ツール・リソース

# 基本的なSPL クエリ例（Splunk検索バーに入力）
index=main sourcetype=access_log status=404 | stats count by clientip | sort -count

# SSHブルートフォースの検出
index=linux_secure "Failed password" | rex "from (?P<src_ip>\d+\.\d+\.\d+\.\d+)" \
| stats count by src_ip | where count > 10

# タイムチャートでのトラフィック可視化
index=network | timechart span=5m count by action

# EQL で不審なPowerShellを検出
process where process.name == "powershell.exe" and \
  process.args : ("*-enc*", "*-EncodedCommand*", "*bypass*")

# KQL クエリ例（Kibana Discover に入力）
event.category: "process" and process.name: "cmd.exe" and user.name: "SYSTEM"

# Filebeat でNginxログを取り込む設定（filebeat.yml）
# filebeat.inputs:
#   - type: filestream
#     paths: ["/var/log/nginx/access.log"]

# Docker Compose で一括インストール（推奨）
git clone https://github.com/wazuh/wazuh-docker.git
cd wazuh-docker/single-node
docker compose up -d

# エージェントのインストール（Debian/Ubuntu）
curl -so wazuh-agent.deb https://packages.wazuh.com/4.x/apt/pool/main/w/wazuh-agent/...
sudo WAZUH_MANAGER="manager_ip" dpkg -i wazuh-agent.deb
sudo systemctl start wazuh-agent

# ルールファイルの確認
sudo cat /var/ossec/ruleset/rules/0015-ossec_rules.xml | head -50

# IDSモードで起動（アラートをコンソールに出力）
sudo snort -c /etc/snort/snort.conf -i eth0 -A console

# パケットのログ取得モード（pcap形式で保存）
sudo snort -c /etc/snort/snort.conf -i eth0 -l /var/log/snort/

# pcapファイルをオフライン解析
sudo snort -c /etc/snort/snort.conf -r capture.pcap -A console

# カスタムルールのテスト
sudo snort -c /etc/snort/snort.conf -T  # 設定検証

# Docker Compose でインストール（推奨）
docker compose -f docker-compose.yml -p greenbone-community-edition up -d

# 初回フィード更新（数分〜数時間かかる）
docker compose -p greenbone-community-edition \
  exec -u gvmd gvmd gvmd --rebuild --progress

# GVM CLIでスキャン実行
gvm-cli --gmp-username admin --gmp-password admin socket --xml \
  "<create_task><name>Quick Scan</name>...</create_task>"

# ローカル実行モード（単一エンドポイント調査）
velociraptor gui

# VQL クエリの直接実行
velociraptor query "SELECT * FROM pslist()"

# 実行中プロセスのネットワーク接続を確認
velociraptor query "SELECT Pid, Name, Laddr, Raddr FROM netstat()"

# サーバーの起動（設定ファイル生成後）
velociraptor config generate -i
velociraptor --config server.config.yaml frontend -v