脅威を先読み！エンジニアのためのfastfire/deepdarkCTI活用術と防御ブロックリスト作成


脅威を先読み！エンジニアのためのfastfire/deepdarkCTI活用術と防御ブロックリスト作成

fastfire/deepdarkCTI

2025-10-19

「fastfire/deepdarkCTI」という、ディープウェブやダークウェブから収集されたサイバー脅威インテリジェンス（CTI）のソース集をご紹介します。このリポジトリは、「秘伝のタレ」のような、セキュリティ対策に欠かせない、深みと風味のある情報源が詰まっています。

まるでコントのように、この「秘伝のタレ」をソフトウェア開発という料理にどう活かすか、エンジニアの視点から、分かりやすく丁寧にご説明しますね！

このCTIの「秘伝のタレ」は、単なる情報の羅列ではありません。開発するソフトウェアのセキュリティレベルを飛躍的に向上させるための貴重なリソースです。具体的には、以下のような点で役立ちます。

開発段階でのセキュリティ向上
攻撃者が現在どのような手法やツール（マルウェアのC2サーバーリスト、フィッシングサイトのドメインなど）を使っているかを知ることで、開発中のコードや使用ライブラリのセキュリティホールを先回りして潰せます。これは、リリース後の緊急対応コストを大幅に削減します。

依存関係の安全確保
利用しているサードパーティ製ライブラリやフレームワークが、ダークウェブ上で攻撃対象として話題になっていないか、既知の脆弱性が悪用されていないかを確認できます。

侵害の兆候の早期発見
開発・運用しているシステムのIPアドレスやドメインが、ダークウェブのリーク情報や監視リストに載っていないかをチェックする自動化プロセスを組み込むことで、侵害の初期段階をいち早く察知できます。

分析の質の向上
インシデント発生時、既知の攻撃グループの情報や、彼らが利用するインフラ情報をCTIソースから参照することで、攻撃の帰属（アトリビューション）や手法の特定が迅速になり、適切な封じ込め策を講じられます。

リアリティのある脅威モデリング
現実に進行している攻撃の傾向や、攻撃者が特に価値を置いている情報（認証情報、顧客データなど）を知ることで、より現実的で効果的な脅威モデリング（脅威分析）を実施できます。

「fastfire/deepdarkCTI」リポジトリ自体は、あくまで「情報源（CTIソース）のリスト」です。これを直接システムに組み込むというよりは、リストに記載された情報を取得・統合・利用するための仕組みを構築します。

まず、リポジトリをローカルに取得して、どのような情報源があるかを確認します。

# GitHubからリポジトリをクローン
git clone https://github.com/fastfire/deepdarkCTI.git

# 中身を確認
cd deepdarkCTI
ls
# READMEや様々なカテゴリ分けされたファイルがあるはずです

リストには非常に多くのソースが含まれていますが、すべてを使う必要はありません。ご自身の開発・運用環境に合わせて、「現在進行形で悪用されているC2サーバーのリスト」「最新のフィッシングドメインリスト」など、すぐに防御に役立つ情報を選びます。

多くの場合、これらのソースはJSON、CSV、テキストファイルなどの形式で公開されているため、プログラムで簡単に読み込み可能です。

選定したCTIソースを定期的に取得し、開発環境やセキュリティシステムで利用しやすい形式に加工する自動化スクリプト（パイプライン）を構築します。

取得
Pythonのrequestsライブラリなどで、各ソースのURLからデータをダウンロードします。

加工
取得したデータをパースし、必要な情報（IPアドレス、ドメイン、ハッシュ値など）だけを抽出します。

統合
抽出したデータを、ファイアウォール、IDS/IPS（不正侵入検知/防御システム）、SIEM（セキュリティ情報イベント管理）などのセキュリティ製品や、自作の防御システムが読み込める形式（例
ブロックリスト形式）に変換し、デプロイします。

ここでは、Pythonを使って、公開されているCTIフィード（例として、悪意のあるIPアドレスのリスト）を取得し、独自のブロックリストを作成する簡単な例を示します。

import requests
import re # 正規表現モジュール

# 秘伝のタレ（CTIソース）のURL例
# 実際には、fastfire/deepdarkCTIリポジトリにあるリストから選定します
CTI_FEED_URL = "https://raw.githubusercontent.com/some-cti-source/malicious-ips/main/ips.txt"

def fetch_and_process_cti():
    """CTIフィードを取得し、有効なIPアドレスのブロックリストを作成する関数"""
    print(f" CTIソース '{CTI_FEED_URL}' からデータを取得中...")
    
    try:
        response = requests.get(CTI_FEED_URL, timeout=15)
        response.raise_for_status() # HTTPエラーが発生した場合に例外を投げる
        
        # 取得したテキストデータを一行ずつ処理
        raw_ips = response.text.splitlines()
        
        # IPv4アドレスの正規表現パターン
        ipv4_pattern = re.compile(r"^\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}$")
        
        block_list = set() # 重複を防ぐためにset型を使用
        
        for line in raw_ips:
            # コメント行や空白行をスキップ
            if line.startswith('#') or not line.strip():
                continue
                
            # IPアドレスとして有効なものだけを抽出・追加
            if ipv4_pattern.match(line.strip()):
                block_list.add(line.strip())
                
        print(f" 処理完了！有効なIPアドレス {len(block_list)} 件を検出しました。")
        
        # ブロックリストをファイルに保存
        with open("security_block_list.txt", "w") as f:
            for ip in sorted(list(block_list)):
                f.write(f"{ip}\n")
                
        print(" 'security_block_list.txt' にブロックリストを保存しました。")
        print("次のステップ：このリストをファイアウォールやWAFに適用しましょう！")
        
    except requests.exceptions.RequestException as e:
        print(f" CTIフィードの取得中にエラーが発生しました: {e}")

if __name__ == "__main__":
    fetch_and_process_cti()

エンジニアA（開発担当）
「ふー、これで新機能もデプロイ完了！完璧だぜ！」

エンジニアB（セキュリティ担当、秘伝のタレの番人） 「ちょっと待った！その完璧な料理に、ウチの『秘伝のタレ』はかけたかい？」

エンジニアA
「秘伝のタレ？ああ、『fastfire/deepdarkCTI』のこと？ただのリストでしょ？」

エンジニアB
「ノンノン！これは今の世の悪意のあるIP、ドメイン、最新の攻撃手法が凝縮された『極上のタレ』なんだ。このタレをかければ、今日の攻撃者の狙いが分かるって寸法よ！」

エンジニアA
「なるほど...！じゃあ、このタレの成分（最新のマルウェアC2サーバーリスト）を、このPythonスクリプトで自動的に抽出して、うちのファイアウォールに毎日自動投入するってわけですね！？」

エンジニアB 「その通り！敵の動きを知り、先回りして防御する。それが、この『秘伝のタレ』の真骨頂さ！これで、リリース前に潜在的な脅威をブロックし、安心して眠れるんだよ、ハッハッハ！」


fastfire/deepdarkCTI