OpenCTIとOpenAEVを活用したインテリジェンスサイクル

インテリジェンスサイクルは理論上はシンプルです。何を知る必要があるかを定義し、適切なデータを収集し、分析し、適切なチームと共有し、その結果から学ぶという流れです。
しかし、日々の運用においては、このループを連続させることは困難です。要件が収集から離れ、分析はツールに埋もれ、フィードバックは非公式に、あるいは全く届かないことがあります。

本記事では、OpenCTIを使用して優先インテリジェンス要件(PIR)、収集、エンリッチメント、分析、配布を管理し、OpenAEVを使用してそのインテリジェンスを運用化し、次のイテレーションにフィードバックできる構造化されたフィードバックを生成する、実践的なインテリジェンスサイクルの実行方法を紹介します。

要約

OpenCTIを使用してPIRを定義し、収集を自動化し、データをエンリッチし、インテリジェンスサイクルに沿った完成インテリジェンスを生成します。
OpenCTIのライブストリームとレポートを使用して、運用および戦略的ステークホルダーにインテリジェンスを配布します。
OpenCTIから優先順位付けされたインジケーターと攻撃パターンをOpenAEVに送信し、シナリオとシミュレーションを作成します。
OpenAEVの結果を使用してセキュリティカバレッジを測定し、実用的なフィードバックをOpenCTIにフィードバックして、インテリジェンスサイクルのループを閉じます。

パート1:OpenCTIで方向付け、収集、処理、分析を実行

OpenCTIは、アナリストが優先インテリジェンス要件(PIR)に対応するために、データを文書化、追跡、分析できる脅威インテリジェンスプラットフォーム(TIP)です。

インテリジェンスサイクルの文脈において、OpenCTIは以下をサポートします:

PIRの定義と所有権による方向付け
継続的な監視と取り込みによる収集
エンリッチメントコネクタと組織化による処理
調査、ピボット、関係マッピングによる分析
ライブストリームと完成インテリジェンスレポートによる配布

方向付けと収集:PIRを定義し監視を自動化

OpenCTIには、アナリストが要件を定義し、ターゲット地域およびセクターなどの基準に基づいて自動監視を有効にできるPIRモジュールが含まれています。

設定が完了すると、OpenCTIはPIR基準に一致する受信データを継続的に監視し、関連するPIRに紐付けます。これにより、多くのインテリジェンスサイクル実装で乖離し始める方向付けに収集を固定します。

PIRモジュール

スコア付きPIRモジュール

処理:受信インテリジェンスをエンリッチして整理

プレミアムフィード、オープンソース、手動でインポートされたインテリジェンスを通じて収集が継続される中、アナリストはエンリッチメントコネクタを使用して受信データを処理およびエンリッチできます。

データがPIRワークフローを通じて整理されるため、アナリストは高スコア、高信頼性のアイテムに絞り込み、より深い調査に値するものを優先できます。このステップは、インテリジェンスサイクルを効率的に保ち、ノイズを抑えるために不可欠です。

分析と配布:調査結果をアクションに変換

エンリッチされたデータセットから、アナリストは次の項目を特定するためにピボットできます:

脅威アクターまたは侵入セットによって一般的に使用されるマルウェア
追加のインジケーター
関連する攻撃パターン

そこから、複数の方法でインテリジェンスを配布できます:

サードパーティツール(例:SIEMやEDR)へのライブストリーム
テンプレートを使用した完成インテリジェンスレポート
OpenAEVで作成された脅威情報に基づくシナリオ(パート2で説明)

ライブストリーム

ライブストリームの確立

完成インテリジェンステンプレートを使用したレポートの配布

カスタムテンプレートを使用した完成インテリジェンスレポート

パート2:OpenAEVを使用して配布とフィードバックを行い、インテリジェンスサイクルを完結

OpenAEVは、配布を運用可能にし、フィードバックを測定可能にすることで、インテリジェンスサイクルを拡張します。

完成インテリジェンスの公開やサードパーティツールとの統合に加えて、アナリストは優先インテリジェンスをOpenAEVに送信して以下を実行できます:

高優先度の脅威をシミュレート
検知と防止をテスト
MITRE ATT&CKフレームワークに対するセキュリティカバレッジを測定
結果を構造化されたフィードバックとしてOpenCTIにフィードバック

フィードバックはインテリジェンスサイクルの最終ステップであり、多くの場合、体系化することが最も困難です。OpenAEVは「これが機能すると思う」を「検証した」に変え、追跡して行動できる結果を提供します。

ステップバイステップ:PIR収集からOpenAEVセキュリティカバレッジまで

以下は、OpenCTIとOpenAEVをエンドツーエンドで接続する1つのワークフローです。

1) OpenCTIでPIRを作成し収集を追跡

アナリストはOpenCTIでPIRを定義し、パート1で説明したように、それに対する継続的な収集を追跡します。

2) プレイブックを使用してPIRごとにコンテナを作成

アナリストが収集されたものをレビューする際、OpenCTIプレイブックを使用して、PIR収集に基づくコンテナの作成を自動化できます。

注:各プレイブック実行により新しいコンテナが生成されます。

コンテナを作成するPIRプレイブック

コンテナの作成

コンテナが作成されると、収集されたデータとPIRに関連するインテリジェンスがその中に転送されます。これにより、調査および後の配布のための作業セットが作成されます。

3) コンテナから調査を開始

コンテナから、アナリストは調査を開始して、以下の関係を可視化できます:

コンテナ内のエンティティ
OpenCTIデータベースに既に存在するエンティティ

ここで、アナリストはピボットして追加の高信頼性インジケーターと攻撃パターンを抽出できます。

コンテナ内の調査タブ

調査内のエンティティをピボットして展開

4) 選択したインテリジェンスをコンテナに送り返す

調査を展開した後、アナリストは選択したインテリジェンスをコンテナに送り返し、運用化の準備をします。

調査からコンテナへインテリジェンスを送信

5) 高優先度エンティティにラベルを付けてOpenAEVをトリガー

次に、アナリストは高スコアのインジケーターと関連する攻撃パターンをフィルタリングします。

その後、別のプレイブックをトリガーするラベル(例:send_to-openaev)を一括適用し、OpenAEVでセキュリティカバレッジ検証を開始します。

OpenAEVに送信するためのラベルを一括追加

6) OpenAEVでシミュレーションを実行し結果をOpenCTIに送り返す

プレイブックがシナリオ作成をトリガーすると、OpenAEVは送信されたインジケーターと攻撃パターンに基づいてペイロードを含む対応するインジェクトを生成します。

ペイロードは、アナリストが指定したエンドポイントに配置できます。その後、結果はセキュリティカバレッジとしてOpenCTIに送り返され、MITRE ATT&CKフレームワークにマッピングされます。これにより、アナリストと意思決定者は、組織のセキュリティツールがシミュレートされた動作をどの程度検知および防止できるかについて明確なフィードバックを得られます。

OpenCTI内のOpenAEVからのセキュリティカバレッジ

MITREフレームワーク上のセキュリティカバレッジ

OpenAEVで実行されたインジェクト

この時点で、作業を開始したPIRに直接紐付けられた、構造化され測定可能なフィードバックによってインテリジェンスサイクルのループを閉じました。

まとめ

OpenCTIとOpenAEVは、方向付けからフィードバックまで、インテリジェンスサイクル全体をサポートできます。

OpenCTIを使用すると、アナリストはPIRを定義し、収集を自動化し、受信インテリジェンスをエンリッチして調査し、レポート、ライブストリーム、および運用検証のためにインテリジェンスを準備するワークフローを通じて成果物を配布できます。

OpenAEVを使用すると、チームは脅威情報に基づくシミュレーションを実行し、セキュリティカバレッジを測定することで、そのインテリジェンスを運用化できます。これらの結果はその後、実用的なフィードバックとしてOpenCTIに流れ、チームがPIRを改良し、検知を改善し、時間の経過とともに防御を強化するのに役立ちます。

ぜひお試しいただき、ご質問があればSlackコミュニティチャンネルでお気軽にお尋ねください!

OpenCTIとOpenAEVを活用したインテリジェンスサイクルの実行

要約