hevnsnt/CVEngine

CVEngine とは？

CVEngine は、無料のオープンソースツールで、インターネットに公開されたシステム（Web サイト、サーバー、IP）を継続的に監視し、現在悪用されているセキュリティ脆弱性のうち、実際に影響を受けるものを通知します。通常は別々の 3 つの要素（資産発見（所有物の特定）、脆弱性スキャン（弱点のチェック）、脅威インテリジェンス（既知のエクスプロイトの追跡））を組み合わせます。アラートを大量に送るのではなく、判定を提供します：「この CVE はこのホストでアクティブであり、証拠はこちらです。」

自己ホスト型です。つまり、自分のサーバーで実行し、データは自分の手元に残ります。AI キーを持ち込む（またはローカルモデルを実行する）ことで発見のトリアージを支援できますが、コアスキャンは AI なしで動作します。

機能

1. 資産の発見 — ドメイン名、IP、または CIDR 範囲を指定します。サブドメイン、ホスト、オープンポート、サービス、バージョン、TLS 証明書、テクノロジーを自動的に見つけます。このインベントリを最新の状態に保ちます。

2. CVE を環境にマッチング — ライブ CVE フィード（CISA KEV、Exploit-DB、Metasploit など）を取得し、各 CVE を fire（積極的に悪用）、smoke（悪用の可能性が高い）、ice（緊急度が低い）と評価します。次に、これらの CVE をホストで見つかった正確な製品とバージョン（Linux ディストリビューションのバックポートを含む）と照合します。

3. 安全な読み取り専用チェックで検証 — 各マッチについて、非破壊的なテスト（特定の nmap プローブや検証済みの nuclei テンプレートなど）を実行して、脆弱性が本物であることを確認します。実行した正確なコマンドを記録します。テストが存在しない場合、AI がドラフトを作成できますが、人間が承認するまでホスト上で実行されることはありません。

4. 優先順位付けと説明 — 各ホストは、理由付きの 0〜100 のリスクスコアを取得します。AI はすべての発見を confirmed、likely、needs validation、likely false positive、not applicable などのカテゴリにトリアージします。各判定の背後にある証拠を確認できます。

5. 時間の経過に伴う変更の追跡 — 新しいホスト、オープンポート、バージョン変更、新しい証明書、変更された Web ページが、サイドバイサイドのスクリーンショット差分とともにタイムラインに表示されます。

仕組み

ターゲット（ドメイン、IP、CIDR、URL）を追加します。CVEngine はパイプラインを実行します：

• FIND — bbot を使用してサブドメイン/資産発見を行い、nmap と naabu を使用してポートとサービスをマッピングします。
• PROBE — 公開されたデータベース（Redis、PostgreSQL など）をチェックし、スクリーンショットを撮り、Web ルートチェックを実行し、オプションで WordPress をスキャンします。
• MATCH — CVE をインベントリと関連付け、ターゲットを絞った nuclei スキャンを実行します。
• DECIDE — AI が発見をトリアージして検証し、ダッシュボード、API、アラートに出力します。

一方、CVE フィードは独自のスケジュールで実行され、新しい CVE を評価し、インベントリと照合します。

主な機能

• Shodan スタイルの検索 — port:3389 -host:vpn や tech:"apache tomcat" sev:high のようにインベントリをクエリします。
• メールとドメインの衛生 — SPF、DKIM、DMARC、DNSSEC、TLS などをチェックします。
• バグバウンティワークベンチ — HackerOne、Bugcrowd などを閲覧し、スコープ内の資産のみをスキャンします（デフォルトでオフ）。
• チームとエージェントのサポート — 組織、プロジェクト、ロール、監査ログ、REST API、MCP サーバー、OpenAPI 仕様。
• アラート — Slack、Discord、Telegram、または Lark 通知。
• 独自の AI を持ち込む — Anthropic、OpenAI、OpenRouter、Ollama、または vLLM。AI がなくても、発見、スキャン、検証は可能です。

安全設計

• 読み取り専用チェックのみ。パスワードリストは試行されません。
• ループバック、リンクローカル、またはクラウドメタデータアドレスをスキャンしません。プライベート範囲は許可するまでオフです。
• インジェクション試行をブロックし、繰り返し攻撃後にアカウントを無効化します。
• プロジェクトごとのデータ分離、暗号化されたシークレット、2 段階サインイン、IP 許可リスト、監査ログ。

はじめに

Linux サーバー（Debian/Ubuntu が最も簡単、4〜8 GB RAM、20 GB ディスク）で：

git clone https://github.com/hevnsnt/CVEngine.git
cd CVEngine
sudo ./install.sh

インストーラーがすべてを生成し、HTTPS 証明書を作成し、アドレス、ユーザー名、ワンタイムパスワードを出力します。初回ログイン時に自分のパスワードを設定します。セットアップウィザードが、組織の作成、ターゲットの追加（テストする権限があることを確認する必要があります）、オプションで AI モデルの接続をガイドします。

ライセンスとクレジット

GPL-3.0。reNgine 2.x のフォークであり、多くのオープンソースツール（nmap、nuclei、bbot など）に基づいています。完全なクレジットは THIRD-PARTY.md にあります。

---

要点： CVEngine は、自己ホスト型で無料の攻撃面管理プラットフォームであり、インターネットに公開された資産を見つけ、既知の悪用された CVE と照合し、安全なチェックで検証し、修正すべき優先度付きの証拠に基づくリストを提供します。資産ごとの料金やデータの外部送信はありません。