OpenCTIでカスタムFinished Intelligenceレポートを生成する方法

重要なことに集中する

レポートやインシデントレスポンスの作成は、アナリストにとって負担であるべきではありません。アナリストの付加価値は、調査、関連付け、知識の創造、投資にあります…
この知識は、その後共有または処理される必要があり、多くの場合、さまざまなステークホルダーに共有される正式な文書となります。
そのため、OpenCTIで独自の動的なFinished Intelligence(FINTEL)テンプレートを作成できる新機能を追加しました。管理者として、チームが使用できるFINTELテンプレートを簡単に作成でき、レポートの標準化を支援します。
アナリストとして、これらのテンプレートを使用して、必要なデータを必要な順序で含むエンティティのカスタムエクスポート(FINTELレポート)を生成でき、時間を節約しながら高品質な成果物を維持できます。

FINTELテンプレートの目的は、メッセージを効果的に伝えるカスタムPDFを生成することです。

この機能はOpenCTI Enterprise Editionで利用可能です。

例:非技術部門にチームがサイバー攻撃にどのように対処したかを伝える

FINTELテンプレートがどのように役立つかを説明するために、私が会社のセキュリティ責任部門の一員であると仮定しましょう。数日前に新しいフィッシングキャンペーンが会社を標的にし、上司にどのように対処したかを説明するレポートを作成したいと考えています。

私のOpenCTIインスタンスには、このキャンペーンを説明するインシデントがあります。このキャンペーンを3つのObservablesにリンクしました。このインシデントは、フィッシングキャンペーンに関連するすべてのデータを含むインシデントレスポンスにリンクされています。

例のインシデントレスポンス – パート1

例のインシデントレスポンス – パート2

新しいFINTELレポートテンプレートの作成

FINTELテンプレートを作成するには、Settings > Customization > Incident-Responseのページに移動する必要があります。

FINTELテンプレートのリスト

すでに2つのFINTELテンプレートがあることがわかります。どちらもOpenCTIに組み込まれており、PDFを生成するために直接使用できます。ただし、今回は独自のデータを含む新しいテンプレートを作成したいと思います。

FINTEL Templatesというタイトルの横にある「+」ボタンをクリックします。フォームが表示され、必要な情報を入力できます。

新しいFINTELテンプレートを作成するフォーム

ご覧のとおり、名前と説明を入力しました。テンプレートはまだ使用準備ができていないので、「published」は無効のままにしておきます。まだテンプレートにデータを選択していません。それが次のステップです。

フォームを送信すると、テンプレートコンテンツの作成を開始できる新しいページにリダイレクトされます。

FINTELテンプレートのエディター

このページは3つの主要なセクションで構成されています:

• コンテンツエディター:テンプレートコンテンツを作成するメイン領域。
• コンテンツプレビュー:コンテンツエディターの隣のタブで、PDFレンダリングのライブプレビューを提供します。
• ウィジェット設定:右側のセクションで、ダッシュボードで使用されるものと同様のウィジェットを作成できます。これらのウィジェットは、必要に応じてコンテンツに挿入されます。

ウィジェットを使用してデータを追加する

それでは、この例をシンプルに保ち、テンプレートに次のものを表示したいとしましょう:

• 🟩 インシデントレスポンスの名前
• 🟩 インシデントレスポンスの作成日
• 🟩 攻撃を封じ込めた方法の説明
• 🟧 インシデントにリンクされたObservablesのリスト

一部のデータを緑の四角🟩で、他のデータをオレンジの四角🟧でマークしました。これは、追加したいデータの2種類を区別するのに役立ちます。

最初のデータは、インシデントレスポンスに直接関連するデータで、インシデントレスポンスの属性であるデータです。これらは緑のもの🟩であり、それらを追加するには「Add data of the Case Incident」ボタンを使用します。

一方、このインシデントに関連するデータも追加したいと思います。これらはオレンジのもの🟧であり、それらを追加するには「Add data related to the Case Incident」ボタンを使用します。

それでは、インシデントレスポンスに直接関連するデータを追加することから始めましょう。「Add data of the Case Incident」をクリックすると、コンテンツで使用するデータを選択できる新しいフォームが表示されます。

ウィジェットの設定

FINTELテンプレートの属性ウィジェットの設定フォーム – デフォルト属性

ダッシュボードでウィジェットを作成するときに使用するフォームを認識できるかもしれません。FINTELテンプレートの場合、いくつかの新機能を追加しました。

また、Instanceフィールドの「Current Entity」という名前について疑問に思うかもしれません。すでにご覧のとおり、特定のエンティティではなく、エンティティタイプのカスタマイズページでテンプレートを定義しています。つまり、テンプレートは同じタイプの任意のエンティティで再利用できます。たとえば、数か月後に会社が再び標的にされた場合、新しく作成されたインシデントレスポンスに対してこの同じテンプレートを再利用して、PDFを非常に迅速に生成できます。したがって、「Current Entity」は、テンプレートが適用されるエンティティを指します。この例では、インシデントレスポンス「Response to Phishing Campaign January 27, 2025」です。

それでは、データを追加しましょう。属性のリストには、すでにインシデントレスポンスの名前である代表が含まれているため、下部の「Attribute」選択を使用して作成日と説明のみを追加する必要があります。

FINTELテンプレートの属性ウィジェットの設定フォーム – カスタム属性

変数名は、ウィジェットのリストとFINTELテンプレートのコンテンツでそれらを実装する方法の間の橋渡しです。ウィジェットを作成した後、コンテンツエディターで必要な場所に変数名をコピー&ペーストするだけです。これらの変数名は、FINTEL PDFを生成するときに実際のデータに置き換えられます。

フォームを検証すると、右側に属性が表示されます。

ウィジェットの属性リスト

コンテンツエディターでまだそれらを使用していないため、警告が表示されます。これは、コンテンツに欠落しているデータがあるかどうかをすばやく確認するのに役立つ視覚的なインジケーターです。それでは、コンテンツを変更しましょう。

FINTELテンプレートのエディター

上部の「Save Content」ボタンで変更を保存します。これで、すべてのウィジェットがコンテンツで使用されているため、警告がなくなりました。

次に、インシデントレスポンスに関連するObservablesをリストするウィジェットを作成しましょう。「Add data related to the Case Incident」ボタンをクリックし、ダッシュボードでリストを作成するのとまったく同じ方法で、FINTELテンプレートのリストを作成します。

FINTELテンプレートウィジェットのパースペクティブフォーム

Observablesとインシデントレスポンスとのリレーションシップではなく、Observablesのリストを表示したいので、「Entities」を選択します。

FINTELテンプレートウィジェットのフィルターフォーム

Observablesのみを保持するために新しいフィルターを追加します。「Contains = Current Entity」フィルターは、プラットフォーム上のすべてのObservablesではなく、インシデントレスポンスにリンクされたObservablesのみをリストするために自動的に追加されます。必要に応じて、このフィルターを削除することもできます。

FINTELテンプレートウィジェットのパラメーターフォーム

タイトル(明確化のために右側のウィジェットリストで使用される)を入力し、コンテンツの変数名を定義します。他のフィールドは、事前入力された値のままにします。

検証後、新しく作成したウィジェットをコンテンツに追加すると、次のようになります:

FINTELテンプレートのエディター

FINTELレポートテンプレートのプレビュー

PDFがどのように見えるかを確認する時が来ました。「Content Preview」タブに移動し、プレビューを表示できるようにいくつかの設定を行う必要があります。

FINTELテンプレートのプレビューページ

まず、テンプレートを適用するエンティティです。ここではインシデントレスポンスを選択します。次に、PDFに表示したいデータの最大マーキング定義で、TLP:GREENを使用します。最後に、生成されたPDFのマーキング定義です。これもTLP:GREENを使用します。

FINTELテンプレートのプレビュー – 1/2

画面の中央にPDFが表示されます。2ページ目に移動すると、ウィジェットで設定したすべてのデータが表示されます。

FINTELテンプレートのプレビュー – 2/2

これで、FINTELテンプレートが使用準備完了です!そして、任意のインシデントレスポンスで使用できます。最後のステップとして、公開設定にしてテンプレートを表示できるようにします。上部の3つのドットボタンをクリックし、次に「Update」をクリックして「Published」ボタンを切り替えます。

更新アクション

更新フォームの公開入力

これで、インシデントレスポンスページの「Content」タブに移動し、このテンプレートを使用してPDFを生成できます。

主な利点

• 時間の節約:アナリストがレポートを書くことに費やす時間を減らし、脅威の発見により多くの時間を費やせるように支援します。
• 成果物の効率化: プラットフォームのデータを活用することで、一貫したレベルのレポーティングを確保します。

まとめ

OpenCTI FINTELテンプレートは、プラットフォーム内のデータを外部の人々と共有する方法の新しい可能性を開きます。この記事が、この新機能を活用してパーソナライズされた再利用可能なテンプレートを作成し、OpenCTIデータを含むカスタムPDFを生成する方法を理解するのに役立つことを願っています。

テンプレートのカスタマイズ方法の詳細については、ドキュメントをご覧ください。

ご質問、リクエスト、コメント、フィードバックがある場合は、お気軽に Slackでご参加ください!