SILENTCHAIN

AI 기반 취약점 스캐너 확장 기능, Burp Suite용, 다중 제공자 지원 (Ollama, OpenAI, Claude, Gemini)

참고: 이것은 커뮤니티 에디션입니다. 고급 기능을 갖춘 상용 및 프로페셔널 에디션은 별도로 제공됩니다.

🌟 개요

SILENTCHAIN AI™ - 커뮤니티 에디션은 웹 애플리케이션 보안 테스트에 인공지능의 힘을 더하는 Burp Suite 확장 프로그램입니다. 고급 AI 모델을 사용하여 SILENTCHAIN은 HTTP 트래픽을 지능적으로 수동 분석하여 OWASP Top 10 취약점, 보안 설정 오류 및 잠재적 공격 벡터를 식별합니다.

SILENTCHAIN을 선택해야 하는 이유?

기존 보안 스캐너는 사전 정의된 시그니처와 패턴에 의존합니다. **SILENTCHAIN AI™**는 그 이상을 제공합니다:

• 🧠 AI 기반 분석: 취약점 탐지를 위해 최첨단 언어 모델(Burp AI, Ollama, OpenAI, Claude, Gemini, Azure) 활용
• 🎯 컨텍스트 인식 탐지: 패턴 매칭이 아닌 애플리케이션 로직과 비즈니스 컨텍스트 이해
• ⚡ 실시간 스캔: Burp 프록시를 통과하는 트래픽을 실시간으로 분석
• 📊 전문 보고서 생성: CWE, OWASP 매핑 및 수정 지침이 포함된 상세한 결과 보고서 생성
• 🔄 오탐 제로: AI 검증으로 노이즈를 줄이고 실제 취약점에 집중
• 🆓 커뮤니티 에디션: 무료 수동 분석 기능

✨ 기능

핵심 기능

🔍 수동 AI 분석

• Burp 프록시를 통한 실시간 트래픽 분석
• OWASP Top 10 취약점 탐지
• CWE 매핑된 보안 결과
• 지능형 신뢰도 점수

🎨 전문 UI

• 현대적이고 직관적인 대시보드
• 심각도별 색상 코드가 적용된 실시간 결과 패널
• 작업 추적 및 관리
• 통합 콘솔 로깅

🤖 멀티 AI 지원

• Burp AI (기본값; 프로세스 내, 설정 불필요; Burp Suite Professional)
• Ollama (로컬, 무료, 개인정보 보호 중심)
• OpenAI (GPT-4 / GPT-4o)
• Claude (Anthropic)
• Gemini (Google)
• Azure OpenAI / Foundry

📋 스마트 보고

• 상세한 취약점 설명
• 영향받는 매개변수 식별
• CWE 및 OWASP 매핑
• 수정 권장 사항
• 보안 리소스로의 직접 링크

🛡️ 데이터 개인정보 보호 (DataSanitizer)

• 기본적으로 활성화됨 — 민감한 데이터가 머신을 떠나기 전에 자동으로 보호
• 양방향 삭제: 클라우드 AI 제공자에게 보내기 전에 민감한 값이 [REDACTED_*] 자리 표시자로 대체된 후, 응답에서 복원됨
• 다음 항목을 감지하고 삭제:
  • API 키 — OpenAI (sk-), GitHub (ghp_), AWS (AKIA), GitLab (glpat-), Slack (xoxb-)
  • Authorization 헤더 — Bearer 토큰, Basic 인증
  • 자격 증명 — password/secret/token 필드, user:pass@host URI
  • 세션 쿠키 — 세션 ID, CSRF 토큰, JWT, 인증 토큰
  • 이메일 주소
  • IP 주소 및 호스트명 — 대상 인프라 세부 정보
• Ollama의 경우 완전히 건너뜀 (로컬 전용, 데이터가 머신을 떠나지 않음)
• 고급 사용자를 위해 설정에서 비활성화 가능

취약점 탐지

SILENTCHAIN AI™는 다음과 같은 광범위한 보안 문제를 탐지합니다:

🚀 빠른 시작

사전 요구 사항

• Burp Suite Professional 2025.2+ (권장 — 기본 Burp AI 제공자 필요) 또는 Burp Suite Community (Ollama와 같은 외부 제공자와 함께 사용 가능)
• Java 21 런타임 (현재 Burp 릴리스에 포함됨)
• AI 제공자 (다음 중 하나):
  • Burp AI (기본값; 설정 불필요; Burp Suite Professional + 활성 Burp AI 구독 필요)
  • Ollama (무료, 로컬, 개인정보 보호 중심)
  • OpenAI API 키
  • Claude (Anthropic) API 키
  • Gemini (Google) API 키
  • Azure OpenAI / Foundry

설치

1. 확장 프로그램 다운로드

   • GitHub 릴리스에서 최신 **silentchain-community-edition.jar**를 가져오세요 (이 링크는 항상 최신 빌드를 제공합니다). 특정 버전(silentchain-community-edition-X.Y.Z.jar)은 릴리스 페이지에 있습니다.

2. Burp Suite에 로드

   • Extensions → Installed → Add로 이동
   • 확장 프로그램 유형: Java로 설정
   • 다운로드한 .jar 파일을 선택하고 Next 클릭

3. AI 제공자 구성

   • SILENTCHAIN Community 탭 → ⚙ Settings 열기
   • 제공자 선택 — Burp AI는 구성 없이 작동합니다. 외부 제공자의 경우 API URL/키/모델을 설정하고 Test Connection을 클릭한 후 Save를 클릭하세요.

4. 스캔 시작

   • Burp에서 대상 범위 설정 (Target → Scope)
   • SILENTCHAIN Community 탭에서 수동 분석 활성화 (기본적으로 꺼져 있음), 그런 다음 Burp 프록시를 통해 대상 탐색 — 또는 요청을 마우스 오른쪽 버튼으로 클릭 → **Analyze (SILENTCHAIN)**을 선택하여 주문형 분석
   • 결과는 SILENTCHAIN Community 탭과 기본 Burp Scanner 문제로 나타납니다.

요구 사항

• 크로스 플랫폼: Windows, macOS, Linux
• Burp Suite Community 또는 Professional (Professional + Burp AI 제공자용 AI 구독)
• Java 21 (현재 Burp 릴리스에 포함됨)

🔧 설정

AI 제공자 설정

옵션 1: Burp AI (기본값 — 설정 불필요)

Burp Suite Professional + 활성 Burp AI 구독 필요. API URL이나 키가 필요하지 않음 — PortSwigger의 Burp AI 서비스를 통해 프로세스 내에서 분석이 실행되며 계정의 Burp AI 크레딧을 소비합니다.

• 제공자: Burp AI
• API URL / 키 / 모델: (필요 없음)

옵션 2: Ollama (로컬/개인용으로 권장)

무료, 로컬, API 키 불필요

1. Ollama 설치:

   root@kitploit:~

   # macOS/Linux
   curl -fsSL https://ollama.ai/install.sh | sh
   
   # Windows
   # https://ollama.ai/download 에서 다운로드
   

2. 모델 가져오기:

   root@kitploit:~

   ollama pull deepseek-r1
   # 또는
   ollama pull llama3
   

3. SILENTCHAIN 구성:

   • 제공자: Ollama
   • API URL: http://localhost:11434
   • 모델: deepseek-r1:latest

옵션 3: OpenAI

1. platform.openai.com에서 API 키 받기

2. SILENTCHAIN 구성:

   • 제공자: OpenAI
   • API URL: https://api.openai.com/v1
   • API 키: sk-...
   • 모델: gpt-4 또는 gpt-3.5-turbo

옵션 4: Claude (Anthropic)

1. console.anthropic.com에서 API 키 받기

2. SILENTCHAIN 구성:

   • 제공자: Claude
   • API URL: https://api.anthropic.com/v1
   • API 키: 사용자의 Anthropic API 키
   • 모델: claude-3-5-sonnet-20241022

옵션 5: Google Gemini

1. makersuite.google.com에서 API 키 받기

2. SILENTCHAIN 구성:

   • 제공자: Gemini
   • API URL: https://generativelanguage.googleapis.com/v1
   • API 키: 사용자의 Google API 키
   • 모델: gemini-1.5-pro

설정 참조

📖 문서

작동 방식

1. 트래픽 가로채기: SILENTCHAIN이 Burp 프록시를 통해 HTTP 요청/응답 모니터링
2. 범위 필터링: 범위 내 대상만 분석 (Burp의 Target Scope에서 구성)
3. AI 분석: 보안 분석을 위해 요청/응답 데이터를 AI에 전송
4. 취약점 탐지: AI가 OWASP Top 10 패턴을 기반으로 보안 문제 식별
5. 결과 생성: 심각도, 신뢰도 및 수정 조치가 포함된 상세 보고서 생성
6. 중복 제거: 동일한 URL/매개변수 조합에 대한 중복 결과 방지

결과 신뢰도 수준

UI 구성 요소

📊 통계 패널

• 총 요청: 분석된 HTTP 요청
• 분석됨: 성공적으로 처리됨
• 건너뜀 (중복): 중복 분석 방지됨
• 생성된 결과: 발견된 총 취약점
• 오류: 분석 실패

📋 활성 작업

• 현재 처리 중인 요청 표시
• 상태 추적 (대기 중, 분석 중, 완료됨)
• 소요 시간

🔍 결과 패널

• 탐지된 모든 취약점
• 심각도 기반 색상 코드:
  • 🔴 높음 - 중요 취약점
  • 🟠 중간 - 중요한 보안 문제
  • 🟡 낮음 - 사소한 취약점
  • 🔵 정보 - 보안 참고 사항
• 신뢰도 수준
• 발견 시간

🖥️ 콘솔

• 실시간 로깅
• AI 연결 상태
• 분석 진행 상황
• 오류 메시지

🎯 사용 예제

기본 워크플로우

1. 대상 범위 설정

   root@kitploit:~

   Burp → Target → Scope → Add
   예: https://example.com/*
   

2. 애플리케이션 탐색

   • 브라우저 프록시를 Burp(127.0.0.1:8080)로 구성
   • 대상 애플리케이션 탐색
   • SILENTCHAIN이 백그라운드에서 분석

3. 결과 검토

   • SILENTCHAIN → Findings 패널 확인
   • 또는 Target → Issue Activity (Burp와 통합됨)

컨텍스트 메뉴 분석

다음 위치에서 아무 요청을 마우스 오른쪽 버튼으로 클릭:

• 프록시 히스토리
• 사이트 맵
• Repeater

선택: SILENTCHAIN - Analyze Request

이렇게 하면 이전에 스캔된 URL이라도 강제로 분석됩니다.

수동 확인

1. Findings 패널에서 결과 선택
2. 상세 설명 검토
3. 영향받는 매개변수 확인
4. 자세한 정보를 위해 CWE/OWASP 링크 방문
5. Burp Repeater/Intruder를 사용하여 수동 테스트

🆚 커뮤니티 vs 프로페셔널

⬆️ 프로페셔널로 업그레이드

SILENTCHAIN Professional은 능동 검증 기능을 추가합니다:

• 🎯 2단계 검증: 익스플로잇 페이로드로 결과를 자동 검증
• 🛡️ WAF 탐지: 웹 애플리케이션 방화벽 식별 및 적응
• 📚 엄선된 페이로드 라이브러리: 실전 검증된 OWASP 페이로드
• 🌐 OOB 테스트: 블라인드 취약점 탐지 (SSRF, XXE 등)
• 🔄 Burp Intruder 통합: 퍼징 공격 자동 구성
• ⚡ 스마트 퍼징: 최대 범위를 위한 AI 생성 페이로드

실제 작동 확인 — 전체 SILENTCHAIN Professional 데모를 시청하여 AI 기반 능동 검증, WAF 우회, 자동 퍼징을 확인하세요.

상용 라이선스 및 프로페셔널 에디션 문의: [email protected]

🛠️ 문제 해결

일반적인 문제

"AI 연결 테스트 실패"

해결 방법:

• AI 제공자가 실행 중인지 확인 (Ollama: ollama list)
• API URL이 올바른지 확인
• 클라우드 제공자의 경우 API 키가 유효한지 확인
• 네트워크 연결 확인

"탐지된 결과 없음"

해결 방법:

• 대상이 범위 내에 있는지 확인 (Target → Scope)
• 트래픽이 Burp 프록시를 통과하는지 확인
• 콘솔에서 오류 확인
• 수동 분석 시도 (마우스 오른쪽 버튼 → SILENTCHAIN - Analyze Request)

"확장 프로그램 로드 실패"

해결 방법:

• .jar 로드 시 확장 프로그램 유형이 Java로 설정되었는지 확인
• Burp Suite가 최신 버전인지 확인 (Burp AI 제공자의 경우 2025.2+, Java 21 런타임)
• Extensions → Installed → (SILENTCHAIN Community) → Errors / Output 확인
• 파일이 손상되었을 수 있으므로 .jar를 다시 다운로드

높은 메모리 사용량

해결 방법:

• 최대 토큰 설정 줄이기 (Settings → AI Provider)
• 완료된 작업을 정기적으로 지우기
• 더 가벼운 AI 모델 사용 (예: deepseek-r1 대신 llama3)

디버그 모드

상세 로깅 활성화:

1. Settings → Advanced
2. Verbose Logging 체크
3. 콘솔에서 상세 출력 확인

🤝 기여

이 프로젝트는 외부 기여를 받지 않습니다. 자세한 내용은 CONTRIBUTING.md를 참조하세요.

버그 신고

1. 기존 이슈 확인
2. 다음 정보와 함께 새 이슈 생성:
   • Burp Suite 버전
   • SILENTCHAIN 버전
   • AI 제공자/모델
   • 재현 단계
   • 오류 메시지 (콘솔에서)

기능 요청

enhancement 태그로 이슈 열기:

• 기능 설명
• 사용 사례 설명
• 가능하면 예제 제공

📄 라이선스

SILENTCHAIN AI™ CE는 소스 공개형 독점 소프트웨어입니다. 이 소프트웨어를 사용함으로써 귀하는 LICENSE 파일의 약관에 동의하게 됩니다.

PortSwigger BApp 스토어

PortSwigger Ltd.는 이 소프트웨어를 Burp Suite 및 BApp 스토어 내에서 사용자에게 무료로 재배포, 호스팅 및 번들로 제공할 수 있는 명시적 권한을 부여받습니다. 서면 허가 없이 다른 모든 재배포는 금지됩니다.

⚖️ 책임 있는 사용

귀하가 소유하거나 테스트할 명시적 권한이 있는 시스템 이외의 시스템에 대한 무단 액세스 또는 활동에 이 소프트웨어를 사용하지 마십시오.

데이터 처리 및 타사 AI 공개

전체 개인정보 보호 고지를 보려면 PRIVACY.md를 참조하세요. 제공자별 데이터 상주 테이블과 민감한 대상을 스캔할 때의 책임이 포함되어 있습니다.

SILENTCHAIN은 Burp Suite가 가로챈 HTTP 요청 및 응답을 분석합니다. 선택한 AI 제공자에 따라 이 데이터가 타사 클라우드 서비스로 전송될 수 있습니다.

어떤 제공자가 데이터를 보는가

클라우드 AI 제공자가 선택되면 SILENTCHAIN은 범위 내 각 요청에 대해 HTTP 요청 메서드, URL, 헤더, 본문 및 응답 데이터를 제공자의 API로 분석을 위해 전송합니다. 내장된 DataSanitizer(기본적으로 활성화됨)는 전송 전에 API 키, 자격 증명, 세션 토큰 및 기타 민감한 패턴을 삭제하지만 요청/응답 본문에서 모든 민감한 데이터의 제거를 보장할 수는 없습니다.

규제 데이터 제한

규제 데이터를 클라우드 AI 제공자에게 제출하지 마십시오. 여기에는 다음이 포함됩니다:

• PHI (HIPAA에 따른 보호 건강 정보)
• PCI DSS 카드 소유자 데이터 (신용 카드 번호, CVV 등)
• EU 개인 데이터 (GDPR 적용, Art. 13은 하위 처리자의 공개를 요구)
• CCPA 적용 개인 정보 (Cal. Civ. Code 1798.100 et seq.)

대상 애플리케이션이 위 데이터 범주 중 하나를 처리하는 경우 로컬 AI 제공자(Ollama)를 사용하거나 클라우드 제공자와 적절한 데이터 처리 계약이 있고 해당 데이터를 전송할 법적 권한이 있는지 확인해야 합니다.

텔레메트리 없음

SILENTCHAIN 자체는 사용 데이터, 텔레메트리 또는 분석을 수집, 저장 또는 전송하지 않습니다. 모든 데이터 흐름은 사용자의 Burp Suite 인스턴스와 선택한 AI 제공자 간의 직접적인 흐름입니다.

모범 사례

1. 민감하거나 규제된 환경에서는 Ollama를 사용 (100% 로컬, 비공개)
2. DataSanitizer 활성화 (기본적으로 켜져 있음) (클라우드 제공자 사용 시)
3. 사용 전에 AI 제공자의 데이터 보존 및 개인정보 보호 정책 검토
4. 승인 없이 프로덕션 시스템을 테스트하지 마십시오
5. 결과 및 로그를 외부에 공유하기 전에 삭제

💬 지원 및 커뮤니티

도움 받기

• 📚 문서: 문서
• 🐛 이슈: GitHub Issues
• ✉️ 이메일: [email protected]

업데이트 확인

• ⭐ 별표 저장소
• 👁️ 워치 업데이트
• 🐦 X (Twitter): @silentchainai

🙏 감사의 말

제작:

• @xer0dayz at @Sn1perSecurity LLC

다음을 사용하여 제작:

• PortSwigger의 Burp Suite
• 로컬 AI를 위한 Ollama
• GPT 모델을 위한 OpenAI
• Claude를 위한 Anthropic
• Gemini를 위한 Google

웹을 더 안전하게 만들기 위한 보안 커뮤니티의 헌신에서 영감을 받았습니다.

™️ 상표 고지

"SILENTCHAIN AI™", "SILENTCHAIN™" 및 SILENTCHAIN AI 로고는 SN1PERSECURITY LLC의 상표입니다. 무단 사용은 금지됩니다.

법적 고지

타사 상표 귀속에 대해서는 NOTICE를 참조하십시오.