GitHub Releases から最新の silentchain-community-edition.jar を入手します (このリンクは常に最新のビルドを提供します)。特定のバージョン (silentchain-community-edition-X.Y.Z.jar) は Releases ページにあります。

2. Burp Suite にロード

   • Extensions → Installed → Add に移動
   • Extension type を Java に設定
   • ダウンロードした .jar を選択して Next をクリック

3. AI プロバイダーを設定

   • SILENTCHAIN Community タブ → ⚙ Settings を開く
   • プロバイダーを選択 — Burp AI は設定不要で動作します。外部プロバイダーの場合は API URL / キー / モデルを設定し、Test Connection をクリックしてから Save をクリックします。

4. スキャンを開始

   • Burp でターゲットスコープを設定 (Target → Scope)
   • SILENTCHAIN Community タブで パッシブ分析 を有効化 (デフォルトでは OFF)、その後 Burp のプロキシ経由でターゲットを閲覧 — または任意のリクエストを右クリック → Analyze (SILENTCHAIN) でオンデマンド分析
   • 検出結果は SILENTCHAIN Community タブとネイティブの Burp Scanner イシューとして表示されます

必要環境

• クロスプラットフォーム: Windows、macOS、Linux
• Burp Suite Community または Professional (Burp AI プロバイダーには Professional + AI サブスクリプションが必要)
• Java 21 (現在の Burp リリースに同梱)

---

🔧 設定

AI プロバイダーのセットアップ

オプション 1: Burp AI (デフォルト — 設定不要)

Burp Suite Professional とアクティブな Burp AI サブスクリプションが必要です。 API URL やキーは不要 — 分析は PortSwigger の Burp AI サービスを通じてプロセス内で実行され、お客様のアカウントの Burp AI Credits を消費します。

• プロバイダー: Burp AI
• API URL / キー / モデル: (不要)

オプション 2: Ollama (ローカル / プライベート利用に推奨)

無料、ローカル、API キー不要

1. Ollama をインストール:

   root@kitploit:~

   # macOS/Linux
   curl -fsSL https://ollama.ai/install.sh | sh
   
   # Windows
   # Download from https://ollama.ai/download
   

2. モデルを取得:

   root@kitploit:~

   ollama pull deepseek-r1
   # or
   ollama pull llama3
   

3. SILENTCHAIN を設定:

   • プロバイダー: Ollama
   • API URL: http://localhost:11434
   • モデル: deepseek-r1:latest

オプション 3: OpenAI

1. platform.openai.com から API キーを取得

2. SILENTCHAIN を設定:

   • プロバイダー: OpenAI
   • API URL: https://api.openai.com/v1
   • API キー: sk-...
   • モデル: gpt-4 または gpt-3.5-turbo

オプション 4: Claude (Anthropic)

1. console.anthropic.com から API キーを取得

2. SILENTCHAIN を設定:

   • プロバイダー: Claude
   • API URL: https://api.anthropic.com/v1
   • API キー: お使いの Anthropic API キー
   • モデル: claude-3-5-sonnet-20241022

オプション 5: Google Gemini

1. makersuite.google.com から API キーを取得

2. SILENTCHAIN を設定:

   • プロバイダー: Gemini
   • API URL: https://generativelanguage.googleapis.com/v1
   • API キー: お使いの Google API キー
   • モデル: gemini-1.5-pro

設定リファレンス

---

📖 ドキュメント

動作の仕組み

1. トラフィックの傍受: SILENTCHAIN は Burp Proxy を通過する HTTP リクエスト/レスポンスを監視
2. スコープフィルタリング: スコープ内のターゲットのみを分析 (Burp の Target Scope で設定)
3. AI 分析: リクエスト/レスポンスデータを AI に送信してセキュリティ分析を実行
4. 脆弱性の検出: AI が OWASP Top 10 パターンに基づいてセキュリティ問題を特定
5. 検出結果の生成: 深刻度、信頼度、修復方法を含む詳細レポートを作成
6. 重複排除: 同じ URL/パラメータの組み合わせに対する重複検出結果を防止

検出結果の信頼度レベル

UI コンポーネント

📊 統計パネル

• Total Requests: 分析された HTTP リクエスト
• Analyzed: 正常に処理された数
• Skipped (Duplicate): 冗長な分析を防止
• Findings Created: 検出された脆弱性の総数
• Errors: 分析の失敗

📋 アクティブタスク

• 現在処理中のリクエストを表示
• ステータス追跡 (Queued、Analyzing、Completed)
• 所要時間の計測

🔍 検出結果パネル

• 検出されたすべての脆弱性
• 深刻度に基づくカラーコーディング:
  • 🔴 High - 重大な脆弱性
  • 🟠 Medium - 重要なセキュリティ問題
  • 🟡 Low - 軽微な脆弱性
  • 🔵 Information - セキュリティメモ
• 信頼度レベル
• 検出タイムスタンプ

🖥️ コンソール

• リアルタイムロギング
• AI 接続ステータス
• 分析の進捗状況
• エラーメッセージ

---

🎯 使用例

基本的なワークフロー

1. ターゲットスコープを設定

   root@kitploit:~

   Burp → Target → Scope → Add
   Example: https://example.com/*
   

2. アプリケーションを閲覧

   • ブラウザのプロキシを Burp に設定 (127.0.0.1:8080)
   • ターゲットアプリケーション内を移動
   • SILENTCHAIN がバックグラウンドで分析

3. 検出結果を確認

   • SILENTCHAIN → Findings パネルを確認
   • または Target → Issue Activity (Burp と統合)

コンテキストメニュー分析

次の場所で任意のリクエストを右クリック:

• Proxy History
• Site Map
• Repeater

選択: SILENTCHAIN - Analyze Request

これにより、URL が過去にスキャン済みでも強制的に分析が実行されます。

手動検証

1. 検出結果パネルで検出結果を選択
2. 詳細な説明を確認
3. 影響を受けるパラメータを確認
4. CWE/OWASP リンクをたどって詳細情報を入手
5. Burp Repeater/Intruder を使用して手動でテスト

---

🆚 Community と Professional の比較

⬆️ Professional にアップグレード

SILENTCHAIN Professional はアクティブ検証機能を追加します:

• 🎯 フェーズ 2 検証: エクスプロイトペイロードで検出結果を自動的に検証
• 🛡️ WAF 検出: Web アプリケーションファイアウォールを特定し適応
• 📚 厳選されたペイロードライブラリ: 実戦で検証済みの OWASP ペイロード
• 🌐 OOB テスト: ブラインド脆弱性 (SSRF、XXE など) を検出
• 🔄 Burp Intruder 統合: ファジング攻撃を自動設定
• ⚡ スマートファジング: AI 生成ペイロードによる最大限のカバレッジ

実際の動作をご覧ください — 完全版の SILENTCHAIN Professional デモ で、AI 搭載のアクティブ検証、WAF 回避、自動ファジングを確認できます。

商用ライセンスおよび Professional Edition のお問い合わせ: [email protected]

---

🛠️ トラブルシューティング

一般的な問題

「AI 接続テストが失敗しました」

解決策:

• AI プロバイダーが起動しているか確認 (Ollama: ollama list)
• API URL が正しいか確認
• クラウドプロバイダーの場合、API キーが有効であることを確認
• ネットワーク接続を確認

「検出結果が表示されない」

解決策:

• ターゲットがスコープ内にあることを確認 (Target → Scope)
• トラフィックが Burp Proxy を通過していることを確認
• コンソールでエラーを確認
• 手動分析を試行 (右クリック → SILENTCHAIN - Analyze Request)

「拡張機能がロードできない」

解決策:

• .jar をロードする際に拡張機能タイプが Java に設定されていることを確認
• Burp Suite が最新であることを確認 (Burp AI プロバイダーには 2025.2+、Java 21 ランタイムが必要)
• Extensions → Installed → (SILENTCHAIN Community) → Errors / Output を確認
• ファイルが破損している可能性がある場合は .jar を再ダウンロード

メモリ使用量が多い

解決策:

• Max Tokens 設定を減らす (Settings → AI Provider)
• 完了したタスクを定期的にクリア
• より軽量な AI モデルを使用 (deepseek-r1 の代わりに llama3 など)

デバッグモード

冗長ロギングを有効化:

1. Settings → Advanced
2. Verbose Logging をオンにする
3. コンソールで詳細な出力を確認

---

🤝 コントリビューション

このプロジェクトは外部からのコントリビューションを受け付けていません。詳細は CONTRIBUTING.md を参照してください。

バグの報告

1. 既存のイシュー を確認
2. 以下を含む新しいイシューを作成:
   • Burp Suite のバージョン
   • SILENTCHAIN のバージョン
   • AI プロバイダー/モデル
   • 再現手順
   • エラーメッセージ (コンソールから)

機能リクエスト

enhancement タグを付けてイシューを開く:

• 機能の説明
• ユースケースの説明
• 可能であれば例を提供

---

📄 ライセンス

SILENTCHAIN AI™ CE はソースコード公開型ですがプロプライエタリソフトウェアです。本ソフトウェアを使用することで、LICENSE ファイルの条項に同意したものとみなされます。

PortSwigger BApp Store

PortSwigger Ltd. には、本ソフトウェアを Burp Suite および BApp Store 内でユーザーに無償で再配布、ホスト、バンドルする明示的な許可が付与されています。その他のすべての再配布は、書面による許可なしに禁止されています。

---

⚖️ 責任ある使用

許可なく、または所有していないシステムや明示的なテスト許可がないシステムに対する不正アクセスや活動に本ソフトウェアを使用しないでください。

データの取り扱いと第三者 AI の開示

完全なプライバシー通知については PRIVACY.md を参照してください。プロバイダー別のデータ保存場所テーブルと、機密性の高いターゲットをスキャンする際の責任も含まれます。

SILENTCHAIN は Burp Suite によって傍受された HTTP リクエストとレスポンスを分析します。選択した AI プロバイダーによっては、このデータが第三者のクラウドサービスに送信される場合があります。

データを閲覧するプロバイダー

クラウド AI プロバイダーが選択されている場合、SILENTCHAIN はスコープ内の各リクエストについて、HTTP リクエストメソッド、URL、ヘッダー、ボディ、レスポンスデータをプロバイダーの API に送信して分析します。組み込みの DataSanitizer (デフォルトで有効) は、送信前に API キー、認証情報、セッショントークン、その他の機密パターンを秘匿化しますが、リクエスト/レスポンスボディからのすべての機密データの削除を保証することはできません。

規制対象データの制限

規制対象データをクラウド AI プロバイダーに送信しないでください。 これには以下が含まれます:

• PHI (保護対象医療情報) (HIPAA に基づく)
• PCI DSS カード会員データ (クレジットカード番号、CVV など)
• GDPR の対象となる EU 個人データ (Art. 13 はサブプロセッサーの開示を要求)
• CCPA の対象となる個人情報 (Cal. Civ. Code 1798.100 et seq.)

ターゲットアプリケーションが上記のいずれかのデータカテゴリを処理する場合、ローカル AI プロバイダー (Ollama) を使用するか、クラウドプロバイダーとの適切なデータ処理契約を結び、そのようなデータを送信する法的許可を得ていることを確認する必要があります。

テレメトリなし

SILENTCHAIN 自体は、使用データ、テレメトリ、分析情報を収集、保存、送信しません。すべてのデータフローは、お使いの Burp Suite インスタンスと選択した AI プロバイダーとの間で直接行われます。

ベストプラクティス

1. 機密性の高い環境や規制対象環境では Ollama を使用 (100% ローカル、プライベート)
2. クラウドプロバイダーを使用する場合は DataSanitizer を有効化 (デフォルトでオン)
3. 使用前に AI プロバイダーのデータ保持およびプライバシーポリシーを確認
4. 許可なく本番システムをテストしない
5. 外部と共有する前に検出結果とログをサニタイズ

---

💬 サポートとコミュニティ

ヘルプ

• 📚 ドキュメント: ドキュメント
• 🐛 イシュー: GitHub Issues
• ✉️ メール: [email protected]

最新情報

• ⭐ このリポジトリに Star を付ける
• 👁️ 更新情報を Watch する
• 🐦 X (Twitter): @silentchainai

---

🙏 謝辞

開発:

• @xer0dayz (@Sn1perSecurity LLC)

開発に使用:

• Burp Suite (PortSwigger 製)
• Ollama (ローカル AI 用)
• OpenAI (GPT モデル用)
• Anthropic (Claude 用)
• Google (Gemini 用)

Web をより安全にするためのセキュリティコミュニティの尽力に触発されて。

---

™️ 商標表示

「SILENTCHAIN AI™」、「SILENTCHAIN™」、および SILENTCHAIN AI ロゴは SN1PERSECURITY LLC の商標です。無断使用は禁止されています。

法的通知

第三者商標の帰属については NOTICE を参照してください。

---