ファイルインデックスで重要な情報を見逃さない

OpenCTIは情報を検索する複数の方法を提供します。グローバル検索を使用したり、特定のビューにリストされている要素内を検索したり、条件に基づいて関連情報のグループを見つけるためにリストをフィルタリングすることもできます。

しかし、これらすべての検索はSTIXオブジェクトに構造化されたデータに基づいています。Threat Actor、Indicator、Organizationなどのエンティティ、またはFile、IPなどのObservable、あるいはそれらの間のリレーションシップです。
必要な重要な情報がまだ構造化されておらず、ファイル内の非構造化テキストに隠れている場合はどうでしょうか?

このニーズに応えるため、OpenCTIチームは新機能を導入しました。ファイルコンテンツ内の全文検索です。

アップロードされたファイルのコンテンツをインデックス化して検索

プラットフォームは現在、OpenCTIにアップロードされたファイルのコンテンツまでグローバル検索を拡張できる機能を提供しています。この機能は、Data Importメニューからアップロードされたドキュメントや、特定のオブジェクトのDataタブを通じてエンティティに直接リンクされているドキュメントのコンテンツに適用できます。

この機能は、プラットフォーム内で構造化されていない重要な情報を見逃さないようにしたい場合に特に有益です。これが発生する例としては、ドキュメントコンテンツの一部のみが自動的にインポートされた状況、コネクタによって課せられた制限、そして当然ながら、データの手動処理中に発生した可能性のあるエラーなどがあります。

このため、Full text indexing機能を有効にすることを強くお勧めします。この機能により、ドキュメント内のすべての関連情報がインデックス化され、検索可能になり、データの包括的な概要を提供し、重要な情報が見逃されないことを保証します。

ステップバイステップガイド

ステップ1:ファイルインデックスの設定

ファイルインデックスは、SettingsメニューのFile indexingタブから設定できます。

設定パネルでは、コンテンツをインデックス化するファイルタイプを選択でき、オプションとしきい値を活用して、インデックス化がプラットフォームに与える影響を制限することもできます。たとえば、インデックス化をPDFとtxtファイルに制限し、5MB未満に限定し、エンティティのコンテキストなしでアップロードされたファイルを除外することができます。

情報パネルでは、選択した設定に基づいてインデックス化される内容についての洞察が得られます。

ステップ2:初回ファイルインデックス化の実行

Startボタンをクリックしてインデックス化プロセスを開始すると、その進行状況をリアルタイムで監視できます。

インデックス化プロセスが進行するにつれて、必要に応じて一時的にPauseするオプションがあります。

さらに、Resetボタンも提供されています。このボタンをクリックすると、インデックス化プロセスが最初から再開されます。この操作により、以前にインデックス化されたすべてのファイルもデータベースから削除されます。インデックス化プロセスを新たに開始したい場合に使用できます。

また、ファイルインデックス化の実行中に設定を変更した場合、変更が適切に実装されるようにResetボタンを使用する必要がある場合があることに注意することも重要です。これは、新しい設定が以前の設定では影響を受けなかったファイルに影響を与える可能性があるためです。

最後に、ファイルインデックス化は5分ごとに自動的に実行されることに注意してください。これにより、最近アップロードされたファイルでも適切にインデックス化され、使用可能な状態になります。

ステップ3:グローバル検索をファイルに拡張

インデックス化プロセスが完了すると、グローバル検索を実行でき、インデックス化されたファイル内で広範な検索が可能になります。

グローバル検索結果ビューには2つのタブが表示されます。「Knowledge search」タブには、プラットフォーム内の構造化データからの結果が含まれます。「File search」タブには、インデックス化されたファイルからの結果が含まれます。

利便性とさらなる検討のため、ユーザーは新しいタブでドキュメントを開くオプションがあります。さらに、行の最後にある矢印をクリックすることで、ユーザーはリンクされたエンティティの概要に直接移動でき、ドキュメントのコンテキストを包括的に理解できます。

まとめ

OpenCTIのファイルコンテンツにおける全文検索の導入により、検索機能が大幅に拡張されました。この機能強化により、アップロードされたドキュメントコンテンツの徹底的な調査が可能になり、重要な情報を見逃すリスクが最小限に抑えられます。

ご質問、リクエスト、コメント、またはフィードバックがございましたら、お気軽にSlackでご参加ください!