CreativeBOT Security Documentation

CreativeBOT のセキュリティに対する取り組みと、ユーザーデータを保護するために実装されている防御メカニズムの概要です。

---

CreativeBOT とは

CreativeBOT は、Discord サーバーの管理・保護を支援する多機能ボットおよび Web ダッシュボードです。サーバーのセキュリティ、モデレーション、認証を包括的にサポートします。

---

セキュリティへの取り組み

CreativeBOT は、ユーザーとサーバーのデータを保護するために、以下のセキュリティ原則に基づいて設計・運用されています。

🔐 認証・認可

• Discord OAuth2 による安全なログイン
• 多段階認証 (CAPTCHA / Proof of Work / Quiz / OAuth2) によるサーバー参加認証
• ロールベースのアクセス制御 (RBAC)

🛡️ データ保護

• セッションの暗号化と安全な Cookie 管理
• IP アドレスのハッシュ化 (ソルト付き SHA-256)
• CSRF (クロスサイトリクエストフォージェリ) 保護
• Origin 検証による不正リクエスト防止

⚡ レート制限

• 全 API エンドポイントに対する IP ベースのレート制限
• 認証・認証フロー・一般 API で個別の制限値を設定
• Redis バックエンドによる分散対応

🏗️ インフラストラクチャ

• Docker によるコンテナ分離
• Nginx リバースプロキシ (TLS 終端 / セキュリティヘッダー)
• 内部サービス間通信の完全な分離
• 外部に公開されるポートの最小化

📋 監査・監視

• 全管理アクションの監査ログ記録
• セキュリティイベントのリアルタイム検知
• 長期間のログ保持とアーカイブ

---

アーキテクチャ概要

                    ┌─────────────────────────────────────┐
                    │          Internet / Users            │
                    └────────────────┬────────────────────┘
                                     │ HTTPS
                    ┌────────────────▼────────────────────┐
                    │       Nginx Reverse Proxy            │
                    │  ・TLS 終端  ・セキュリティヘッダー  │
                    └────────────────┬────────────────────┘
                                     │
          ┌──────────────────────────▼──────────────────────────┐
          │                  Web Application                     │
          │  ┌──────────┐ ┌──────┐ ┌───────────┐ ┌──────────┐ │
          │  │ Session   │ │ CSRF │ │ Rate      │ │ Origin   │ │
          │  │ Manager   │ │      │ │ Limiter   │ │ Checker  │ │
          │  └──────────┘ └──────┘ └───────────┘ └──────────┘ │
          └──────────────────────────┬──────────────────────────┘
                                     │ Internal Only
          ┌──────────────────────────▼──────────────────────────┐
          │                  Bot Engine                          │
          │  ┌───────────┐ ┌──────────┐ ┌────────────────────┐ │
          │  │ Moderation │ │ Risk     │ │ Content Guard      │ │
          │  │            │ │ Scoring  │ │ (AI / OCR / Rules) │ │
          │  └───────────┘ └──────────┘ └────────────────────┘ │
          └──────────────────────────┬──────────────────────────┘
                                     │
          ┌──────────────────────────▼──────────────────────────┐
          │             Data Layer (Isolated Network)            │
          │  ┌──────────────┐          ┌──────────────┐        │
          │  │  Database     │          │  Cache Store  │        │
          │  │  (Encrypted)  │          │  (Sessions)   │        │
          │  └──────────────┘          └──────────────┘        │
          └─────────────────────────────────────────────────────┘

---

ドキュメント一覧

ドキュメント	内容
SECURITY.md	セキュリティポリシー・脆弱性報告手順
docs/SECURITY_ARCHITECTURE.md	セキュリティアーキテクチャ・防御レイヤー
docs/THREAT_MODEL.md	脅威モデル・リスク評価
docs/AUTH_FLOW.md	認証・認可フロー
docs/DEPLOYMENT_SECURITY.md	デプロイセキュリティ・ベストプラクティス

---

主要なセキュリティ機能

コンテンツ保護

機能	説明
AI 検閲	AI による不適切コンテンツの自動検知・対応
OCR スキャン	画像内テキストの自動検査
スパム検知	重複メッセージ、メンション爆撃、リンクスパム等の検知
フィッシング防止	悪意のある URL の自動検知・ブロック
Anti-Nuke	サーバー破壊行為の検知・防止
レイド対策	大量参加攻撃の自動検知・サーバーロック

リスク評価システム

• 違反行為ごとの重み付けスコアリング
• 時間減衰アルゴリズムによる自然なスコア回復
• 3段階のリスクレベル (Medium / High / Critical)
• リスクレベルに応じた自動エスカレーション

多段階認証

サーバー参加時の認証フローとして、以下のステップを組み合わせ可能:

1. CAPTCHA — Cloudflare Turnstile による人間確認
2. Proof of Work — 動的難易度調整付きの計算チャレンジ
3. Quiz — サーバー固有の質問による確認
4. OAuth2 — Discord アカウントの本人確認
5. VPN チェック — プロキシ / VPN の検知

---

セッションセキュリティ

項目	設定
Cookie httpOnly	✅ 有効 (XSS 対策)
Cookie secure	✅ 有効 (HTTPS のみ)
Cookie sameSite	✅ Lax (CSRF 対策)
セッションストア	暗号化されたキャッシュストア

---

脆弱性の報告

セキュリティ上の問題を発見された場合は、SECURITY.md に記載の手順に従って非公開で報告してください。公開の Issue での報告はお控えください。

---

ライセンス

© 2025 Creative BOT Project — All Rights Reserved