コンテンツにスキップ
1337skills 1337skills - チートシート

Allama セキュリティオートメーション

ビジュアルワークフロー ビルダー、80以上の統合、および自動脅威対応エージェントを備えたオープンソースAIセキュリティ オートメーションおよびSOARプラットフォーム。

インストール

Section titled “インストール”

クイックスタート（開発環境）

Section titled “クイックスタート（開発環境）”
# リポジトリをクローン
git clone https://github.com/digitranslab/allama.git
cd allama

# プロジェクトを初期化
make init

# 開発環境を開始
make dev

デモ環境

Section titled “デモ環境”
# ワンコマンドのデモ デプロイメント
./demo.sh

Docker Compose（本番環境）

Section titled “Docker Compose（本番環境）”
# 本番環境デプロイメント
docker-compose up -d

# 開発環境
docker-compose -f docker-compose.dev.yml up -d

# ローカル テスト
docker-compose -f docker-compose.local.yml up -d

# ログを表示
docker-compose logs -f

# すべてのサービスを停止
docker-compose down

システム要件

Section titled “システム要件”
要件最小
Python3.12+
Docker最新の安定版
RAM4 GB
ディスク容量10 GB

基本的なコマンド

Section titled “基本的なコマンド”
コマンド説明
make initプロジェクトを初期化し依存関係をインストール
make dev開発サーバーを開始
make testテストスイートを実行
make lintコード リントを実行
docker-compose up -d本番環境デプロイメントを開始
docker-compose downすべてのサービスを停止
docker-compose logs -fサービス ログをフォロー
./demo.shデモ環境を起動

テクノロジースタック

Section titled “テクノロジースタック”
コンポーネントテクノロジー
APIサーバーFastAPI（Python）
ワークフロー エンジンTemporal
AIエージェントPydanticAI + LiteLLM
データベースPostgreSQL
オブジェクト ストレージS3互換
スクリプト サンドボックスWebAssembly（Wasm）
フロントエンドReact

統合（80以上）

Section titled “統合（80以上）”

SIEM プラットフォーム

Section titled “SIEM プラットフォーム”
統合説明
Splunkログ取り込み、検索クエリ、アラート相関
Elastic SIEMElasticsearchクエリ、Kibana ダッシュボード
Datadogメトリクス、ログ、セキュリティ シグナル
Wazuhホストベース不正侵入検知、コンプライアンス
QRadarIBM セキュリティ インテリジェンス プラットフォーム
Microsoft SentinelクラウドネイティブSIEMおよびSOAR

EDR/XDR ソリューション

Section titled “EDR/XDR ソリューション”
統合説明
CrowdStrike Falconエンドポイント検出および対応
SentinelOne自律エンドポイント セキュリティ
Carbon BlackVMware エンドポイント保護
Microsoft Defenderエンドポイント及びアイデンティティ保護
Cortex XDRPalo Alto 拡張検出

アイデンティティプロバイダー

Section titled “アイデンティティプロバイダー”
統合説明
Oktaアイデンティティ及びアクセス管理
Microsoft Entra IDAzure Active Directory
Google Workspaceユーザーおよびデバイス管理
OneLoginシングル サインオンおよび ディレクトリ

チケッティング システム

Section titled “チケッティング システム”
統合説明
Jira問題追跡およびプロジェクト管理
ServiceNowIT サービス管理
PagerDutyインシデント管理およびアラート
Opsgenieアラート及びオンコール管理

コミュニケーション

Section titled “コミュニケーション”
統合説明
Slackチャネル通知及びボット コマンド
Microsoft Teamsアダプティブ カード及びウェブフック
Email（SMTP）アラート通知及びレポート
Telegramボットベース通知

脅威インテリジェンス

Section titled “脅威インテリジェンス”
統合説明
VirusTotalファイル及びURL分析
AbuseIPDBIP評判チェック
Shodanインターネット接続資産発見
AlienVault OTXオープン脅威交換フィード
MISP脅威インテリジェンス共有

クラウド プラットフォーム

Section titled “クラウド プラットフォーム”
統合説明
AWSCloudTrail、GuardDuty、Security Hub
AzureSentinel、Defender、Activity Logs
GCPSecurity Command Center、Cloud Audit

ワークフロー ビルダー

Section titled “ワークフロー ビルダー”

ワークフロー コンポーネント

Section titled “ワークフロー コンポーネント”
コンポーネント説明
Triggerワークフローを開始するイベント（ウェブフック、スケジュール、アラート）
Action統合呼び出し（SIEM クエリ、IP ブロック、チケット作成）
Conditionデータ値に基づくif/else分岐
Loopリスト上の反復（IPアドレス、ユーザー、アラート）
Parallel複数のブランチを同時に実行
Delay続行前に指定された期間待機
ScriptWebAssembly サンドボックス内のカスタムPythonコード
AI AgentLLMを搭載した意思決定及び分析

Trigger タイプ

Section titled “Trigger タイプ”
Trigger説明
Webhook外部イベント取り込み用のHTTPエンドポイント
ScheduleCronベースの定期実行
AlertSIEM/EDRアラート相関
ManualUIからのオンデマンド実行
Emailインバウンド メール解析

AIエージェント構成

Section titled “AIエージェント構成”

サポート対象LLMプロバイダー

Section titled “サポート対象LLMプロバイダー”
プロバイダー構成
OpenAIAPIキー+モデル選択（GPT-4、GPT-4o）
AnthropicAPIキー+モデル選択（Claude Sonnet、Opus）
Azure OpenAIエンドポイント+デプロイメント名
Ollama自ホスト、ローカル エンドポイント（llama3、mistral）
Google GeminiAPIキー+モデル選択

エージェント機能

Section titled “エージェント機能”
機能説明
脅威分析侵害の指標とアラート コンテキストを分析
意思決定重大度とコンテキストに基づいて対応アクションを決定
拡張複数のインテリジェンス ソース全体でデータを相関
要約人間のレビュー用のインシデント要約を生成
プレイブック選択アラート タイプに基づいて適切な対応ワークフローを選択

ケース管理

Section titled “ケース管理”
機能説明
カスタムフィールドケース固有のメタデータ フィールドを定義
タスク割り当てチームメンバーに調査タスクを割り当て
添付ファイル証拠ファイルとスクリーンショットをアップロード
監査証跡ケースアクションと変更の完全な履歴
SLA追跡応答及び解決時間の目標を監視
エスカレーション ルール重大度と時間の閾値に基づいて自動エスカレーション

セキュリティ機能

Section titled “セキュリティ機能”
機能説明
認証Basic、Google OAuth、SAML 2.0（Okta、Entra ID）
認可ロールベース アクセス制御（RBAC）
ワークスペース分離マルチテナント ワークスペース分離
シークレット暗号化自動注入を備えたAES-256暗号化
監査ログ完全なアクセス及び実行履歴
スクリプト サンドボックスネットワーク制限を伴うWebAssembly分離
リソース制限スクリプト実行用のCPU及びメモリ制約

一般的なワークフロー パターン

Section titled “一般的なワークフロー パターン”

フィッシングメール トリアージ

Section titled “フィッシングメール トリアージ”
Trigger: メール受信 →
  AI Agent: ヘッダ及びコンテンツを分析 →
  Condition: 悪意あり？ →
    Yes: 送信者をブロック + チケット作成 + SOC に通知
    No: ログして閉じる

不審なログイン対応

Section titled “不審なログイン対応”
Trigger: SIEM アラート（不可能な移動） →
  Enrichment: ユーザー履歴 + Geo IP を確認 →
  AI Agent: リスク レベルを評価 →
  Condition: 高リスク？ →
    Yes: アカウント無効化 + オンコール呼び出し + ケース作成
    No: ウォッチリストに追加 + イベント をログ

マルウェア検出対応

Section titled “マルウェア検出対応”
Trigger: EDR アラート（マルウェア検出） →
  Action: エンドポイント を隔離 →
  Enrichment: VirusTotal ハッシュ ルックアップ →
  Action: Jira チケット を作成 →
  Action: Slack チャネル に通知 →
  AI Agent: インシデント要約を生成

API エンドポイント

Section titled “API エンドポイント”
エンドポイントメソッド説明
/api/v1/workflowsGETすべてのワークフローをリスト
/api/v1/workflowsPOST新しいワークフローを作成
/api/v1/workflows/{id}/runPOSTワークフローを実行
/api/v1/casesGETケースをリスト
/api/v1/casesPOST新しいケースを作成
/api/v1/integrationsGET構成済み統合をリスト
/api/v1/agentsGETAIエージェントをリスト
/api/v1/webhooksPOST外部イベントを受信

ベストプラクティス

Section titled “ベストプラクティス”
  • カスタムワークフローを構築する前に事前構築ワークフロー テンプレートで開始
  • 最初は AI エージェントを「監督」モードで使用 — 自動対応を有効にする前に判断を確認
  • 本番ワークフロー変更を制限するロールベース アクセスを構成
  • 本番環境にデプロイする前に開発環境でワークフローをテスト
  • 組み込みの暗号化シークレット マネージャーを使用してシークレットを保存、環境変数ではなく
  • コンプライアンス要件（SOC 2、ISO 27001）用にSLAトラッキングをセットアップ
  • 拡張クエリを高速化するために並列実行分岐を使用
  • すべてのワークフロー実行について監査ログを有効化