OpenCTIにおけるカスタムビュー:適切なインテリジェンスへ迅速にアクセス
適切な脅威インテリジェンスへより速くアクセスすることは、ビジネスに具体的な影響をもたらします:調査のタイムラインを短縮し、滞留時間を削減し、プレッシャー下でより高い確信度をもった意思決定を支援します。アナリストが、主要な関係性、最近のレポート、インフラストラクチャ、TTP、アトリビューションなど、探している最も関連性の高いシグナルを即座に確認できる場合、重要なことに素早く集中でき、より速く適切な判断を下すことができます。
このため、カスタムダッシュボードに加えて、OpenCTIにカスタムビューを導入しました。カスタムダッシュボードが全体像を理解するための独立したクロスエンティティレポートページである一方、カスタムビューは、集中的な詳細調査のためにエンティティページに直接埋め込まれた、コンテキスト対応のエンティティ固有のウィジェットタブです。結果として:ナビゲーションが減少し、意思決定が迅速化され、アナリストは自分が行動を起こす根拠を信頼できるようになります。
要約
- カスタムビューは、最も関連性の高いエンティティ固有のインテリジェンスをOpenCTIのエンティティページに直接表示し、チームがより速やかにコンテキストを把握できるようにします。
- カスタムビューはカスタムダッシュボードを補完します(置き換えるものではありません):ダッシュボードはクロスエンティティの「全体像」レポートを示し、カスタムビューはエンティティレベルの詳細調査を可能にします。
- RRN/Doppelgängerの例は、専用のFIMIビューがどのように主要なシグナル(チャンネル、アカウント、ターゲット、インフラストラクチャ、TTP、アトリビューション)を1か所に表示できるかを示しています。
- ビジネス上の影響:ナビゲーションの削減、トリアージと調査の迅速化、プレッシャー下でのより高い確信度の意思決定。
万能型エンティティページの課題
OpenCTIのエンティティページは、Threat Actor、Malware、Campaign、Vulnerabilityのいずれを参照している場合でも、デフォルトのタブセットと情報パネルが用意されています。ほとんどのユーザーにとって、ほとんどの場合、このデフォルトレイアウトは妥当な出発点です。
しかし、脅威インテリジェンスチームは一枚岩ではありません。侵入セットをトリアージするSOCアナリストは、同じエンティティをレビューするCTIマネージャーとは異なるシグナルを重視します。脆弱性レポートを確認するCISOは、それを作成したアナリストとはまったく異なる疑問を持っています。また、大規模組織では、異なるワークフローを持つ複数のチームが同じOpenCTIインスタンスを共有しています。
これまで、プラットフォームが標準で提供する内容を超えてエンティティページが表示する内容を調整するには、独立したカスタムダッシュボードを構築する(エンティティコンテキストの外に存在する)か、一部の関連情報が常に追加のナビゲーションステップを必要とすることを受け入れる必要がありました。
カスタムビューはそのギャップを埋めます。
カスタムビューとは何か、そして何でないか
カスタムビューは、エンティティページに追加のタブとして直接表示されるウィジェットベースのレイアウトです。設計上コンテキスト対応です:Threat Actorに対して定義されたカスタムビューは、すべてのThreat Actorページに表示され、閲覧中のエンティティに自動的にスコープされます。
これにより、クロスエンティティレポート用の独立したページであるカスタムダッシュボードとは根本的に異なります。カスタムダッシュボードは全体像に優れています。カスタムビューはエンティティレベルの詳細調査に優れています。
次のように考えてください:カスタムダッシュボードがインテリジェンス指揮センターであれば、カスタムビューは特定のエンティティを開いた瞬間にポップアップする専門的な計器パネルです。
実際のユースケース:RRN / Doppelgänger FIMIキャンペーンの追跡
これを具体的にするため、近年最も文書化されているForeign Information Manipulation and Influence(FIMI)キャンペーンの1つであるRRN(別名Doppelgänger)を調査するアナリストの実際のシナリオを見ていきましょう。
キャンペーンの概要
RRNは、大規模で組織的な親ロシア影響工作です。正規メディアを装った偽ニュースウェブサイトのネットワークを通じて運営され、bild.pics、ukraina.ru、franceete…などのドメインをクローンし、ヨーロッパと米国全域で偽情報を拡散しています。このキャンペーンはロシアの組織に帰属されています。
OpenCTIでの調査時点で、RRNキャンペーンエンティティには以下が表示されていました:
- ネットワーク全体で追跡された608のチャンネル
- この作戦にリンクされた304のTwitter/Xアカウント
- 西ヨーロッパ(フランス、ドイツ、ベルギー、イタリア)、ウクライナ、米国にまたがるターゲット国
- フラグが立てられ無効化された5つの既知のドメイン名
- 使用されている5つのMITRE ATT&CK for FIMI技術(T0086、T0061、T0049、T0023、T0017を含む)
- 2つの主要なインテリジェンスレポート:「Portal Kombat: A structured and coordinated pro-Russian propaganda network」(VIGINUM、2024年2月)および「RRN: A complex and persistent information manipulation campaign」(2023年8月)
カスタムビューがない場合の課題
このインテリジェンスはすべてOpenCTIに存在していましたが、散在していました。RRNキャンペーンページを開くアナリストは、一般的な関係グラフとエンティティメタデータを表示する標準のOverviewまたはKnowledgeタブに到達します。FIMI固有の全体像、つまりチャンネル、Twitterアカウント、ターゲット国、ドメインインフラストラクチャ、TTP、アトリビューションにたどり着くには、複数のタブをナビゲートし、手動でデータを相互参照する必要がありました。
FIMIのような特定のキャンペーンタイプでは、関連するシグナル(影響力チャンネル、なりすましドメイン、ナラティブターゲット、アトリビューションチェーン)が従来のマルウェアキャンペーンや侵入セットとは根本的に異なるため、デフォルトレイアウトは単に適合しません。
解決策:専用のFIMIカスタムビュー
カスタムビューを使用すると、プラットフォーム管理者は、すべてのCampaignエンティティページに表示される専用の「Foreign Information Manipulation & Influence」タブを作成し、この種の脅威にとって重要なインテリジェンスを正確に表示できます:
- リアルタイムで追跡されているチャンネルとソーシャルメディアアカウントの数を示すエンティティカウントウィジェット
- キャンペーンの地政学的範囲を即座に把握できる、ターゲット国の地理的ヒートマップ
- 処理ステータス、ラベル、TLPマーキングを含むドメイン名リスト — アナリストは、どのインフラストラクチャが特定され対処されたかを即座に確認可能
- 使用中のMITRE ATT&CK for FIMI技術を作成日とマーキングとともに表示するTTPsリスト
- キャンペーンの背後にある組織をラベルとデータの出所とともにリストするアトリビューションブロック
- このキャンペーンエンティティにリンクされた最新のインテリジェンス公開物を示す「Last Reports」タイムライン
結果は以下のスクリーンショットに直接表示されています:RRNキャンペーンページの「Foreign Information Manipulation & Influence」タブは、目的に特化したインテリジェンス計器パネルとなります。アナリストがキャンペーンの規模、インフラストラクチャ、ターゲット、アトリビューションを評価するために必要なすべてが、追加のクリックなしで単一のコンテキストビューで利用可能です。
OpenCTIにおけるFIMIカスタムビューを持つRRNエンティティの例
履歴と使用されたTTPsを示すRRN FIMIカスタムビューの例
アトリビューションを示すRRN FIMIカスタムビュー
これが重要な理由
RRNの例は、カスタムビューの核心的な価値提案を示しています:脅威タイプに適応した同じプラットフォーム。
ランサムウェアの侵入セットを調査するSOCアナリストは、国家支援の影響工作キャンペーンを追跡するFIMIアナリストとは非常に異なるエンティティページを必要とします。カスタムビューは、データモデルを分岐させたり、別のツールを構築したり、プラットフォームがすでに保持しているインテリジェンスをアナリストに精神的に再構成させたりすることなく、プラットフォームがその現実を反映できるようにします。
「FIMIビューはOpenCTIに新しいデータを追加しません。適切なデータを、適切な場所で、適切な瞬間に可視化します。」
これがインテリジェンスワークスペースを形成するということです。
指定されたキャンペーンでカスタムビューがどのように機能するかをご覧ください
どのように機能するか
プラットフォーム管理者:ビューの作成と管理
カスタムビューは、各Settings > Customization > [エンティティタイプ]ページのCustom viewsタブから管理されます。この領域は、Manage customization権限を持つユーザーがアクセスできます。
OpenCTIにおける現在のカスタムビューのリスト
そこから、管理者は新しいカスタムビューを作成し、名前と説明を提供し、カスタムダッシュボードで利用可能な同じウィジェットタイプ(リスト、タイムライン、分布チャート、ヒートマップなど)を使用してコンテンツを編集できます。
カスタムビューをエンドユーザーに表示するには、有効化する必要があることに注意してください。
デフォルトでは、カスタムビューにウィジェットを追加すると、現在閲覧中のエンティティを参照する特別なcurrent entityフィルター値で事前設定されます。これがカスタムビューをコンテキスト対応にする重要なメカニズムです。たとえば、「Related Reports」リストウィジェットはin regards of = current entityでフィルタリングでき、アナリストがアクセスしているThreat ActorまたはMalwareページにリンクされたレポートが自動的に表示されます。
さらに、便利なプレビュー機能により、管理者は関連タイプの既存エンティティを選択して、カスタムビューが公開された後にウィジェットがどのように見えるかを確認できます。
新しいカスタムビューのプレビュー
管理者は、カスタムビューを特定のエンティティタイプのデフォルトビューとしてマークできます。設定すると、このビューは、ユーザーがそのタイプのエンティティに移動したときのランディングタブとなり、標準のOverviewタブを最初に表示されるものとして置き換えます。特定のタイプに対して同時に存在できるデフォルトビューは最大1つです。
最後に、カスタムビューはJSON定義ファイルとしてエクスポートし、別のOpenCTIインスタンスにインポートできます。これにより、ベストプラクティスビューテンプレートをチーム間、インスタンス間、またはコミュニティと共有することが簡単になります。
アナリスト:カスタムビューの使用
アナリストの視点から見ると、カスタムビューは透過的でスムーズです。設定するものは何もありません:ビューは関連するエンティティページに追加タブとして自動的に表示されます。
たとえばThreat Actorページに移動すると、アナリストはOverview、Knowledge、Analyses、Sightings、Files、Historyなどのタブセットを目にし、カスタムビューが定義され自分に可視化されている場合は、管理者が定義した名前を持つ1つ以上の追加タブも表示されます。
デフォルトビューとして設定されたカスタムビュー「Vulnerability management」
カスタムビュータブをクリックすると、管理者が設定したウィジェットレイアウトが読み込まれ、すべてのウィジェットがcurrent entityフィルターを介して現在のエンティティにすでにスコープされています。アナリストはフィルターを適用したり、他の場所に移動したりする必要はありません — 関連するインテリジェンスがコンテキスト内に表示されます。
これは定期的なワークフローで特に強力です。アナリストがThreat Actorエンティティを開くたびに関連するTTP、最近のレポート、関連するインフラストラクチャを定期的に確認する必要がある場合、カスタムビューはそれらすべてを単一のタブにまとめ、反復的なナビゲーションを排除できます。
利用可能性
カスタムビューは、2026年5月にリリースされたバージョン7.260520.0以降のOpenCTIで、Community Editionライセンスの下で利用可能です。この機能の詳細については、公式ドキュメントをご覧ください。
今後の展開
カスタムビューは、OpenCTIにおけるより構成可能でロール対応のインテリジェンスワークスペースへの第一歩です。カスタムダッシュボード、Priority Intelligence Requirements(PIR)、およびプラットフォームの既存のRBACモデルと組み合わせることで、プラットフォーム管理者は各チームが見るものをきめ細かく制御でき、アナリストは日常的にエンティティを扱う際により速く、より焦点を絞った体験を得られます。
カスタムビューの使用方法についてお聞かせください。Slackでコミュニティと設定やフィードバックを共有するか、GitHubでディスカッションを開始してください。
続きを読む
関連トピックとインサイトをご覧ください
