Kurahi 2.4.0

English: Kurahi 2.4.0

Kurahi 2.4.0 では、Kurahi Core に Kurahi Guardian が加わり、すべてのエディションで使えるようになりました。実績のあるエンジンと決定的な検査が問題を見つけ、エージェントが日本語または英語で説明し、すべての検知が署名付きの証跡を持つインシデント案件になります。対応を決めるのは人です。Kurahi は KODA SōKEN チームが開発しています。変更の一覧は変更履歴をご覧ください。

2.4.0 でできること：

社内の共有フォルダをランサムウェアから守る。 2.0 から Kurahi 自身のフォルダを守ってきたシールドが、指定した共有フォルダも監視します。作動するとすべてのエージェントを停止し、案件を作成します。
共有フォルダを毎晩検査する。 ClamAV・Microsoft Defender・YARA による差分検査。感染ファイルはハッシュ付きの隔離コピーとして保管し、Kurahi がファイルを削除することはありません。
バックアップが復元できることを確かめる。 バックアップの経過時間と実際の復元テストに加え、ファイルに残った鍵やパスワード、想定外の待ち受けポート、Kurahi 自身の完全性、期限切れ間近のサインインを毎晩点検します。
すべての検知を案件として扱う。 情報セキュリティ担当が 4 時間以内に確認し、緊急のものは経営層へ。人が確認するまで「駆除済み」「復旧済み」とは書けません。
SIEM への連携と国内の注意喚起。 syslog（RFC 5424 または CEF）での送信、自社製品と照合した JPCERT/CC・IPA の注意喚起、Microsoft Defender のアラート。

設定と詳細は Kurahi Guardian をご覧ください。

新機能

Kurahi Guardian

設定の guardian：shares、scan（エンジン、上限、YARA ルール、隔離）、posture（バックアップ、鍵の検査対象、許可ポート、期限の警告日数）、siem、advisories。パスはすべて絶対パスです。
検査 guardian_backup、guardian_restore_test、guardian_secrets、guardian_ports、 guardian_integrity、guardian_credentials、guardian_scan。未設定、Guardian の無効化、タイムアウト、読めない結果は ESCALATE であり、OK にはなりません。
セキュリティ — Kurahi Guardian パック（core-guardian）：セキュリティインシデントのキュー、証跡と記載のチェック、重大度に応じた承認ルート、夜間ルーチン guardian-posture と guardian-shares（L1）。要確認となった検査を案件が取り上げていない場合は、Kurahi が起票します。
ツール guardian_advisories（JPCERT/CC・IPA）と m365_security_alerts（Microsoft 365 コネクタのオプション security.alerts、読み取りのみ）。

オートパイロット

オートパイロットが起票する案件は、優先度を source.fields に持ち、承認ルートで使えます。
検査結果は事実ごとに 1 行で出力され、ファイル名によって判定行を偽装することはできません。

Kurahi Desktop

Desktop 0.5.0 は変更なしで 2.4.0 に対応します。インストーラーはこのリリースに添付しています。

2.3.0 からのアップグレード

kurahi update（または --version 2.4.0 を付けた install.sh / install.ps1）で通常どおりインストールできます。アップデートをご覧ください。2.3.0 の設定はそのまま読み込まれ、guardian を設定するまで Guardian は何もしません。Defender のアラートを使うには、 Microsoft 365 コネクタで security.alerts を有効にしてください（権限 SecurityAlert.Read.All を要求します）。

ロールバック

install.sh --version 2.3.0（Windows：install.ps1 -Version 2.3.0）で 2.3.0 に戻せます。アップデートをご覧ください。2.3.0 を起動する前に：

設定ファイルから guardian を削除 してください。2.3.0 は知らない項目を受け付けません。
core-guardian パックから作成したプロジェクトを一時停止してください。2.3.0 は guardian_* の検査を知らず、そのルーチンファイルを拒否します。作成済みの案件はキューに残ります。
Microsoft 365 コネクタの security.alerts を無効にしてください。

注意事項

Guardian は EDR を補完するもので、EDR や認定ウイルス対策製品ではありません。
Kurahi はセルフホスト型です。お客様のサーバーと、お客様が選ぶモデル提供者は Kurahi とは別です。
すべての配布物のチェックサムは SHA256SUMS.txt と SHA256SUMS-desktop.txt にあります。