SILENTCHAIN AI™ - Community Edition

---

注記: これは Community Edition です。高度な機能を備えた Commercial Edition および Professional Edition は別途提供されています。

🌟 概要

SILENTCHAIN AI™ - Community Edition は、人工知能の力を Web アプリケーションセキュリティテストに活用する Burp Suite 拡張機能です。SILENTCHAIN は高度な AI モデルを使用して HTTP トラフィックのインテリジェントなパッシブ分析を実行し、OWASP Top 10 の脆弱性、セキュリティ設定の誤り、潜在的な攻撃ベクトルを特定します。

SILENTCHAIN が選ばれる理由

従来のセキュリティスキャナは、事前定義されたシグネチャとパターンに依存しています。SILENTCHAIN AI™ はそれを超えた機能を提供します:

• 🧠 AI 搭載分析: 最先端の言語モデル (Burp AI、Ollama、OpenAI、Claude、Gemini、Azure) を活用したインテリジェントな脆弱性検出
• 🎯 コンテキスト認識型検出: パターンマッチングだけでなく、アプリケーションのロジックとビジネスコンテキストを理解
• ⚡ リアルタイムスキャン: Burp のプロキシを通過するトラフィックをリアルタイムに分析
• 📊 プロフェッショナルなレポート: CWE および OWASP マッピング、修復ガイダンス付きの詳細な検出結果を生成
• 🔄 ゼロ誤検出: AI による検証がノイズを低減し、実際の脆弱性に焦点を当てる
• 🆓 Community Edition: 無料のパッシブ分析機能

---

✨ 機能

中核となる機能

🔍 パッシブ AI 分析

• Burp Proxy を介したリアルタイムトラフィック分析
• OWASP Top 10 脆弱性の検出
• CWE にマッピングされたセキュリティ検出結果
• インテリジェントな信頼度スコアリング

🎨 プロフェッショナル UI

• モダンで直感的なダッシュボード
• 深刻度に応じたカラーコーディング付きライブ検出結果パネル
• タスクの追跡と管理
• 統合コンソールロギング

🤖 マルチ AI サポート

• Burp AI (デフォルト; プロセス内、設定不要; Burp Suite Professional)
• Ollama (ローカル、無料、プライバシー重視)
• OpenAI (GPT-4 / GPT-4o)
• Claude (Anthropic)
• Gemini (Google)
• Azure OpenAI / Foundry

📋 スマートレポート

• 詳細な脆弱性の説明
• 影響を受けるパラメータの特定
• CWE および OWASP マッピング
• 修復の推奨事項
• セキュリティリソースへの直接リンク

🛡️ データプライバシー (DataSanitizer)

• デフォルトで有効 — 機密データがお使いのマシンから送信される前に自動的に保護
• 双方向の秘匿化: 機密値はクラウド AI プロバイダーに送信される前に [REDACTED_*] プレースホルダーに置き換えられ、応答内で復元されます
• 以下を検出して秘匿化:
  • API キー — OpenAI (sk-)、GitHub (ghp_)、AWS (AKIA)、GitLab (glpat-)、Slack (xoxb-)
  • 認証ヘッダー — Bearer トークン、Basic 認証
  • 認証情報 — password/secret/token フィールド、user:pass@host URI
  • セッション Cookie — セッション ID、CSRF トークン、JWT、認証トークン
  • メールアドレス
  • IP アドレスおよびホスト名 — ターゲットインフラストラクチャの詳細
• Ollama では完全にスキップされます (ローカルのみで、データがマシンから外部に出ることはありません)
• 上級ユーザー向けに設定でオフにすることが可能

脆弱性検出

SILENTCHAIN AI™ は、以下を含む幅広いセキュリティ問題を検出します:

カテゴリ	脆弱性
インジェクション	SQL インジェクション、NoSQL インジェクション、コマンドインジェクション、LDAP インジェクション、XPath インジェクション
クロスサイトスクリプティング	反射型 XSS、格納型 XSS、DOM ベース XSS
認証	認証の破損、セッション管理の問題、認証情報の露出
アクセス制御	IDOR、認可の破損、権限昇格
暗号	弱い暗号化、安全でない SSL/TLS、機密データの露出
設定	セキュリティ設定の誤り、デフォルト認証情報、デバッグ有効
XXE	XML 外部エンティティ攻撃
デシリアライゼーション	安全でないデシリアライゼーション
コンポーネント	脆弱な依存関係、古いライブラリ

---

🚀 クイックスタート

前提条件

• Burp Suite Professional 2025.2+ (推奨 — デフォルトの Burp AI プロバイダーに必要) または Burp Suite Community (Ollama などの外部プロバイダーで動作)
• Java 21 ランタイム (現在の Burp リリースに同梱)
• AI プロバイダー (次のいずれか):
  • Burp AI (デフォルト; 設定不要; Burp Suite Professional とアクティブな Burp AI サブスクリプションが必要)
  • Ollama (無料、ローカル、プライバシー重視)
  • OpenAI API キー
  • Claude (Anthropic) API キー
  • Gemini (Google) API キー
  • Azure OpenAI / Foundry

インストール

1. 拡張機能をダウンロード

   • GitHub Releases から最新の silentchain-community-edition.jar を入手します (このリンクは常に最新のビルドを提供します)。特定のバージョン (silentchain-community-edition-X.Y.Z.jar) は Releases ページにあります。

2. Burp Suite にロード

   • Extensions → Installed → Add に移動
   • Extension type を Java に設定
   • ダウンロードした .jar を選択して Next をクリック

3. AI プロバイダーを設定

   • SILENTCHAIN Community タブ → ⚙ Settings を開く
   • プロバイダーを選択 — Burp AI は設定不要で動作します。外部プロバイダーの場合は API URL / キー / モデルを設定し、Test Connection をクリックしてから Save をクリックします。

4. スキャンを開始

   • Burp でターゲットスコープを設定 (Target → Scope)
   • SILENTCHAIN Community タブで パッシブ分析 を有効化 (デフォルトでは OFF)、その後 Burp のプロキシ経由でターゲットを閲覧 — または任意のリクエストを右クリック → Analyze (SILENTCHAIN) でオンデマンド分析
   • 検出結果は SILENTCHAIN Community タブとネイティブの Burp Scanner イシューとして表示されます

必要環境

• クロスプラットフォーム: Windows、macOS、Linux
• Burp Suite Community または Professional (Burp AI プロバイダーには Professional + AI サブスクリプションが必要)
• Java 21 (現在の Burp リリースに同梱)

---

🔧 設定

AI プロバイダーのセットアップ

オプション 1: Burp AI (デフォルト — 設定不要)

Burp Suite Professional とアクティブな Burp AI サブスクリプションが必要です。 API URL やキーは不要 — 分析は PortSwigger の Burp AI サービスを通じてプロセス内で実行され、お客様のアカウントの Burp AI Credits を消費します。

• プロバイダー: Burp AI
• API URL / キー / モデル: (不要)

オプション 2: Ollama (ローカル / プライベート利用に推奨)

無料、ローカル、API キー不要

1. Ollama をインストール:

   # macOS/Linux
   curl -fsSL https://ollama.ai/install.sh | sh
   
   # Windows
   # Download from https://ollama.ai/download
   

2. モデルを取得:

   ollama pull deepseek-r1
   # or
   ollama pull llama3
   

3. SILENTCHAIN を設定:

   • プロバイダー: Ollama
   • API URL: http://localhost:11434
   • モデル: deepseek-r1:latest

オプション 3: OpenAI

1. platform.openai.com から API キーを取得

2. SILENTCHAIN を設定:

   • プロバイダー: OpenAI
   • API URL: https://api.openai.com/v1
   • API キー: sk-...
   • モデル: gpt-4 または gpt-3.5-turbo

オプション 4: Claude (Anthropic)

1. console.anthropic.com から API キーを取得

2. SILENTCHAIN を設定:

   • プロバイダー: Claude
   • API URL: https://api.anthropic.com/v1
   • API キー: お使いの Anthropic API キー
   • モデル: claude-3-5-sonnet-20241022

オプション 5: Google Gemini

1. makersuite.google.com から API キーを取得

2. SILENTCHAIN を設定:

   • プロバイダー: Gemini
   • API URL: https://generativelanguage.googleapis.com/v1
   • API キー: お使いの Google API キー
   • モデル: gemini-1.5-pro

設定リファレンス

設定	説明	デフォルト
AI プロバイダー	使用する AI サービス	Burp AI
パッシブ分析	スコープ内のプロキシトラフィックを自動分析	Off (オプトイン)
API URL	プロバイダーのエンドポイント (外部プロバイダー)	(プロバイダーのデフォルト)
API キー	認証キー (外部プロバイダー)	(空)
モデル	AI モデル名 (外部プロバイダー)	(プロバイダーのデフォルト)
Max Tokens	応答の長さの上限	2048
サニタイザー	送信前にシークレット/PII を秘匿化	On
冗長ロギング	詳細ログを有効化	On

---

📖 ドキュメント

動作の仕組み

1. トラフィックの傍受: SILENTCHAIN は Burp Proxy を通過する HTTP リクエスト/レスポンスを監視
2. スコープフィルタリング: スコープ内のターゲットのみを分析 (Burp の Target Scope で設定)
3. AI 分析: リクエスト/レスポンスデータを AI に送信してセキュリティ分析を実行
4. 脆弱性の検出: AI が OWASP Top 10 パターンに基づいてセキュリティ問題を特定
5. 検出結果の生成: 深刻度、信頼度、修復方法を含む詳細レポートを作成
6. 重複排除: 同じ URL/パラメータの組み合わせに対する重複検出結果を防止

検出結果の信頼度レベル

レベル	AI 信頼度	意味
確実 (Certain)	90-100%	高い信頼度、検証済みの脆弱性パターン
有力 (Firm)	75-89%	強い兆候、脆弱である可能性が高い
暫定 (Tentative)	50-74%	潜在的な問題、手動検証が必要