公開範囲・対応範囲・Docker 起動方法を GitHub README で確認します。
exkururuIPROS NGIPS ガイド・マニュアル
公開版 exkururuIPROS の使い方を、GitHub README を基準に整理したガイドです。ダッシュボードの見方、アラートトリアージ、インシデントレスポンス、仮想コンソール演習を順番に確認できます。
GitHub 導線あり
README 連動
Docker 起動対応
SOC / XDR / EDR 連携
待機中
サプライチェーン攻撃を IPS ではどう追うか
`practical/` で見た「依存更新 -> 悪性コード混入 -> 外部送信」の流れを、ここでは検知側の目線に切り替えて見ます。IPS や監査ログは、ライブラリ名そのものを検知するよりも、「普段ない通信先」「不自然な依存更新の直後に始まる送信」「CI や本番サーバーからの異常リクエスト」を拾って止めます。
1. 更新直後を見る
lockfile の急変、install script、依存数の増加を先に確認します。
2. 外向き通信を見る
ビルド時や起動時に、普段使わないドメインへ通信していないかを確認します。
3. 認証情報の挙動を見る
CI トークン、環境変数、秘密鍵へのアクセスが急に増えていないかを追います。
4. 再発防止へつなぐ
依存削減、バージョン固定、CI ガード、SBOM まで戻して初めて封じ込め完了です。
公開版ガイドの入口
GitHub リポジトリ
公開版 NGIPS / NDR の本体。ソースと履歴の起点です。
README
公開範囲、起動方法、環境変数、Docker 手順を確認できます。
4-stack note
IPROS / SOC / XDR / EDR をまとめる 4 製品デモの見方です。
Docker compose
公開用のコンテナ起動定義。ローカル構築の入口です。
検知、トリアージ、WAF ログ、インシデント対応の流れを上から順にたどります。
SQLi、XSS、ブルートフォースなどのシナリオを step 実行で体験します。
SOC / XDR / EDR は連携先として扱い、公開版の主役は exkururuIPROS です。
細部や更新履歴は GitHub 側の README を基準に確認します。
公開版 exkururuIPROS NGIPS とは
▶ インターネット → exkururuIPROS NGIPS (検査・フィルタリング) → サーバー（アニメーション）
IPS (侵入防止システム)
ネットワークトラフィックをリアルタイム検査し、攻撃パターンを検知したらブロックする仕組みです。公開版 exkururuIPROS では、NGIPS/NDR の見せ方とダッシュボード操作を学べます。
WAF (Webアプリケーションファイアウォール)
HTTP/HTTPSリクエストを解析し、SQLインジェクション・XSS等のWebアプリ攻撃をブロックします。L7レイヤーでの防御。
EDR (エンドポイント検出・応答)
サーバー/端末上の不審なプロセスやファイル変更を検知。IPSがネットワーク層なら、EDRはホスト層の防御です。
SIEM (統合ログ管理)
複数のセキュリティ製品のログを集約・相関分析。「IPS検知+EDRアラート+認証失敗」を組み合わせた高精度検知が可能。
ダッシュボードの見方
▶ ダッシュボード モックアップ（アニメーション）
イベント一覧
検知されたセキュリティイベントのタイムライン。timestamp, source_ip, severity, action, statusカラムで構成。
使い方: 直近のアラートを時系列で確認し、急増していないかチェック。
KPIパネル
MTTD(検知平均時間)とMTTR(対応平均時間)を表示。目標値との乖離をゲージで可視化。
使い方: MTTDが長ければ検知ルールの感度不足、MTTRが長ければ対応フローの改善が必要。
シグナル分析
複数イベントの相関パターンを自動検出。単発では見えない攻撃キャンペーンを可視化。
使い方: 同一IPからの複数種攻撃や、横展開パターンを早期に把握。
WAFログ
HTTPリクエストの検査結果。ブロックした攻撃の種別、ソースIP、対象URLを表示。
使い方: 誤検知(False Positive)の確認とルール精度の評価に使用。
ポリシーバージョン
検知ルールのバージョン管理。いつ誰が何を変更したかを追跡。
使い方: ルール変更後にFP率が上がったら前バージョンにロールバック。
アラートのトリアージ方法
アラート受信
→
初期調査
→
分類
→
True Positive
→
対応実施
False Positiveの場合はルール精度を改善し、繰り返し発生しないようチューニングします。
Critical
即時対応必須。データ漏洩・権限奪取の可能性。
例: SQLi成功、管理者アカウント不正ログインHigh
1時間以内に対応。攻撃成功の可能性が高い。
例: ブルートフォース成功兆候、既知脆弱性スキャン検知Medium
営業時間内に確認。偵察行為の可能性。
例: ポートスキャン、ディレクトリトラバーサル試行Low
定期レビューで確認。情報収集段階。
例: User-Agent異常、過剰なCrawlerInfo
参考情報。直接の脅威なし。
例: 設定変更ログ、正常なスキャン結果トリアージアクション一覧
| アラート種別 | 確認手順 | 推奨アクション |
|---|---|---|
| SQLインジェクション | WAFログでペイロード確認、DBログで実行有無 | IPブロック、影響範囲調査、DBバックアップ確認 |
| ブルートフォース | 認証ログで失敗回数、成功有無を確認 | IPブロック、該当アカウントのパスワードリセット |
| XSS試行 | リクエストボディのペイロード確認 | WAFルール強化、アプリ側のサニタイズ確認 |
| パストラバーサル | アクセスログで../../パターン確認 | WAFブロック、Webサーバー設定でroot制限 |
| 異常トラフィック急増 | 送信元IP分布、リクエストパターン確認 | DDoS対策有効化、レートリミット強化 |
WAF設定とルール管理
▶ リクエスト → WAFルールチェーン フロー（アニメーション）
| ルール種別 | 検知パターン | アクション | 誤検知リスク |
|---|---|---|---|
| SQLインジェクション | UNION SELECT, OR 1=1, -- comment |
Block + Log | 検索フォームでSQL風文字列を入力した場合 |
| XSS (クロスサイトスクリプティング) | <script>, onerror=, javascript: |
Block + Log | HTMLコンテンツ入力が許可されたフォーム |
| パストラバーサル | ../, ..\, /etc/passwd |
Block | ファイルパスを含む正当なAPI |
| レートリミット | 同一IP 100req/min超過 |
429 + 一時ブロック | 正当なAPIクライアントの大量リクエスト |
| Bot検知 | User-Agent空、既知botシグネチャ |
Challenge / Block | 正当なスクレイピング・モニタリングツール |
インシデントレスポンス フェーズ
検知 (Detect)
アラート確認、初期分類、エスカレーション判断
ツール: kururuIPS ダッシュボード、メール/Slack通知封じ込め (Contain)
IPブロック、アカウント停止、影響範囲の隔離
ツール: WAFルール更新、EDRレスポンス、ネットワーク分離根絶 (Eradicate)
マルウェア除去、バックドア確認、脆弱性パッチ
ツール: EDRスキャン、セキュリティアップデート、設定レビュー復旧 (Recover)
サービス再開、バックアップからの復元、監視強化
ツール: ヘルスチェック、ログ監視、段階的復旧教訓 (Lessons)
インシデントレポート、再発防止策、ルール更新
ツール: ポストモーテム、ポリシーバージョン更新、チーム共有仮想コンソール演習
演習を選び、次のコマンド実行を押すと疑似ログが流れます。実際のインシデント対応の手順を体験できます。