Watcher

AI を活用した自動サイバーセキュリティ脅威検出プラットフォーム

Watcher は、AI を活用した脅威インテリジェンス分析により、新興のサイバーセキュリティ脅威を発見・監視するために設計された Django & React JS プラットフォームです。ウェブサーバーにデプロイすることも、Docker を使ってすぐに実行することもできます。

Watcher の機能

Watcher は、包括的な脅威検出と監視により、セキュリティ運用を強化します。

• AI 駆動型脅威インテリジェンス – 生の脅威データを実用的なインテリジェンスに変換。週次で自動生成されるサイバーセキュリティトピックトップ 5 のダイジェスト、脅威発生時のリアルタイム速報アラート、関連する CVE や脅威アクターの詳細を含むあらゆるセキュリティキーワードのオンデマンド要約を提供します。

• CVE & ランサムウェアインテリジェンス – cve.circl.lu からの CVE、ransomware.live および ransomlook.io からのランサムウェア被害者・グループなど、外部の脅威データを継続的に取得・関連付け・表面化します。キーワードベースのウォッチルールを定義し、特定の脅威が組織のコンテキストに一致した場合にアラートを受け取れます。

• 新興脅威検出 – CERT-FR (www.cert.ssi.gouv.fr)、CERT-EU (www.cert.europa.eu)、US-CERT (www.us-cert.gov)、オーストラリアサイバーセキュリティセンター (www.cyber.gov.au) などの RSS フィードを介してサイバーセキュリティのトレンドを監視。新しい脆弱性、マルウェアキャンペーン、脅威勧告が現れると追跡します。

• 正当なドメイン管理 – 有効期限、再取得状況、レジストラ情報、連絡先を一元管理。監視対象の悪意ドメインを正当なドメインに容易に変換。UDRP 案件の自動追跡。

• 情報漏洩監視 – Pastebin、StackOverflow、GitHub、GitLab、Bitbucket、APKMirror、npm レジストリなどのプラットフォームを横断して機密データの露出を検出。漏洩した認証情報、API キー、機密情報を早期に捕捉します。

• 悪意ドメイン監視 – 悪意ドメインの IP アドレス、メール/MX レコード、Web コンテンツの変更を監視。TLSH ファジーハッシュを使用して修正を検出。レジストラおよび有効期限アラート付きの自動 RDAP/WHOIS チェック。

• 不審ドメイン検出 – 組織を標的にする可能性のある悪意ドメインを以下の方法で特定：

  • ドメイン生成アルゴリズム検出：dnstwist を使用してタイポスクワッティング、ホモグラフ攻撃、類似ドメインバリアントを発見
  • 証明書透明性監視：certstream を介して新しく登録された不審ドメインをリアルタイムに捕捉

追加機能

強力な統合と管理ツールで Watcher の機能を拡張します。

• TheHive 完全同期 – TheHive との統合。自動アラート作成、スマートケース管理、IOC エンリッチメント、すぐに使える Cortex Analyzer & Responder を搭載。詳細な設定はこちらのドキュメントにあります。
• MISP 統合 – 協調的な脅威インテリジェンス共有のために、スマート UUID 追跡、自動オブジェクト作成、手動属性更新を備え、MISP へ Indicators of Compromise (IOC) をシームレスにエクスポート。
• SSO / OpenID Connect – PKCE と Knox トークン発行を伴う任意の OIDC プロバイダー (Keycloak、Azure AD など) によるフェデレーテッドログイン。.env でインスタンスごとに設定可能。
• 柔軟な認証 – LDAP、ローカル、SSO/OIDC 認証システムをサポート。
• コネクタダッシュボード – スーパーユーザー専用の /connectors ページで、すべての外部統合 (SMTP、Slack、Citadel、TheHive、MISP、CyberWatch フィードなど) を一元表示、編集、テスト。暗号化された認証情報ストレージとコネクタごとのヘルスチェック。
• スマート通知 – 重要発見やしきい値違反に対して、CyberWatch や UDRP 判定を含む全モジュールでメール、Slack、Citadel アラートを受信。
• 対話型 API ドキュメント – drf-spectacular により自動生成される Swagger UI (/api/docs/) および OpenAPI 3 スキーマ (/api/schema/)。
• チケッティングシステム統合 – セキュリティ発見を自動的にチケッティングシステムに送信。
• 包括的管理インターフェース – Django の強力な管理パネルを通じて Watcher の全側面を管理。
• 高度なアクセス制御 – チームコラボレーションのためのきめ細かいユーザー権限とグループ管理。
• モダンな UI 体験 – カスタマイズ可能なテーマ、リサイズ可能なダッシュボードパネル、保存済みフィルターセットによる高度なフィルタリング、永続的なユーザー設定を備えたモダンなインターフェース。

関連依存関係

Watcher はオープンソースのツールとライブラリを活用しています。

• Hugging Face Transformers – 脅威インテリジェンスの要約とエンティティ抽出を支える AI/ML フレームワーク
• google/flan-t5-base – AI による脅威要約のためのテキスト間生成モデル
• dslim/bert-base-NER – IOC 自動抽出のための固有表現認識
• certstream – 証明書透明性監視
• dnstwist – ドメイン名置換エンジン
• SearxNG – プライバシー重視のメタサーチエンジン
• PyMISP – MISP 脅威インテリジェンスプラットフォーム統合
• TLSH – コンテンツ類似性検出のためのファジーハッシュ
• mozilla-django-oidc – OpenID Connect 認証バックエンド
• drf-spectacular – OpenAPI 3 スキーマ生成と Swagger UI
• deck.gl – WebGL による地理空間可視化 (WorldMap)
• MUI (Material UI) – KPI カードとチャートのための React コンポーネントライブラリ
• shadow-useragent – User-Agent ローテーションライブラリ
• NLTK – テキスト処理のための自然言語ツールキット

アプリプレビュー

脅威検出

AI による週次要約と速報ニュース

不審ドメイン名の検出

正当なドメインリスト

データ漏洩検出

不審ドメイン名の監視

テーマプレビュー

Watcher は、あなたの好みや作業環境に合わせて複数のビジュアルテーマを提供します。

管理インターフェース

Django は管理業務向けのすぐ使えるユーザーインターフェースを提供します。管理インターフェースが Web プロジェクトにとっていかに重要かは周知の通りです：ユーザー管理、ユーザーグループ管理、Watcher 設定、使用ログなど。

インストール

# 1. Clone the repo
git clone https://github.com/thalesgroup-cert/watcher.git
cd watcher/deployment

# 2. Initialize environment, configs & directory structure
make init

# 3. Start the stack
make up

# 4. On first run: run database migrations + create superuser
make migrate
make superuser
make populate-db

# 5. Open the web UI
#    http://localhost:9002  (or your configured domain/port)

わずか 10 分で Docker を使用して Watcher を起動できます。詳細な手順はインストールガイドをご覧ください。

プラットフォームアーキテクチャ

Watcher のモジュラーアーキテクチャは、スケーラビリティ、信頼性、および既存のセキュリティスタックとの容易な統合を保証します。

コントリビューション

セキュリティコミュニティからのコントリビューションを歓迎します！

バグ報告、機能リクエスト、コード提出については、完全なコントリビューションガイドをお読みください。

Pastebin コンプライアンス

Watcher の pastebin API 機能を使用するには、pastebin プロアカウントにサブスクライブし、Watcher のパブリック IP をホワイトリストに登録する必要があります（https://pastebin.com/doc_scraping_api を参照）。