インテリジェンスフィードの氾濫を管理するための戦略的インテリジェンスダッシュボードの構築

Filigran ソリューションエンジニアリングチームのメンバーとして、私は顧客や見込み客と直接対話し、現在の脅威インテリジェンスプラットフォーム(OpenCTI、他のTIP、または自社構築ソリューション)をどのように活用しているか、またプロセスのどこに改善の余地があると感じているかを伺う機会に恵まれています。

最近よく話題に上がる領域の一つが、私の同僚である Nate Huber が数週間前に取り上げた脅威インテリジェンスライフサイクルの中間段階、つまり分析プロセスです。CTIチームリーダーやSOCマネージャーから、アナリストが受信する脅威インテリジェンスの「氾濫」を管理するのに苦労しているという意見を何度も耳にしてきました。

既存のTIPを使用して関心のある脅威をフィルタリングした後でも、それらの脅威に対する防御のために優先すべき脆弱性やTTPのリストをまとめて維持するためにデータを統合しようとすると、アナリストには多大な時間と労力が必要となります。

このエンドツーエンドのプロセスを大規模に管理しようとすることは、困難な課題となり得ます。既存のツールを使えば、脅威アクターをクエリして、彼らが使用することが知られているTTPを表示することはおそらく可能ですが、それらのアクターが特定のマルウェアファミリーを使用していることが判明した場合、それらに関連するすべてのTTP、脆弱性、インディケーターも収集する必要があり、さらにそれらが変化・進化するにつれて追跡・更新しなければなりません。

TIP内では、リンク分析ツールを使用してこれを実行できる可能性がありますが、これらは通常、1つのチャート内で脅威ランドスケープ全体を分析しようとするのではなく、1つのアクターやいくつかのキャンペーンだけに使用されます!

Just because you can, doesn’t mean you should; a graph of Actors and their TTPs recently targeting the Finance Sector

できるからといって、すべきだとは限らない:最近金融セクターを標的としているアクターとそのTTPのグラフ

幸いなことに、OpenCTIのSTIX 2.1サポートとグラフデータベースにより、アナリストは取り込まれた関連する脅威インテリジェンスをより正確にフィルタリングおよびトリアージするためのダッシュボードを自動作成できるだけでなく、追跡している脅威に関連する運用および戦術的インテリジェンスを自動的に要約することもできます。このブログでは、その方法を説明します。

グラフデータベースとSTIX 2.1による実現

脅威インテリジェンスプラットフォームの初期の頃、TIPは主にすべての脅威インテリジェンス知識のリポジトリというよりも「IOCオーケストレーター」として使用されていました。そのため、初期のTIPデータベースは「IOCストリーム」(IP、ドメイン、ハッシュなど)を中心に設計されており、アクター、マルウェア、脆弱性のコンテキストは単純なリンクを介して「後付け」されていました。

しかし、脅威の洗練度が進化し、それに対応する脅威インテリジェンスチームのプロセスが成熟するにつれて、脅威インテリジェンス自体の複雑性はより微妙なものになってきました。

例えば、Intel471によるSekoia経由のレポートをOpenCTIに読み込んだ以下の例は、国家レベルの脅威アクターの戦略レベルの概要のリンク分析グラフを示しており、それらが追跡されている侵入セット、それぞれに関連するMITRE ATT&ACK技術、各々が使用するツールとインフラストラクチャ、各々が標的とする脆弱性を含んでいます。各関係は方向性を持ち、時間的に限定されています。これは、STIX 2.1が脅威インテリジェンスを受信または共有する際に保持する詳細の種類であり、より多くの脅威インテリジェンスベンダー、ISAC、国家CERTがSTIX/TAXII 2.1を介してインテリジェンスを共有する際にこれらの機能を活用しています。

OpenCTI’s preservation of STIX relationships can make for some quite informative charts

OpenCTIのSTIX関係の保持により、非常に有益なチャートを作成できます

同様に、OpenCTIのグラフデータベースは、これらのSTIXバンドルの重複排除と取り込みをサポートし、異なる脅威エンティティ間の微妙な関係を保持しながら、以下のダッシュボードの作成を可能にします。

対照的に、古いデータベースアーキテクチャを持つTIPでは、このコンテキストを維持できない可能性があり、例えば、アクター、脆弱性、TTPを1つのレポートの下にすべてリンクされているものとしてまとめてしまったり、関係の性質を追跡しなかったりする可能性があります。

インテリジェンス関係を活用したダッシュボードの構築

しかし、OpenCTIでは、これらすべての関係が保持されてOpenCTIのグラフデータベースに保存されているため、ダッシュボードウィジェット構成でKnowledge Graphパースペクティブを使用して、分析フィルターと出力統計の両方でそれらの関係を利用できます。

The Knowledge Graph option gives you access to relationships beyond individual entities

Knowledge Graphオプションにより、個々のエンティティを超えた関係にアクセスできます

例えば、金融セクターを取り上げてみましょう。金融機関に対する攻撃に関する多くのレポートが受信されており、OpenCTIはそこから多くの報告された脅威アクター、および彼らが使用したTTPやマルウェアを取り込んでいます。

では、この関係構造を使用して、過去3か月間に金融組織を標的としたことが確認された脅威アクターを表示するクエリを書いてみましょう。

filigran blog threatmanagementdashboards 1

source → targets → targetフィルター構造の図解

OpenCTIウィジェットフィルタービルダーでは、次のようになります:

Knowledge Graph – フィルターエディター

ご覧のとおり、次のように定義しています:

Sourceを任意のアクター(または侵入セット)として
TargetをFinance(セクタータイプ)として、そして
関係をTargetsとして

これをツリーダイアグラムとして表示すると、次の結果が得られます。

Tree diagram of the most reported threat actors against Finance over the last three months

過去3か月間に金融業界に対して最も報告された脅威アクターのツリーダイアグラム

関係チェーンの拡張

しかし、これはアクター自体を表示しているだけです。これらのアクターに関する集約された運用インテリジェンス、例えば彼らが使用するTTPや標的とする脆弱性を自動的に表示したいと思います。

では、このクエリを拡張して、過去3か月間に金融業界を標的としていることが確認されたこれらの脅威アクターが使用するすべてのTTPを表示しましょう。これを行うには、以前と同じフィルター条件を使用しますが、それらをソースフィルターにのみプッシュし、次に別の関係を追加します。アクターが使用するAttack Patternを表示したいと思います。

そこで、それらをフィルター条件として追加します:

Representation of a Knowledge Graph filter that links Strategic and Operational intelligence in one widget

戦略的および運用的インテリジェンスを1つのウィジェットでリンクするKnowledge Graphフィルターの表現

フィルターエディターでは、このフィルターは次のようになります:

Knowledge graph filter that selects actors that target Finance, and then returns the TTPs used by that subset

金融業界を標的とするアクターを選択し、そのサブセットが使用するTTPを返すKnowledge Graphフィルター

これらを集約リストとして表示すると、現在金融業界を標的としているすべてのアクターにわたって、(暗号化ではなく)流出のためのデータ収集を示すT1005が最も一般的に報告されている技術であり、次にpowershell/シェル実行を通常示すTTP(T1059)、Mimikatzとその仲間の使用(T1003)、さらにフィッシングの結果としてのユーザー活動(T1204)もまだかなり高いことがわかります。

These are the techniques Actors targeting the finance sector have been using recently

これらは金融セクターを標的とするアクターが最近使用している技術です

このアプローチの素晴らしい点は、金融セクターを標的としていると報告される新しいアクターが追加されたり、他のアクターが古くなったりすると、これらの統計が継続的に更新されることです。

他の指標のチャート化

このフィルターとウィジェットを作成したら、他の関係を表示することは単にさらに10秒の作業です。ウィジェットを複製し、関係チェーンの最後のターゲットタイプを別のエンティティタイプに変更するだけです。

したがって、すべての脆弱性を表示したい場合は、ターゲットタイプをAttack PatternからVulnerabilityに変更します。

Knowledge graph filter identical to the one above, but displaying Vulnerabilities for those actors rather than TTPs

上記と同じKnowledge Graphフィルターですが、これらのアクターのTTPではなく脆弱性を表示しています

これで、金融セクターを標的とする脅威アクターによって最も頻繁に標的とされている上位10の脆弱性が得られます。

上位10の脆弱性

これを繰り返すことで、脅威ランドスケープに関するすべての主要な運用統計を単一のビューで表示するカスタムダッシュボードを作成できます。

Comprehensive operational insights into current threats against a Finance sector organisation, in a single dashboard

金融セクター組織に対する現在の脅威に関する包括的な運用インサイトを、単一のダッシュボードで提供

さらに、このようなトップダウンの集約クエリは、OpenCTIのGraphDBに自然に適合しており、数億の取り込まれたドキュメント上に構築されたデータベースで実行される上記のようなダッシュボードのすべてのウィジェットを数秒で更新できます。

まとめ

今日の脅威ランドスケープの複雑さには、よりスマートなツールとプロセスが必要です。GraphDBバックボーンとSTIX 2.1の堅牢なサポートを備えたOpenCTIは、現代の脅威インテリジェンスの課題を乗り越えるために必要な柔軟性と深さを提供します。

データフィルタリングの自動化から運用インサイトでダッシュボードを動的に更新することまで、OpenCTIの機能により、CTIおよびSOCチームはこのような分析をツールセットに委任し、本当に重要なこと、つまり実用的なインテリジェンスの分析と防御努力の効果的な優先順位付けに集中できます。

アクター、TTP、脆弱性間の関係を可視化することで、より明確な全体像を得るだけでなく、データ駆動型の意思決定の基盤を構築しています。セクター固有の脅威を追跡する場合でも、新たな攻撃パターンを特定する場合でも、重要な脆弱性にフラグを立てる場合でも、これらのダッシュボードはプロセスの進化に合わせて成長および適応するように設計されています。

よりスマートなダッシュボードは、よりスマートな防御につながります。OpenCTIを使用すれば、もはや情報の氾濫に反応するのではなく、それをコントロールできるようになります。

脅威インテリジェンスワークフローを次のレベルに引き上げる準備はできていますか?今日からこれらの戦略を実装する方法をご確認ください。

お問い合わせ

ご意見、ご質問、フィードバックがございましたら、slackでお気軽にご連絡ください!