基本的なイベントフィールド（送信元／宛先、CVE、シグネチャ、HTTP の詳細 — カナリアレコードの例 を参照）に加えて、vulncheck-canaries レコードには、そのイベントで利用可能な場合にエンリッチメントフィールドが含まれます。これらはペイロードと攻撃元そのものから導出され、アナリストが本来であれば手作業で導き出す必要のあるツール、インフラストラクチャ、レピュテーションのコンテキストを提供します。
エンリッチメントフィールドは標準の omitempty の規約に従います。フィールドは、そのイベントで値が設定されている場合にのみレコードに存在します。
| フィールド | 型 | 説明 |
|---|---|---|
| payload_tlsh | 文字列 | 観測されたペイロードの TLSH ファジーハッシュ。イベント間で類似・関連するペイロードをクラスタリングするのに有用 |
| payload_tooling | 文字列の配列 | ペイロードから特定された攻撃者のツール（例：wget、curl） |
| フィールド | 型 | 説明 |
|---|---|---|
| tech_vertical | 文字列の配列 | 標的となったシステム／脆弱性が関連する業種 |
| フィールド | 型 | 説明 |
|---|---|---|
| c2_location | 文字列の配列 | ペイロードから抽出された C2／攻撃者インフラストラクチャの指標（IP、URL） |
| c2_frequency_3d | オブジェクトの配列（src、count） | 抽出された C2／攻撃者インフラストラクチャのソースと、過去 3 日間にすべてのカナリアで各ソースが観測された回数 |
| フィールド | 型 | 説明 |
|---|---|---|
| src_ip_type_findings | 文字列の配列 | ソース IP のレピュテーション／種別の検出結果（例：potentially vulnerable） |
| src_ip_freq_3d | 整数 | 過去 3 日間に、このソース IP がすべての VulnCheck ソースで観測された回数 |
| src_ip_freq_3d_canary | 整数 | 過去 3 日間に、このソース IP がカナリアに対して観測された回数 |
vulncheck-canaries インデックスは常にこれらのフィールドを内部的に保存していますが、API はそのイベントで空でない値を持つフィールドのみを返します。以下は、2026-08-14 に vulncheck-canaries から取得した実際のレコードです。
{
"src_ip": "107.173.241.217",
"src_port": 42008,
"src_country": "US",
"src_asn": "AS36352",
"src_as_name": "HostPapa",
"src_as_domain": "colocrossing.com",
"dst_country": "US",
"cve": "CVE-2017-9841",
"signature_id": 12700264,
"signature": "VULNCHECK PHPUnit CVE-2017-9841 Exploit Attempt",
"category": "Web Application Attack",
"severity": 1,
"http": {
"url": "/public/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php",
"http_user_agent": "libredtail-http",
"http_request_body": "PD9waHAgZWNobyhtZDUoIkhlbGxvIFBIUFVuaXQiKSk7",
"http_method": "GET",
"protocol": "HTTP/1.1"
},
"timestamp": "2026-08-14T19:26:18.557Z",
"payload_tlsh": "86721ca931993231be5a3e88be653d183b45b0173ca7916d47d5dcc82e87bf8261338d",
"payload_tooling": ["curl", "wget"],
"c2_location": [
"217.60.195.113",
"18.233.226.235",
"https://217.60.195.113/sh"
],
"src_ip_type_findings": ["proxy"],
"src_ip_freq_3d": 31,
"src_ip_freq_3d_canary": 31,
"c2_frequency_3d": [
{ "src": "217.60.195.113", "count": 3499 }
]
}
この例では、攻撃元の IP はプロキシとしてフィンガープリントされ（src_ip_type_findings）、ペイロードは配信ツールとして curl／wget を特定し、c2_location はエクスプロイトが第 2 段階のペイロードを取得するステージングホスト（217.60.195.113）を示しています。このホストは、過去 3 日間にすべてのカナリアで 3,499 回観測されています（c2_frequency_3d）。
tech_vertical はこのイベントでは設定されていませんが、他のイベントでは次のように現れます。
{
"cve": "CVE-2026-31816",
"signature": "VULNCHECK CVE-2026-31816 Budibase Authentication Bypass (Plugin Upload Successful Exploitation Response)",
"tech_vertical": ["technology"]
}
現在、エンリッチメントフィールド専用のクエリパラメータはありません。これらは vulncheck-canaries の任意のクエリで標準フィールドとともに返され（クエリパラメータ を参照）、エンリッチメントパイプラインが値を設定したイベントについてレスポンス内で確認できます。