OpenCTI 6.2で信頼度レベルポリシーを詳細に調整する
OpenCTI バージョン6.0では、ユーザーとグループに対する最大信頼度レベルが導入されました。この機能により、プラットフォーム上でナレッジがどのように操作されるかを管理し、信頼性と制御を最大化する強力なツールが提供されました。
主な原則は以下の通りです:
- ユーザーはグループから継承された最大信頼度レベルを持ちます。
- ナレッジ(エンティティ、リレーションシップ)を操作するには、ユーザーはそのオブジェクトよりも高い信頼度レベルを持っている必要があります。
- プラットフォームでナレッジを作成する際、新しいオブジェクトはユーザーの最大信頼度レベルより高い信頼度を持つことはできません。
- フィードとコネクターは、同じビジネスルールに従って、関連付けられたユーザーの信頼度レベルで動作します。
- 信頼度レベルは、プラットフォーム内の要素を閲覧する能力には影響せず、ナレッジベースに変更を加える能力にのみ影響します。
この破壊的変更を見逃した方は、詳細については専用ブログ記事をぜひご確認ください!カスタム信頼度ポリシーの完全な例と、それをOpenCTIでどのように実装できるかを説明しています。
そして今回、バージョン6.2で、OpenCTIはエンティティタイプごとにユーザーの最大信頼度レベルを定義できる可能性を提供することで、さらに一歩前進しました。
このすべてがどのように機能するか、詳しく見ていきましょう!
ユースケースの例
専門知識と経験年数に応じた信頼度レベルの管理
アナリストのグループが会社向けにレポートを作成しています。新しいアナリストがチームに加わったばかりで、ナレッジベースを理解しツールに慣れるまでに時間がかかることが予想されます。Analystsグループの最大信頼度は80ですが、この特定のユーザーにはReportエンティティタイプで20のレベルを設定し、機密情報への意図しない変更を確実に防ぎます。
グループの信頼度レベル継承のみを持つジュニアアナリストの概要例
このジュニアアナリストのReportの最大信頼度レベルは、編集パネルの新しいConfidencesタブから20に設定されています。
ユーザーレベルでエンティティタイプReportの信頼度レベルオーバーライドの例
1つのナレッジソースに対する差別化された信頼
会社のプラットフォームは、さまざまなソースから多くのデータを受信しています:コネクター、RSSフィード、ライブストリーム。Connectorsグループは、プラットフォームで有効になっているすべてのコネクターに関連付けられたユーザーを集約し、最大信頼度レベルを50に設定しています。
特定のコネクターは、マルウェアや脅威アクターなどの脅威データには有用であることが証明されていますが、インシデントレポートは信頼できません。コネクターに関連付けられたユーザーは、Malwares(90)とIncidents(30)の信頼度レベルをオーバーライドするように設定されています。
ユーザーレベルでMalwareとIncidentの信頼度レベルオーバーライドの例
安定したナレッジに対する信頼の削減
プラットフォーム内のナレッジデータの一部は、たとえば位置データ(都市、地域、国、エリア)のように、他のものよりも安定していると考えられます。
そのため、これらのエンティティの信頼度レベルはデフォルトグループレベルでオーバーライドでき、プラットフォームのすべてのユーザーが、以前に信頼できるソースによって追加された場合、それらを変更できないようにします。
ほとんどのユーザーは、最大信頼度レベルが90に設定されたDefaultグループに関連付けられています。City、Region、Country、Areaエンティティタイプについて、この信頼度レベルを20にオーバーライドできます。このグループに属するユーザーは、プラットフォーム内のこれらの安定したエンティティを誤って更新できなくなります。
グループレベルでエンティティタイプごとの最大信頼度レベルオーバーライドの例
ユーザーの有効信頼度レベル
ユーザーとグループの信頼度レベル設定は次のように見なされます:
- 0から100の間の最大信頼度レベル(ユーザーの場合はオプション、グループの場合は必須);
- エンティティタイプごとのオーバーライドのリスト(0から100の間の最大信頼度レベル)(オプション)。
ユーザーの有効信頼度レベルは、複数のソース(ユーザーとそのグループ)からのこの設定の結果です。有効信頼度レベルは、最終的にナレッジに対して操作が行われるときに使用され、操作を許可するかどうかを決定します。
この値を計算するために、OpenCTIは以下のシンプルな戦略を使用します:
- 有効最大信頼度は、ユーザーのグループで見つかった最大値です;
グループからの最大信頼度レベル継承の例
- 有効オーバーライドは、すべてのグループから累積され、同じエンティティタイプに複数のオーバーライドが設定されている場合は最大値を取ります
- ユーザーの最大信頼度レベルが設定されている場合、グループレベルで定義されたエンティティタイプごとのオーバーライドを含め、グループからのすべてをオーバーライドします
- 設定されていないが、ユーザーがエンティティタイプごとに特定のオーバーライドを持っている場合、グループから来る対応するエンティティタイプごとの信頼度レベルをオーバーライドします
ユーザーとグループの設定に応じた有効信頼度レベル計算の例
最後に、ユーザーが管理者の「Bypass」機能を持っている場合、グループとユーザーの信頼度レベル設定に関係なく、有効信頼度レベルは常にオーバーライドなしで100になることに注意してください。
有効信頼度レベルの説明
プラットフォームの信頼度ポリシーによっては、ユーザーはグループ、最大レベル、オーバーライドの複雑な設定になる可能性があります。最大値がどこから来ているのか、または特定のエンティティタイプにオーバーライドがある理由を理解するのが難しい場合があります。
ユーザーの詳細ビューは、有効信頼度レベルの計算を理解しやすくするために更新され、各値のソース(ユーザーまたはそのグループの1つ)を示す便利なツールチップが提供されています。
まとめ
OpenCTI バージョン6.2では、グループレベルまたは特定のユーザーに対して個別に、エンティティごとにユーザーの最大信頼度レベルを設定できる機能が導入されました。特に、これにより特定のエンティティに対するコネクターの影響をより適切に制御できるようになり、アナリストの専門知識レベルに応じて信頼を差別化することができます。このきめ細かなアプローチは、ユーザーの専門知識と経験年数、およびさまざまなナレッジソースの信頼性に基づいて権限を調整するのに役立ちます。
ユーザーの有効信頼度レベルは、ユーザーとグループの設定を組み合わせた結果です。システムは、最大信頼度レベルとエンティティごとのオーバーライドの両方を考慮し、ユーザー設定がグループ設定よりも優先されます。
この新機能により、OpenCTIプラットフォーム全体で信頼度ポリシーを正確に作成できるようになることを願っています。
続きを読む
関連トピックとインサイトをご覧ください
