WazuhとClaude Codeを繋いだら、CVE調査と修正提案が自動化できた【自宅ラボ セキュリティ実録 #3】

# JWTトークン取得（RasPi5でWazuh Manager稼働中）
TOKEN=$(curl -s -X POST \
  "https://localhost:55000/security/user/authenticate?raw=true" \
  -u admin:PASSWORD -k)
echo $TOKEN

# エージェント一覧確認
curl -s -X GET "https://localhost:55000/agents" \
  -H "Authorization: Bearer $TOKEN" -k \
  | jq '.data.affected_items[] | {id, name, ip}'

# エージェント008（WorkStation）のCritical脆弱性を取得
curl -s -X GET \
  "https://localhost:55000/vulnerability/008?severity=Critical&limit=100&offset=0" \
  -H "Authorization: Bearer $TOKEN" -k | jq .

// wazuh-states-vulnerabilities-raspi5 から取得（上位5件、CVSSスコア降順）
{
  "data": {
    "affected_items": [
      {
        "cve": "CVE-2025-25467",
        "name": "libavformat60",
        "version": "7:6.1.1-3ubuntu5+esm7",
        "severity": "Critical",
        "cvss3_score": 9.8,
        "title": "libx264 memory tracking vulnerability — arbitrary code execution via crafted AAC file"
      },
      {
        "cve": "CVE-2023-3326",
        "name": "libnss-sss",
        "version": "2.9.4-1.1ubuntu6.3",
        "severity": "Critical",
        "cvss3_score": 9.8,
        "title": "pam_krb5 KDC response validation bypass — authentication bypass for any user"
      },
      {
        "cve": "CVE-2023-3326",
        "name": "sssd-krb5",
        "version": "2.9.4-1.1ubuntu6.3",
        "severity": "Critical",
        "cvss3_score": 9.8,
        "title": "同上（sssd-krb5パッケージ）"
      },
      {
        "cve": "CVE-2025-25467",
        "name": "libx264-164",
        "version": "2:0.164.3108+git31e19f9-1",
        "severity": "Critical",
        "cvss3_score": 9.8,
        "title": "libx264 memory tracking vulnerability（本体）"
      },
      {
        "cve": "CVE-2025-25467",
        "name": "libavutil58",
        "version": "7:6.1.1-3ubuntu5+esm7",
        "severity": "Critical",
        "cvss3_score": 9.8,
        "title": "libx264 memory tracking vulnerability（libavutil58）"
      }
    ],
    "total_affected_items": 152
  }
}

curl -s -X GET 'https://localhost:9200/wazuh-states-vulnerabilities-raspi5/_search' \
  -u admin:PASSWORD -k \
  -H 'Content-Type: application/json' \
  -d '{
    "size": 5,
    "query": {"term": {"vulnerability.severity": "Critical"}},
    "sort": [{"vulnerability.score.base": {"order": "desc"}}],
    "_source": ["vulnerability.id", "package.name", "package.version",
                "vulnerability.score.base", "vulnerability.description"]
  }'

#!/bin/bash
# fetch-wazuh-cves.sh
# WazuhからCritical CVEリストを取得してJSONファイルに保存
set -e

WAZUH_HOST="localhost:55000"
WAZUH_USER="admin"
AGENT_ID="${1:-008}"
OUTPUT_FILE="cve-report-$(date +%Y%m%d).json"

# JWT取得（都度取得でトークン切れを防ぐ）
TOKEN=$(curl -s -X POST \
  "https://${WAZUH_HOST}/security/user/authenticate?raw=true" \
  -u "${WAZUH_USER}:${WAZUH_PASS}" -k)

# Critical CVE取得
curl -s -X GET \
  "https://${WAZUH_HOST}/vulnerability/${AGENT_ID}?severity=Critical&limit=500" \
  -H "Authorization: Bearer $TOKEN" -k \
  | jq '.data.affected_items' > "$OUTPUT_FILE"

echo "保存完了: $OUTPUT_FILE ($(jq length "$OUTPUT_FILE")件)"

これはWazuh（SIEM: Security Information and Event Management）が検出したCritical CVEリストです。
以下の観点で優先度分類と対処コマンドを生成してください。

優先基準:
1. 即対処: CVSS（脆弱性深刻度スコア）>= 9.0 かつ攻撃経路がネットワーク（AV:N）
2. 待機: パッチ未リリース または影響限定的
3. 無視可: 当該サービスを使っていない（例: Kerberos, SNMP等）

出力形式:
- 優先度別の表（CVE ID / パッケージ / 理由 / 対処コマンド）
- 即対処分の apt コマンド（コピペ可能な形式）
- 「無視可」判断の根拠を明示すること

[JSONデータをここに貼り付け]

sudo apt update && sudo apt upgrade libx264-164 libavformat60 libavutil58

#!/bin/bash
# check-cves-with-claude.sh
# 使い方: WAZUH_PASS=xxx bash check-cves-with-claude.sh [agent_id]

set -e
AGENT_ID="${1:-008}"
DATE=$(date +%Y%m%d)
JSON_FILE="/tmp/cve-${DATE}.json"
PROMPT_FILE="/tmp/cve-prompt-${DATE}.txt"

# 1. CVEリスト取得
bash ~/scripts/fetch-wazuh-cves.sh "$AGENT_ID"
mv "cve-report-${DATE}.json" "$JSON_FILE"

# 2. プロンプト構築
cat > "$PROMPT_FILE" <<EOF
$(cat ~/.wazuh/cve-analysis-prompt.txt)

$(cat "$JSON_FILE")
EOF

# 3. Claude Codeで分析
claude --print < "$PROMPT_FILE"

# 毎週月曜 9:00 にCVEレポートを生成
0 9 * * 1 WAZUH_PASS=xxx bash ~/scripts/check-cves-with-claude.sh 008 > ~/logs/cve-report.log 2>&1

# ~/.wazuh/.env
WAZUH_PASS=xxx

# crontab
0 9 * * 1 source ~/.wazuh/.env && bash ~/scripts/check-cves-with-claude.sh 008 > ~/logs/cve-report.log 2>&1