OpenCTIでスマートな保持ポリシーを設計する方法

OpenCTIにおける保持ポリシーは、単にディスクスペースを節約するためだけのものではありません。脅威インテリジェンス知識ベースを効率的かつ関連性の高い状態に保つための中核的な要素です。保持ポリシーがなければ、アナリストは古くなったインジケーター、関連性のないレポート、そしてノイズを生み出し分析を妨げるテストデータに埋もれてしまいます。

本記事では、OpenCTIにおける保持ポリシーを設計するための実践的なアイデアを解説し、データを安全に削除できるタイミングを説明するとともに、特にインシデント関連の知識やPIR(優先インテリジェンス要件)など、ほぼ常に保持すべき内容を強調します。

要約

• 保持ポリシーは脅威インテリジェンスプラットフォームを高速かつ関連性の高い状態に保つ – これがなければ、アナリストは古くなったインジケーター、古いレポート、テストデータに埋もれ、検索、相関分析、意思決定が遅くなります。
• すぐに使える6つのポリシーテンプレートが最も一般的なクリーンアップニーズをカバー:信頼度の低いインジケーター、一時的なオブザーバブル、古い公開脅威インテル、インポートファイル、放棄されたワークベンチ、クローズされた非PIRレポート。
• インシデント関連およびPIRリンクされたデータは常に除外 – この知識は法的、規制的、フォレンジック的な重要性を持ち、年数やソースに関わらず保持すべきです。
• 慎重に始めて、「検証」ボタンを使用 ポリシーを有効化する前に影響をプレビューし、データが削除される前にCTI、SOC、IR、法務チームと調整します。
• OpenCTIはアーカイブではない – 長期的またはコンプライアンス駆動型のストレージには、古いデータをデータレイクにオフロードし、プラットフォーム内には運用上関連性のある知識のみを保持します。

脅威インテリジェンスにおける保持ポリシーが重要な理由

脅威インテリジェンスプラットフォームは急速に成長する傾向があります。新しいコネクタ、フィード、内部レポートが絶えず数百万のオブザーバブルとインジケーターを追加し、重複する可能性のある脅威アクタープロファイル、侵入セット、キャンペーンも含まれます。何も削除されない場合、結果は急速に悪化します:検索と相関が遅くなり、アナリストは実用的なシグナルを見つけるよりもノイズのフィルタリングに多くの時間を費やし、特に大規模なオンプレミス展開ではストレージコストが上昇します。

適切に構造化された保持戦略は、これらすべてを一度に解決します。最も重要なもの(インシデント関連および高価値インテリジェンス)を保持し、一時的、低信頼度、または関連性がなくなったものを削除し、アナリストとリーダーシップの両方にとってプラットフォームを応答性が高く使いやすい状態に保ちます。

保持ポリシーを定義する際に考慮すべきこと

技術的なルールに飛び込む前に、組織にとって本当に価値があるものについて合意を得ましょう。クリーンアップの最も一般的な候補は、信頼度が低いか意味のあるラベルがないオブザーバブルまたはインジケーター、リスクが低いか減衰ルールによって無効化されたインジケーター、優先インテリジェンス要件やトップ脅威アクターにリンクされていないレポート、そしてあなたのセクター、クライアント、または地域に関連性のない侵入セットまたは脅威アクターです。

そこから、OpenCTIで具体的な保持ポリシーを実装できます。

以下は、適応可能な6つの例です:

1. 低信頼度インジケーターのクリーンアップ

スコープ: Knowledge | 保持期間: 365日 | フィルター: エンティティタイプ: Indicator – 信頼度レベル: 50未満 – スコア: 20未満

すべてのインジケーターが同じ価値を持つわけではありません。低信頼度、低スコアのインジケーターは、しばしばノイズが多く短命です。新しい証拠によって更新または補強されない場合、すぐに混乱の元となります。365日の期間は、その有用性を観察するのに十分な時間を与えます。その後、充実または参照されていない場合は、安全に削除できます。このポリシーは、アナリストがより高品質で検証されたシグナルに集中できるようにするのに役立ちます。

注: すべての例における保持日数は、組織の規制および内部プロセスに応じて変更できます。

2. 一時的なオブザーバブルのクリーンアップ

スコープ: Knowledge | 保持期間: 90日 | フィルター: エンティティタイプ: Observable (IPv4, Domain, URL) – ラベル: temporary または test (例)

調査、テスト、またはPOCアクティビティ中、チームはトリアージや検証目的に役立つものの、長期的な知識ベースの一部となることを意図していないオブザーバブルを作成することがよくあります。一貫してラベル付け(例えば temporary または testとして)し、90日の保持ルールを適用することで、アナリストが作業を完了するのに十分な時間を与えながら、使い捨てデータがプラットフォームを汚染するのを防ぎます。ラベルの使用が最初から強制される限り、すぐに効果を発揮するシンプルな習慣です。

3. 古い脅威インテリジェンス(非PIR/インシデント関連)

スコープ: Knowledge | 保持期間: 365日(コンプライアンスニーズに応じて3〜5年に延長可能) | フィルター: エンティティタイプ: Intrusion Set, Threat Actor, Campaign, Malware – マーキング: TLP:WHITEまたは TLP:CLEAR – 除外: IncidentsまたはPIRsに関連するもの

キャンペーンやマルウェアファミリーに関する公開ソースインテリジェンスは、トレンド分析には有用ですが、時間の経過とともに運用上の価値は低下します。多くの組織では、アクティブなインシデントやPIRに結び付いていない場合、コンプライアンス要件を超えてこの種の高レベル情報を保持することは限られた価値しか提供しません。このポリシーの重要な要素は除外です:インシデントまたはPIRにリンクされたエンティティは決して触れるべきではありません。なぜなら、そのデータは通常、法的、規制的、フォレンジック的な重要性を持ち、数年後に必要になる可能性があるためです。それ以外のすべてについて、1年のデフォルトは、歴史的コンテキスト、規制コンプライアンス、そして誰も積極的に使用していない一般的な公開インテリジェンスの無限の蓄積を避けることの間で、合理的なバランスを取ります。

4. インポートファイルのクリーンアップ

スコープ: File | 保持期間: 365日(OpenCTIデフォルト)またはより短い期間(ニーズに基づいて7〜30日)

インポートファイルは、取り込み、トラブルシューティング、または監査中に価値がありますが、正常にインポートされ検証された後、組織がOpenCTI内で長期的に保持する必要があることはまれです。期限を定めたクリーンアップは、ストレージスペースを解放し、ファイル管理セクションの混乱を減らし、必要以上に機密性の高い生ファイルを保持するリスクを制限します。厳格な監査要件のもとで運用している場合は、この期間をそれらの期待と調整するか、削除前にファイルを管理されたアーカイブにエクスポートします。

5. ワークベンチのクリーンアップ

スコープ: Workbench | 保持期間: 60日

ワークベンチは強力な協働スペースですが、多くは短期的なタスクのために作成され、新しくインポートされたデータを検証し、リードをトリアージした後、単に放棄されます。使用されていないワークベンチに60日の保持期間を設けることで、インターフェースをクリーンでアクティブな作業に集中した状態に保ち、アナリストがオブジェクトを中途半端な状態に残すのではなく、ケース、インシデント、またはレポートに適切に組み込むことを促し、複数のアナリストが並行して作業する共有環境での混乱を減らします。

6. インシデント/PIRに関連しないレポート

スコープ: Knowledge | 保持期間: 2〜3年 | フィルター: エンティティタイプ: Report – レポートタイプ: News – ステータス: Closed – 除外: Incidents、Cases、またはPIRsに関連するレポート

ニュースタイプのレポートは、ある時点のスナップショットです。状況認識とコミュニケーションをサポートしますが、脅威ランドスケープが進化するにつれて、その運用上の関連性は薄れます。クローズされた非インシデントニュースレポートを2〜3年保持することは、合理的なバランスを取ります:トレンド分析と歴史的参照をサポートするのに十分な長さであり、古いコンテンツが無期限に蓄積するのを防ぐのに十分な短さです。他のポリシーと同様に、インシデント関連レポートは、内部ポリシーまたは法的義務がそれを要求する場合は常に、この期間を超えて保持すべきです。

保持ポリシーを実装する際の重要なステップ

慎重に始めて「検証」を使用

OpenCTIで保持ポリシーを定義する際は、常に保守的な期間から始めてください。有効化前に 「検証」 ボタンを使用して、どのデータが影響を受けるかを正確に確認します。これにより、CTI、SOC、IR、法務チームとあなたの仮定を検証し、貴重なまたは規制されたデータの誤った削除が発生する前にそれをキャッチし、安全で可逆的な方法でフィルターと保持期間を微調整する機会が得られます。

長期保存のためにデータレイクにオフロード

OpenCTIでの保持は、運用上の関連性とパフォーマンスを優先すべきです。永久アーカイブである必要はありません。長期的または規制的なストレージには、古いデータをデータレイクまたは別のアーカイブシステムにエクスポートし、OpenCTI内には必須でアクティブな知識のみを保持し、コンプライアンスおよび監査チームが完全な履歴データがどこにあるかを正確に知っていることを確認することを検討してください。このアプローチにより、プラットフォームの使いやすさを低下させることなく、厳格な保持要件を満たすことができます。

インシデント関連および高価値知識の保持

設計するすべてのポリシーを導くべき1つの原則があります: インシデント関連データと高価値インテリジェンスを保護する。 フィルターを構築する際は、常にインシデントとそれにリンクされたすべてのエンティティ、PIR関連インテリジェンス、法的、規制的、または契約上の義務のために保持されるデータを考慮してください。保持戦略は、ノイズのクリーンアップについては積極的であるべきですが、実際の侵害、アクティブな調査、PIR、またはビジネスクリティカルな意思決定に結び付くものについては非常に慎重であるべきです。

結論と次のステップ

OpenCTIにおける適切に設計された保持ポリシーは、環境をクリーンでパフォーマンスが高く、本当に重要なもの、つまり運用とコンプライアンスニーズをサポートする高品質で実用的な脅威インテリジェンスに焦点を当てた状態に保つのに役立ちます。本記事では、低信頼度インジケーターと一時的なオブザーバブルのクリーンアップ方法、古い公開脅威インテリジェンスの管理、インポートファイルと古いワークベンチの処理、非インシデント、非PIRレポートの寿命の制御について説明しました。

この内容が、あなた自身の保持戦略を構築または改善するのに役立つことを願っています。さらに進めたい場合は、コミュニティSlackに参加して、他のOpenCTIユーザーと保持とデータライフサイクルの処理方法について交流し、OpenCTIデータモデリング、インシデント管理、コネクタ戦略に関するドキュメントや関連ブログ投稿を探索して、エンドツーエンドで持続可能なCTI実践を構築してください。

お楽しみください。質問があれば、Slackコミュニティchannel でお気軽にお尋ねください!