OpenCTI et Google SecOps SOAR : la threat intel circule dans les deux sens

Un analyste repère un indicateur suspect dans Google SecOps. Pour le comprendre, il faut changer d’onglet, effectuer une recherche manuelle dans OpenCTI, et perdre quelques précieuses minutes. La nouvelle intégration entre Google SecOps et OpenCTI, développée conjointement par Filigran et Google, comble cet écart : une connexion bidirectionnelle qui fait circuler automatiquement la threat intelligence et les données de case dans les deux sens. Le contexte apparaît désormais directement là où l’analyste travaille déjà, au sein de la même investigation.

Google SecOps unifie le SIEM (Security Information and Event Management) et le SOAR (Security Orchestration, Automation, and Response) au sein d’une seule plateforme cloud-native. Elle ingère la télémétrie de l’entreprise, la normalise via un modèle de données unifié (UDM), exécute des détections de menaces sur ces données normalisées, et automatise les workflows de réponse à incident. Cette combinaison, détection et réponse réunies en un seul endroit, explique pourquoi l’intégration directe de l’intelligence d’OpenCTI dans la plateforme a un impact aussi important sur la vitesse et la qualité des investigations.

Intégration bidirectionnelle entre OpenCTI et Google SecOps

Filigran fournit une application qui se déploie directement dans l’environnement Google SecOps et le connecte à OpenCTI. Une fois déployée, elle expose un ensemble d’actions atomiques que les analystes peuvent déclencher manuellement, ou qui peuvent être orchestrées automatiquement via des playbooks Google SecOps SOAR.

Grâce à ces actions, les équipes peuvent :

• Enrichir les données de case avec de la threat intelligence : interroger OpenCTI directement depuis une case Google SecOps pour récupérer de la threat intel pertinente et des informations contextuelles, sans avoir à changer de plateforme en pleine investigation.
• Renvoyer les résultats de la case vers OpenCTI : créer ou mettre à jour automatiquement des objets OpenCTI, notamment des indicateurs, observables, incidents et leurs relations, à partir des événements, alertes ou données de case provenant de Google SecOps SOAR.

Résultat : les analystes obtiennent un contexte riche instantanément, et l’intelligence générée pendant la réponse à incident revient directement dans OpenCTI, renforçant la base de connaissances pour les investigations futures.

Investiguer une adresse IP suspecte : un exemple OpenCTI et Google SecOps

Une case SecOps est ouverte après qu’une règle de détection a signalé un trafic sortant vers une adresse IP inconnue. Plutôt que de basculer manuellement vers des sources de threat intel, l’analyste déclenche une action d’enrichissement OpenCTI directement depuis la case. En quelques secondes, OpenCTI renvoie :

• L’IP est un serveur de commande et contrôle (C2) connu, lié à un attaquant spécifique (comme un groupe APT (advanced persistent threat) suivi dans OpenCTI).
• Des indicateurs liés, notamment des domaines associés, des hashs de fichiers et des familles de malware observées lors de campagnes passées.
• Les Tactics, Techniques, and Procedures (TTPs) habituellement utilisés par cet attaquant, cartographiés selon MITRE ATT&CK.
• Les incidents ou cases antérieurs où cet attaquant ou cette infrastructure est déjà apparu.

Ce contexte apparaissant directement dans la case Google SecOps, l’analyste peut immédiatement évaluer la gravité, escalader de façon appropriée, et vérifier s’il existe une activité liée ailleurs dans l’environnement, sans recoupement manuel. Et si l’investigation confirme une activité malveillante, le nouvel observable ainsi que toute relation nouvellement identifiée sont automatiquement resynchronisés vers OpenCTI, enrichissant la plateforme pour le prochain analyste confronté à cet attaquant ou à cette infrastructure.

Relier détection et intelligence entre OpenCTI et Google SecOps

Les équipes SOC vivent dans leur plateforme SIEM/SOAR. Si la threat intelligence n’est pas disponible là où les analystes travaillent déjà, cela ralentit les investigations et crée un écart entre ce qui est connu (dans OpenCTI) et ce qui se passe (dans Google SecOps). Cette intégration supprime cette friction :

• Triage plus rapide : les analystes obtiennent le contexte OpenCTI (attaquants, campagnes, TTPs, indicateurs liés) directement dans une case, sans quitter Google SecOps.
• Intelligence plus fiable : les observables et incidents découverts lors d’investigations réelles reviennent automatiquement dans OpenCTI, améliorant la précision de la plateforme au fil du temps.
• Automatisation à grande échelle : comme les actions sont exposées de façon atomique, elles peuvent être intégrées aux playbooks SOAR existants, pour que l’enrichissement et la synchronisation s’effectuent sans effort manuel de l’analyste.

En somme, cette intégration met la threat intelligence d’OpenCTI directement au service des workflows SecOps, transformant la CTI (cyber threat intelligence) d’un outil de référence en un élément actif de la détection et de la réponse.

Deux autres façons de connecter OpenCTI à Google SecOps

La nouvelle intégration SOAR s’appuie sur deux connecteurs déjà fournis par Filigran pour Google SecOps SIEM :

1. Google SecOps SIEM Incidents (Import) : ce connecteur importe automatiquement les alertes des règles SIEM sous forme d’incidents dans OpenCTI, enrichis avec les observables liés (IPs, noms d’hôtes, comptes utilisateurs, fichiers, URLs) et les relations STIX.
2. Google SecOps SIEM (Stream) : ce connecteur diffuse en temps réel les indicateurs de threat intelligence d’OpenCTI vers Google SecOps SIEM. Il consomme les indicateurs d’un flux OpenCTI, les convertit en entités UDM, et les transmet à Google SecOps SIEM via l’API entities.import, permettant la gestion des règles de détection et le threat hunting basé sur les indicateurs.

Ensemble, ces trois intégrations créent une boucle complète au sein de la stack Google SecOps :

1. SIEM Incidents (Import)
2. • Direction : Google SecOps vers OpenCTI
   • Fonction : importe les alertes SIEM sous forme d’incidents enrichis
2. SIEM (Stream)
3. • Direction : OpenCTI vers Google SecOps
   • Ce que fait l'intégration : diffuse les indicateurs vers SecOps pour la détection et le threat hunting
3. SOAR (nouveau)
4. • Direction : bidirectionnelle
   • Ce que fait l'intégration : enrichit les cas avec la threat intelligence ; synchronise les indicateurs, observables et incidents vers OpenCTI

Démarrer avec OpenCTI et Google SecOps

Les détails techniques du déploiement et les actions atomiques disponibles sont documentés sur la page du connecteur Google SecOps d'OpenCTI. Si votre équipe exploite Google SecOps et OpenCTI, c'est un excellent moyen de rapprocher threat intelligence et opérations, en réduisant le travail manuel des analystes tout en améliorant la profondeur et la précision de chaque investigation.

Des questions sur le déploiement de cette intégration dans votre environnement ? Contactez votre équipe Filigran ou demandez une démo pour la voir en action.