脅威 — IDS 脅威トリアージ

概要 — 何をする画面か

セキュリティ ▸ 脅威（/security/threats）は、Suricata IDS の警報テーブル suricata_alert_ct を、トリアージ向けの 送信元 IP（src_ip）エンティティ ビューに組み替えます。数千件の生の警報を羅列する代わりに、「誰（どの IP）が、どれだけ激しく、どのように攻撃してきたか」にまとめ、深刻度順に並べます。

1画面で次の3つを結び付けます。

1. 脅威エンティティのトリアージ — src_ip ごとに1枚のカードで、警報件数・最高深刻度・シグネチャの種類数・最終観測時刻をまとめます。
2. 自動対応（ブロック）連携 — 各脅威 IP の /24 を自動防御テーブル blacklist_info と突き合わせ、ブロック済み / 検知済み のバッジを付けます。検知と対応が1つの物語として読めます。
3. シグネチャ解説（Signature Lore） — Suricata のシグネチャ文字列の多くは、コンテンツルールではなく読み解きにくいエンジンイベント（stream / decoder / app-layer イベント）です。この画面は、各シグネチャが実際に何を示唆しているか（何を検知したか・なぜ発火したか [benign→malicious]・注意すべき状況・最悪のシナリオ）を解説パネルで語ります。

すべて 読み取り専用 です。状態を変える操作は、脅威 IP を ブロックリスト へ送るディープリンクだけで、実際のブロック書き込みは別の権限のもとでそちら側で行われます。

こんなときに使う

• 朝のトリアージ：直近24時間で最も多く攻撃してきた IP とその深刻度をざっと確認する。
• 特定の IP が本物の脅威かノイズかを判断する — 解説の [benign/watch/malicious] のトーンと自動ブロックバッジで素早く分類できます。
• 「このシグネチャは結局どういう意味なのか」をチームメンバーに説明する — 解説パネルは教育資料としても使えます。
• 脅威 IP を調査したあと、ブロック候補に昇格させる（→ ブロックリスト ディープリンク、→ IP 評判 ポップアップ）。

画面構成

上部 KPI（対象期間のスコープ）

脅威エンティティのカード／行

警報件数の降順で上位48件の src_ip を表示します。各エンティティが持つ項目は次のとおりです。

自社ネットワークは除外されます。 SecurityScope::excludePrefixes() が、登録済み インスタンス の IP の /24（および 運用ポリシー の内部ネットワークホワイトリスト）を NOT LIKE で除外するため、自社サーバーが送信元として現れて脅威リストを埋め尽くすことはありません。方向ラベルの都合で内部 IP がそれでも表示された場合は、（internalMatchers による）internal バッジ が付き、評判照会ボタンは非表示になります。

深刻度分布 · カテゴリ · シグネチャ

• 深刻度分布：{1: n, 2: n, 3: n} — クリティカル／警告／情報の警報件数。
• カテゴリ：上位10カテゴリ（件数の降順）と、それぞれの最小深刻度。
• シグネチャ：上位12シグネチャ（件数の降順）。各項目は signature · sid · cnt · sev（最小値）に加えて explain（SignatureLore の分類結果）を持ちます。シグネチャをクリックすると、隣に解説パネルが開きます。

シグネチャ解説パネル

App\Support\SignatureLore::classify() がシグネチャ文字列を ファミリー と 詳細キー に分類し、実際の文章は resources/lang/{ko,en}/siglore.php の言語パックが持ちます。フロントエンドは family と key を結合し（詳細がファミリーを上書きします）、4部構成の解説として描画します。

各ファミリーは 暗示する深刻度（tone） を持ちます — 情報レベルのイベントであっても、示唆する内容は異なります。

詳細キーによる上書きは14種類あります：invalid_timestamp · checksum · retransmit · handshake · evasion · stateanomaly · host_header · desync · malformed · one_direction · mismatch · starttls · tls_anomaly · unsolicited。

stream／decoder 系のシグネチャの多く（例：SURICATA STREAM Packet with invalid timestamp、SURICATA TCPv4 invalid checksum）は sev3 の情報レベル であり、非対称ルーティングや NIC のチェックサムオフロードといったインフラ特性から 大量に 発火します — 無害なノイズです。シグネチャそのものよりも、同じ src_ip が短時間に複数のファミリーを積み重ねているか（スキャン＋ハンドシェイク異常など）に注目してください。その積み重なりこそが意図のシグナルです。

使い方

1) 期間を選ぶ

既定の対象期間は 24時間 です。指定できる期間は次のとおりです。

トグルは ?range= として渡されます。ホワイトリストにない値は 24h に格下げされます。

2) 脅威 IP をトリアージする

1. 深刻度が最も高い（sev=1 クリティカル）エンティティと、警報件数の多いものから着手します。
2. ブロック済み バッジは自動防御がすでに対応済みであることを意味します。block_source でどのエンジンがブロックしたかを確認してください。
3. 未ブロック＋高い深刻度＋多数のシグネチャ が、調査・ブロックの最有力候補です。

3) IP ドリルダウン（セキュリティ専用ポップオーバー）

IP をクリックすると GET /security/threats/ip-detail?ip=<IP>&range=<range> を呼び出します。IP は FILTER_VALIDATE_IP で厳密に検証され、不正な値は 422（invalid_ip）を返します。返却されるフィールドは次のとおりです。

{
  "ok": true,
  "detail": {
    "ip": "203.0.113.10",
    "cidr": "203.0.113.0/24",
    "geo": { "country": "US", "city": null, "asn": "ASNNNNN", "isp": "...", "org": "..." },
    "signatures": [
      { "signature": "...", "severity": 3, "cnt": 42, "explain": { "family": "stream", "key": "invalid_timestamp", "tone": "warn", "icon": "mdi-...", "svg": "stream" } }
    ],
    "blocked": true,
    "block_source": "suricata",
    "block_reason": "[Suricata Auto-Block] ...",
    "block_at": "2026-08-13 04:12:00",
    "abuse_url": "https://www.abuseipdb.com/check/203.0.113.10"
  }
}

• geo/ASN：ip_info_loop による情報付加。
• signatures：この IP の上位8シグネチャ（件数の降順）と、それぞれの explain 解説。
• ブロック状態：blacklist_info（c_class、is_use=1）との /24 一致 → ソースタグ · 生の reason · ブロック時刻。

4) 評判を確認する · ブロックへ昇格させる

• IP の隣にあるシンボル（.infr-ipsym）をクリック → IP 評判 の AbuseIPDB アプリ内ポップアップ（mixins/abuse_check.js ＋ /security/ip-reputation）。悪用信頼度・通報件数・国・用途種別・直近の通報内容を表示します。
• 調査後にブロックすると判断したら → ?add=<IP> 付きで ブロックリスト へディープリンク（挿入時に /24 へ正規化され、別権限・監査のもとで実行されます）。

データソース

すべてのソースは legacy_glory 接続上にあり（コレクター群が書き込む接頭辞なしのレガシーテーブル）、読み取り専用 です。読み取りの背骨は App\Repositories\SecurityRepository です（パラメータバインディング · 狭い期間 · LIMIT）。コントローラーやサービスがこれらのテーブルを作成・変更することはありません。

キャッシュ · 更新

• ThreatService::build() の結果は期間ごとに 30秒キャッシュ されます（キー infr:sec:th:<range>）。
• 画面は 30秒ポーリング（/security/threats/live）で更新されます — Reverb ではありません。
• 最高深刻度は MIN(severity) で求めるため、sev の値が 小さい ほど危険です（1=クリティカル、3=情報）。

アクセス権限

• /security/* 配下はすべて infr.level:2 ミドルウェアで保護されています。デモ（1）はセキュリティデータへのアクセスを制限されています（RBAC レベル）。
• 脅威画面そのものは すべて GET（読み取り専用） のため、監査書き込みの対象ではありません。ブロックの書き込みや悪用通報といった破壊的・外部向けの操作は、それぞれ ブロックリスト と国際連携のフローで、独自の権限と監査のもとで実行されます。

トラブルシューティングと FAQ

Q. invalid timestamp / invalid checksum ばかりです。これは攻撃ですか？ たいていは違います。invalid checksum は NIC のチェックサムオフロードにより自社サーバーのトラフィックで大量に発火し、invalid timestamp は非対称ルーティングやミドルボックスによって発火します。どちらも sev3 の無害なノイズ です — 解説の [benign] の項目がまさにこれを説明しています。特定の外部 src_ip に集中し、かつ他のシグナル（スキャン · ハンドシェイク異常）も重なっている場合にのみ疑ってください。

Q. なぜ深刻度1が最も危険なのですか？ Suricata の慣習では severity 1=高、2=中、3=情報です。そのためエンティティの最大リスクは MIN(severity) で計算します。

Q. 自社サーバーの IP が脅威リストに出てきます。 SecurityScope は登録済みインスタンスの /24 と内部ホワイトリストを除外しますが、未登録の IP や方向（src/dst）ラベルの都合で現れることがあります。その IP を インスタンス に登録するか、運用ポリシー でその範囲を追加してください。それでも表示される場合は internal バッジが付きます。

Q. IP ドリルダウンが 422 を返します。 ip パラメータが有効な IP ではありません（invalid_ip）。実在する IPv4／IPv6 の値かどうか確認してください。

Q. 解説が「その他の IDS シグネチャ」しか表示しません。 SignatureLore::match() のどのキーワード規則にも一致しないシグネチャは generic ファミリーにフォールバックします。カテゴリとシグネチャ名から判断し、必要であれば siglore.php に詳細キーを追加してください。

Q. リストが30秒間変わりません。 仕様どおりです。サービスは期間ごとの30秒キャッシュに加えて30秒ポーリングを使います。すぐに最新値が必要な場合は、キャッシュの期限切れ後に再読み込みしてください（再計算が強制されます）。

関連項目

• セキュリティ概要 — 脅威→検知→対応の防御ファネル（中核画面）
• 検知と JA3 — Kitsune ML · srct ヒューリスティック · JA3 シーケンス異常
• ルールセット — 44ルールセットの検知カタログ正本
• ブロックリストと評判 — 自動ブロックの閲覧／追加／解除（blacklist_info）
• IP 評判 — AbuseIPDB のアプリ内評判ポップアップ
• ホワイトリスト — ブロック免除の IP／CIDR