Filtres enregistrés dans OpenCTI : créez-les une fois, partagez-les avec votre équipe

Le filtrage transforme un flot de threat intelligence dans OpenCTI en quelque chose d'exploitable. Il permet aux analystes, tableaux de bord, flux et automatisations de se concentrer précisément sur le sous-ensemble de données pertinent (par type, niveau de confiance, labels ou dates) plutôt que de se noyer dans le bruit.

Pourtant, construire le bon filtre, celui qui capture précisément un attaquant spécifique ou un ensemble particulier d'indicateurs par exemple, demande du temps et de l'expertise. Jusqu'à présent, les utilisateurs devaient construire leurs propres filtres à partir de zéro pour chaque vue. Avec les filtres enregistrés dans OpenCTI, les analystes peuvent désormais créer un filtre une fois, l'enregistrer, le partager avec les bons membres, et le réutiliser directement dans les widgets.

Vous gérez un filtre enregistré à un seul endroit, et chaque personne et chaque vue qui l'utilise reste à jour. Cette petite fonctionnalité a un impact important. Elle transforme une expertise individuelle en un socle partagé, fiable et contrôlé qui contribue à améliorer la cohérence, l'adaptabilité et la collaboration sur l'ensemble de la plateforme, chacun travaillant à partir de la même vue des données.

Pourquoi le filtrage maintient la pertinence des données de menace

Les instances OpenCTI ingèrent souvent des milliers d'entités chaque jour (indicateurs, malwares, attaquants, rapports et observations), collectées automatiquement depuis des flux, des connecteurs et des sources Trusted Automated Exchange of Intelligence Information (TAXII) et Structured Threat Information Expression (STIX). Sans moyen de réduire ce volume, les analystes seraient contraints de parcourir du bruit au lieu de se concentrer sur ce qui compte réellement pour leur organisation. Le filtrage aide de plusieurs façons concrètes :

• Réduit le volume pour faire émerger la pertinence. Les analystes peuvent filtrer selon des attributs tels que le type d'entité, le score de confiance, la fiabilité de la source, les labels, les marquages Traffic Light Protocol (TLP), ou les dates de création et de modification pour réduire une base de connaissances globale à « indicateurs tagués détection avec une confiance supérieure à 70, créés dans les 7 derniers jours », soit exactement le sous-ensemble pertinent pour une investigation ou une équipe donnée.
• Fonctionne sur toute la plateforme, de la recherche aux playbooks. La même logique de filtrage est réutilisée de manière cohérente dans les listes d'entités, les graphes d'investigation et de connaissance, les tableaux de bord et widgets personnalisés, les exports, les tâches en arrière-plan, les flux en direct, les collections TAXII, les flux CSV, ainsi que les déclencheurs et playbooks automatisés. Un analyste qui définit un filtre utile pour une vue de tableau de bord peut réutiliser la même logique pour alimenter une notification automatisée ou un flux de partage de données vers un partenaire ou un outil en aval, comme une plateforme de gestion des informations et des événements de sécurité (SIEM), un outil de détection et réponse sur les endpoints (EDR), ou un pare-feu.
• Permet un partage et une diffusion ciblés. Les filtres permettent aux organisations de ne partager que les sous-ensembles pertinents de leur base de connaissances (par exemple, une collection TAXII ne contenant que les malwares portant un label spécifique, ou des indicateurs au-dessus d'un seuil de score) plutôt que d'exposer l'ensemble du jeu de données. Cela garde le signal clair pour les destinataires et soutient le contrôle d'accès et la confidentialité.
• Favorise les alertes proactives. Combinés à des déclencheurs, les filtres permettent aux analystes d'être notifiés automatiquement lorsque de nouvelles informations correspondant à leurs critères (un attaquant spécifique, un secteur ou une famille de malwares) apparaissent, plutôt que de revérifier manuellement la plateforme.
• Abaisse la barrière grâce au langage naturel. Avec Natural Language Query, les analystes n'ont pas besoin de connaître la syntaxe exacte des filtres. Ils peuvent désormais poser une question en langage courant (« montre-moi tous les indicateurs de ransomware liés à APT29 au cours du dernier mois »), et l'IA d'OpenCTI génère les filtres structurés en coulisses.

Le filtrage est le mécanisme qui permet au même graphe sous-jacent de données de menace de répondre à des besoins très différents (triage par les analystes, tableaux de bord de direction, flux automatisés, partage avec des partenaires), chacun adapté à ce qui est pertinent pour cette audience.

Construisez un filtre une fois, réutilisez-le dans toutes les vues

Les filtres enregistrés dans OpenCTI vont encore plus loin. Ils transforment un filtrage individuel, réalisé à partir de zéro, en un actif réutilisable et collaboratif. Au lieu que chaque analyste recrée la même combinaison de types d'entités, labels, marquages ou seuils de confiance, vous pouvez construire un filtre une fois et le partager avec les membres ou équipes qui en ont besoin.

Partagez les filtres enregistrés avec les bonnes personnes

Depuis n'importe quelle vue de liste d'entités, construisez votre filtre comme d'habitude, puis enregistrez-le sous un nom que les gens reconnaîtront, et accordez l'accès à des utilisateurs, groupes ou organisations spécifiques. Vous contrôlez qui a accès et dans quelle mesure :

• Can view : permet à un membre de voir et d'utiliser le filtre partagé tel quel.
• Can manage : permet à un membre de voir, utiliser, renommer, gérer le partage, et même supprimer le filtre enregistré.

Dans n'importe quelle vue de liste d'entités, vous verrez les filtres enregistrés que vous avez créés ainsi que ceux partagés avec vous, tous prêts à l'emploi.

Contrôlez qui peut partager et gérer les filtres enregistrés

OpenCTI conditionne le partage de filtres à la capacité « Share filters ». Sans elle, les utilisateurs peuvent toujours voir et utiliser les filtres que d'autres partagent avec eux, de sorte que la collaboration reste ouverte par défaut. Avec elle, les utilisateurs peuvent aussi partager leurs propres filtres enregistrés, à condition de les avoir créés ou de disposer de l'accès « can manage » sur ce filtre.

Chaque filtre enregistré conserve un propriétaire. Le créateur conserve toujours les droits « can manage », et OpenCTI maintient à tout moment au moins un membre avec un accès « can manage », de sorte qu'un filtre partagé ne se retrouve jamais orphelin, même lorsque les accès et la composition de l'équipe évoluent.

Le résultat est un modèle conçu pour les équipes : suffisamment ouvert pour une collaboration authentique, mais suffisamment contrôlé pour aider à prévenir des modifications indésirables sur des filtres dont dépendent d'autres équipes.

Réutilisez les filtres enregistrés dans les widgets de tableau de bord OpenCTI

Les filtres enregistrés dans OpenCTI alimentent aussi vos tableaux de bord. Vous les créez et les gérez dans les listes d'entités, et vous pouvez désormais les utiliser dans les widgets de tableau de bord et les vues personnalisées. Les widgets deviennent des blocs de construction cohérents, ancrés sur des définitions partagées et gouvernées, plutôt que des instantanés statiques et cloisonnés.

Vos tableaux de bord se transportent bien. Lorsque vous dupliquez un tableau de bord, chaque widget conserve sa référence au filtre enregistré, de sorte que vous n'avez pas besoin de reconstruire la logique de filtrage à partir de zéro. Lorsque vous exportez un widget, un tableau de bord ou une vue personnalisée, ou que vous créez un tableau de bord public, OpenCTI remplace automatiquement chaque référence de filtre enregistré par son contenu. Avec le contenu intégré, vos exports et tableaux de bord publics fonctionnent même pour des destinataires qui n'ont pas accès aux filtres partagés sous-jacents.

Et parce que le filtre enregistré reste la source unique de vérité, il demeure fiable. Mettez-le à jour une fois, et tous les widgets qui l'utilisent reflètent automatiquement le changement, sans reconstruction manuelle à travers les tableaux de bord. Si un filtre enregistré est supprimé ou n'est plus disponible, tout widget qui en dépend ne peut plus s'afficher, et les exports ou créations de tableaux de bord publics associés échouent. Cette protection garde votre contenu fiable plutôt que silencieusement défaillant.

Gardez chaque équipe alignée sur les mêmes définitions de données

Enregistrer un filtre, le partager avec les bonnes personnes et le réutiliser dans des widgets change la façon dont les équipes collaborent autour des données. Au lieu que chaque analyste ou unité définisse sa propre version d'une sélection, comme les modes opératoires pertinents ou critiques, les équipes peuvent converger vers des définitions partagées et gouvernées. Les bénéfices s'accumulent :

• Cohérence à grande échelle. La même logique de filtrage s'applique que vous soyez dans une liste d'entités ou un tableau de bord de direction, et sur plusieurs widgets. Un widget suivant les « indicateurs de ransomware à haute confiance » utilise la même logique de filtrage partout où il apparaît, que ce soit sur un tableau de bord SOC ou un rapport de direction.
• Alignement entre les équipes. Les tableaux de bord de chaque utilisateur reposent sur les mêmes critères sous-jacents, ce qui laisse moins de place à la confusion ou à des chiffres contradictoires remontant aux décideurs. Les décideurs peuvent avoir la certitude que tout le monde regarde les mêmes données, de la même façon.
• Collaboration plus rapide et accès facilité au filtrage complexe. Les utilisateurs peuvent s'appuyer sur des filtres nommés, partagés et bien compris. Ils n'ont pas besoin de réinventer des filtres déjà existants. Ils ont simplement besoin des bons droits d'accès.
• Mises à jour automatiques. Si un filtre enregistré est mis à jour, chaque widget qui le référence reflète ce changement, ce qui évite la reconstruction manuelle de plusieurs tableaux de bord.
• Partage maîtrisé. Le modèle d'accès basé sur les capacités et les droits « peut consulter » et « peut gérer » permettent de garder cette collaboration à la fois sûre et flexible.

Commencez par les filtres que votre équipe reconstruit le plus souvent

La threat intelligence doit circuler vite tout en restant fiable, alors que plusieurs équipes et organisations collaborent. Les filtres enregistrés dans OpenCTI transforment l'expertise de vos analystes en définitions partagées qui fonctionnent à l'échelle. La prochaine fois que vous construisez un filtre qui mérite d'être conservé, enregistrez-le, nommez-le clairement, et partagez-le avec les personnes qui en ont besoin.