OpenCTIにおけるコンテナの強化されたアクセス制御のご紹介

データの分離とNeed-to-Knowの原則は、サイバーセキュリティ領域において極めて重要です。これは、重大なインシデントが発生した際や、特定の専門知識を持つチームメンバーと機密性の高いデータで協力する際に、さらに重要性を増します。
そこで、OpenCTIのアクセス制御機能に対する大きな改善をご紹介できることを嬉しく思います。最新リリースでは、承認されたメンバーシステムがコンテナに拡張され、脅威インテリジェンスプラットフォーム内の機密情報に対してより精緻な制御が可能になりました。

この機能により、共有コンテナ内でも、特定の承認されたユーザー、グループ、または組織のみがデータにアクセスでき、権限が役割に応じてカスタマイズされます。機密性を保ちながらより大きなコラボレーションを促進することで、関連性のない機密情報を公開することなく、外部パートナーと特定のケースやレポートを安全に共有できます。
さらに、制限されたデータの管理を簡素化するために、管理者は制限管理パネルにアクセスできるようになりました。この機能により、必要に応じてエンティティの制限を解除できます。

この機能はEnterprise Editionの機能です。

制限の有効化

以前はFeedbackエンティティで利用可能だった承認されたメンバーシステムが、Reports、Groupings、Incident Response、Request For Information、Request For Takedownに拡張されました。この新機能を活用する前に、最新バージョンのOpenCTIを実行していることを確認してください🙂。

遭遇する可能性のあるさまざまな状況に基づいて、制限を有効にする方法は2つあります。

状況1:第三者を通じてIncident Responseが提起され、調査のために特定のユーザーと協力する必要がある場合

• サポートされている任意のコンテナ(たとえばIncident Response)に移動し、エンティティヘッダーの「アクセス制限を管理」ボタンをクリックします:

コンテナヘッダーのアクセス制限を管理ボタン

• エンティティにアクセスできる特定のユーザーまたはグループを定義します:3つのアクセスレベルから選択します:
• • 閲覧:エンティティを閲覧するためのアクセス編集:閲覧 + エンティティを修正・更新する権限管理:編集 + エンティティを削除し、ユーザーアクセスと権限を制御する能力

エンティティの継続的な管理能力を確保するために、少なくとも1人のユーザーが管理者アクセスを保持する必要があることを強調しておくことは重要です。この状況では、編集権限のみを付与することを決定し、コンテナへの可視性とアクセスが制限されていることを確保しながら、他のユーザーと協力できるようにすることができます。

アクセス制限設定のポップアップ

状況2:調査を行った後にレポートを手動で作成する必要があるが、最初からレポートが表示されないようにしたい場合

プラットフォーム内のすべてのイベントはログに記録されストリームに送信されるため、それを監視する自動化機能や、作成時にコンテナを自動的に共有する機能があるかもしれません。機密性の高いレポートを作成する際は、作成された瞬間から非表示にしておきたい場合があります。

その場合、2つの選択肢があります:

• 管理者ユーザー(カスタマイズを管理する機能を持つ)は、コンテナの承認されたメンバーのデフォルト値を定義できます:コンテナが作成されるたびに、デフォルト値で定義されたユーザー、グループ、または組織に自動的に制限されます。
• または、コンテナの作成フォームで、承認されたメンバーを直接追加することもでき、作成時からコンテナへのアクセスを制限できます。

エンティティ作成フォームからの承認されたメンバーの有効化

コンテナへの影響

Incident ResponseまたはReportに対して承認されたメンバーが定義されると、「組織と共有」ボタンが無効になっていることが確認できます。承認されたメンバーが定義されると、その特定のエンティティに対して組織によるデータ分離が無効になります。承認されたメンバーのみがエンティティにアクセスできます。

この制限はコンテナにのみ適用され、コンテナ内に含まれるエンティティにはカスケードされません。という点にご注意ください。

承認されたメンバーが有効化されると組織と共有ボタンが無効になります

正しいデータのみが制限されていることの確保

プラットフォーム内の一部のデータへのアクセスを制限することは、コラボレーションのための優れた機能ですが、エンティティを管理できる(制限を解除できる)唯一のユーザーが組織を離れた場合はどうなるでしょうか?

エンティティマネージャーが組織を離れた場合でも制限されたデータを管理可能に保つために、管理者(すべての機能をバイパスする権限を持つユーザー)は、必要に応じてエンティティの制限を解除するための制限管理パネルを使用できます。

このパネルでは、制限下にあるすべてのエンティティが表示されます。管理者は、一括操作または各コンテナに対して個別に、制限を解除してコンテナをプラットフォーム全体に公開できます。

制限管理パネル

主なメリット

• データプライバシー: 望まないアクセスを防ぐために、データが確実に制限されていることを保証します。
• コラボレーションの促進: 機密性の高い問題に取り組むために、主要なユーザー、グループ、または組織のみにアクセスを提供します。

まとめ

承認されたメンバーのみにアクセスを制限することで、コンテナには柔軟なアクセス制御システムが備わり、ユーザーはコラボレーションのニーズに応じて可視性と権限を調整できます。これにより、組織にとってコラボレーションがより安全になります。この新機能は、Enterprise Editionのユーザー専用で利用可能です。

ご質問、リクエスト、コメント、またはフィードバックがございましたら、お気軽にSlackでご参加ください!