破壊的変更: OpenCTIにおけるコネクタ、ストリーム、フィードのデータインポート方法の進化

ご注意ください: データインポート時にコネクタ、フィード、ストリームが信頼度レベルを使用する方法の変更により、次のメジャーリリースへのアップグレード前に、プラットフォーム管理者による特定のアクションが必要となります。

現在、コネクタ、フィード、ストリームはどのように信頼度レベルを使用しているか

OpenCTIでは、「重複排除」メカニズムが、異なるソースやユーザーから作成された同一オブジェクトの重複を防ぎます。これにより、時間の経過とともにデータの一貫性を最大限に維持できます。

このメカニズムは、各STIXオブジェクトの 信頼度レベル 属性と、各オブジェクトの識別キーに依存しています。既存のオブジェクトと同じ識別キーでオブジェクトが作成された場合、新しいオブジェクトの信頼度レベルが既存のものと同等以上である場合にのみ、既存のオブジェクトが置き換えられます。

コネクタには設定ファイルに信頼度レベルがあり、重複排除の目的で使用できます。したがって、 コネクタがプラットフォームに既に存在するオブジェクトをインポートした場合、その信頼度レベルが既存のものと同等以上である場合にのみ、既存のものを置き換えます。

現在の制限事項

この重複排除メカニズムは強力ですが、まだ制限があります:

• OCTI LiveストリームやTAXII/RSSフィードに信頼度レベルを関連付けることができません。ストリームやフィードのソースによって設定された信頼度レベルを使用するしかありません。ソースがオブジェクトに100の信頼度レベルを設定している場合、たとえそれを高く評価していても、プラットフォーム内の既存のものを上書きしてしまいます。
• コネクタには、データインポート時に使用できる信頼度レベルが設定にありますが、コネクタがそれに応じてプログラムされている場合に限ります。そうでない場合、前の項目で説明した制限が適用されます。
• コネクタ、ストリーム、フィードを介してオブジェクトが作成される際、信頼度レベルが必須ではないため、プラットフォームに一貫性の欠如が生じます。

より多くのコントロールを提供する、すべてのユーザーの信頼度レベル

これらの制限に対処するため、 次のメジャーリリースでは、プラットフォームの各グループとユーザーに「最大信頼度レベル」属性 が実装されます。

コネクタ、フィード、OCTI Liveストリームはユーザーと関連付けることができます。これは、プラットフォームのデータに対する操作を追跡できるようにするための実際のベストプラクティスです。 メジャーリリース後、コネクタ、フィード、OCTI Liveストリームは、関連付けられたユーザーを必要とし、そのユーザーの「最大信頼度レベル」を閾値としてデータをインポートします。

プラットフォーム管理者として、インポートされたデータがプラットフォームの既存コンテンツに与える影響を完全にコントロールできるようになります。

さらに、ユーザーのナレッジ変更能力を調整することもできます。ユーザーは、自身の最大信頼度レベルよりも高い信頼度レベルを持つオブジェクトを変更できなくなります。

次のメジャーリリースへのアップグレード前に何をすべきか?

次のメジャーリリースへのアップグレード前にプラットフォーム管理者が対応しない場合、プラットフォームのすべてのユーザーは最大信頼度レベルを持たないと見なされます。 ユーザーはデータを変更できなくなり、コネクタ、フィード、OCTIストリームもデータの作成や更新ができなくなります。 この移行戦略を採用することで、データの損失や望ましくない変更を回避し、プラットフォーム管理者の作業を容易にしたいと考えています。

これを回避するために、プラットフォーム管理者はプラットフォーム内のすべてのグループに最大信頼度レベルを設定する必要があります。さらに、外部データをインポートするコネクタを使用していて、以前と全く同じように動作させたい場合は、それぞれのユーザーの最大信頼度レベルを、コネクタの設定ファイルに現在設定されている信頼度レベルと同じに設定する必要があります。後者は今後使用されなくなるためです。

この作業を容易にするため、次のメジャーリリース前にユーザーとグループの最大信頼度レベルを設定できるマイナーリリース(5.12.24)を行いました。次のメジャーリリースまで、この属性はプラットフォームに影響を与えません。ユーザーの「有効な」最大信頼度レベルは、ユーザーが所属するグループの最大信頼度レベルの中で最も高い値になります。もちろん、ユーザーに特定の最大信頼度レベルが設定されている場合は、グループから継承された値を上書きし、代わりに使用されます。

次のメジャーリリースへのアップグレード前に、プラットフォームを5.12.24にアップグレードすることを強くお勧めします。これにより、信頼度レベルポリシーを定義し、グループの新しい最大信頼度レベル属性で設定する時間を確保できます。

いつものように、プラットフォームを更新する前にデータのバックアップを取ることが重要なベストプラクティスです。

GentleCorp社のユースケース

さて、これで何が起こるかすべて理解できました。プラットフォーム内のグループに最大信頼度レベルを設定する必要があることがわかりました。

しかし…各グループにどの値を設定すべきでしょうか?

それは素晴らしい質問で、答えは使用するデータソースの違いや、ユーザーのプラットフォーム使用方法の違いに大きく依存します。

GentleCorp社は、データ収集から各地のインフォメーションセキュリティチームへのナレッジ配信まで、CTIナレッジ管理のために日常的にOpenCTIを使用しています。

ユーザーは4つのグループに編成されています:

• Connectors(コネクタ): 外部コネクタがプラットフォームにナレッジを作成できるようにするすべてのユーザーを含むグループ
• CTI Lead team(CTIリードチーム): CTI分析に精通し、脅威に関する調査を提供するユーザー
• Local infosec team(ローカルインフォセックチーム): 各地のチームに組み込まれた主にジュニアレベルのCTIアナリストで、分析サポートを提供
• Management(マネジメント): 主にナレッジを消費するが、戦略的な洞察も提供する可能性のあるCISOチームのユーザー

GentleCorp社のCTI関係者は、CTI生産戦略をこの新しい最大信頼度レベル設定に反映する方法を定義するために会合を持ちました。いくつかの一般的なルールが確立されました:

• CTIリードチームは、CTIナレッジに関して最終決定権を持ちます。最も高い最大信頼度レベルが付与されます
• コネクタは、デフォルトで、内部で作成されたものを置き換えることができてはなりません。したがって、すべてのグループの中で最も低い最大信頼度レベルになります。ただし、コネクタの設定ファイルに信頼度レベルを設定する作業が以前に行われています。したがって、この作業をそれぞれのユーザーの新しい最大信頼度レベルに反映する必要があります。
• ローカルインフォセックチームは、デフォルトおよび未検証のコネクタよりも優れたナレッジを提供できるべきです。したがって、コネクタよりも高い最大信頼度レベルになります。
• マネジメントは現在、プラットフォームにNotesの形式で戦略的洞察を追加しているため、ナレッジに直接影響を与えません。また、他のユーザーやコネクタは現在Notesを使用していません。コネクタと同じ最大信頼度レベルを付与しましょう。
• 他のユーザーは「default」グループに属しており、ナレッジを作成または変更する権限を持っていません。Defaultは引き続き最大信頼度レベル0を持ち、CTI生産の関係者ではないユーザーからの望ましくない変更を確実に許可しないようにします。

これらのグループの最終的な最大信頼度レベルは次のように設定されます:

• Default:0
• Connectors:50
• Management:50
• Local infosec:70
• CTI Lead team:100

GentleCorp社は、外部プロバイダーからデータを取り込むために3つの異なるコネクタを使用しています。コネクタ「CASI」、「NeighborVault」、「Eucalyptus」です。現在、これらのコネクタの設定ファイルはそれぞれ80、50、75に設定されています。したがって、この値は、それぞれに関連付けられた「[c]CASI」、「[c]NeighborVault」、「[c]Eucalyptus」ユーザーの最大信頼度レベルとして設定されます。これにより、これら3つのコネクタが以前と同じように動作し続けることが保証されます。

GentleCorp社は、次のメジャーリリースへのアップグレードの準備が整いました! 彼らは、新しいピカピカのコネクタがナレッジに大混乱を引き起こさないことを保証し、CTIリードチームが最も価値のある調査でそれを改善できるようにしました!

サポートが必要な場合は、遠慮なく Slackでコミュニティに接続してください!

次のステップ

引き続き信頼度レベル機能を追加し、プラットフォーム管理者がインポートされたデータが既存のものに与える影響を完全にコントロールできるようにします。特に、次のものを実装します:

• エンティティタイプごとにユーザーの最大信頼度レベルを区別する方法
• 属性レベルで信頼度レベルを適用し、特定の属性を望ましくない変更から「保護」したり、逆に変更のために「解放」したりする方法