Nebulock-Inc/agentic-threat-hunting-framework

Agentic Threat Hunting Framework (ATHF)

概要 – セキュリティチームの脅威ハンティングワークフローにメモリ、構造、AI 対応コンテキストを追加する、Python ベースの Markdown 駆動フレームワークです。検知自体は行いません。代わりに、軽量な LOCK パターン（Learn → Observe → Check → Keep）を使用して各ハントを記録し、検索可能なリポジトリに保存し、CLI コマンドとオプションの MCP サーバーを公開して、AI アシスタント（Claude、Copilot、Cursor など）がその知識を読み取って活用できるようにします。

主要コンポーネント

• LOCK パターン – 各ハントが Markdown ファイルとして書き込まれる 4 ステップのテンプレート。これにより、人間と LLM の両方がハントを簡単に解析できます。
• GATES メソッド – 完了したハントをスコアリングし、結果の検知を昇格、保留、時間制限付きなどにするかを決定する検証スキル。このスキルはチャットスタイルのコマンド（/gates --hunt H-0001）で呼び出されます。
• CLI（athf） – ワークスペースの初期化、研究ノートの作成、新しいハントの開始、ハントの一覧表示/検索、検証の実行、MITRE ATT&CK メタデータの取得を行うコマンド。オプションの追加機能により、ATT&CK データ（[attack]）または MCP サーバー（[mcp]）用の追加依存関係がインストールされます。
• MCP サーバー – LLM 搭載のコーディングアシスタントがエディタを離れることなく ATHF 関数（検索、仮説生成など）を呼び出せるようにするローカルマイクロサービス。
• 成熟度モデル – チームが ATHF の使用でどの程度進んでいるかを示す 5 つのレベル（0 = アドホック、4 = 完全自律エージェント）。

対象読者 – すでにハンティング方法論（例：PEAK、TaHiTI）を持ち、その作業を軽量にキャプチャ、検索、再利用したいセキュリティオペレーションまたは脅威ハンティングチーム。特に LLM ベースのアシスタントを関与させる予定がある場合に適しています。

使用方法

1. pip install agentic-threat-hunting-framework を実行し、athf init でワークスペースを作成します。
2. athf research new … を実行して Markdown 研究ノートを生成します（オプションで LLM を使用）。
3. athf hunt new … でハントを作成し、LOCK セクションを記入します。
4. ハントが完了したら、GATES スキル（/gates --hunt H-XXXX）を呼び出して昇格判定を取得します。
5. オプションで、GATES 出力を関連する検知エンジニアリングフレームワーク（ADEF）にフィードして、本番ルールを構築します。

重要性 – 各ハントを一貫した機械可読形式で永続化することで、ATHF は知識の喪失を防ぎ、セマンティック検索を可能にし、LLM アシスタントが毎回ゼロから始めるのではなく、チーム自身の履歴に基づいてクエリや仮説を提案できるようにします。

制限事項 – ATHF には独自の検知エンジン、データ収集、SIEM 統合は含まれていません。組織の既存ツールと、生成機能を提供する外部 LLM アシスタントに依存します。

---

クイックスタートスニペット

pip install agentic-threat-hunting-framework
athf init               # ワークスペースをセットアップ
athf research new --topic "LSASS dumping" --technique T1003.001
athf hunt new --technique T1003.001 --title "LSASS Credential Dumping" --research R-0001
/gates --hunt H-0001    # AI スキルにハントをスコアリングさせる

---

詳細情報 – リポジトリには、LOCK パターン、GATES メソッド、MCP 統合、成熟度モデルガイドに関する詳細なドキュメントと、サンプルハントのショーケースが含まれています。