OpenCTIが偽情報と外国からの干渉への対抗を支援する方法
過去1年間、当社のプロダクトおよびエンジニアリングチームは、複数の企業、公的機関、非営利団体と緊密に協力し、脅威インテリジェンスモデルを若干拡張して、偽情報の脅威、キャンペーン、インシデントを適切に扱い、モデル化できるようにしました。
FIMI分析ライフサイクル
Foreign Information Manipulation and Interference(FIMI)— しばしば「偽情報」とも呼ばれる — は、民主主義社会にとって増大する政治的・安全保障上の課題であり、政府や市民、民間企業に影響を与えています。この問題はグローバルで複雑、そして絶えず進化しており、AIツールを使用したコンテンツ生成機能が誰でも利用できるようになっていることも考慮する必要があります。
なぜこの適応努力を行うのか?
OpenCTIを汎用的なインテリジェンスプラットフォームに変えるつもりはありませんが、サイバーインテリジェンスとFIMI分析は共通の連続体の一部であることは明らかです。一部の脅威アクターは両分野でキャンペーンを実施する能力を持っており、インシデントは最近のサイバー犯罪ネクサスを含む混合戦術を使用することがあります。
普遍的な価値、民主主義、自由、そして社会を守るために、検出、理解、対応を試みる多様なアクター—防衛者コミュニティ—が登場しています。このコミュニティに効果的で適応したオープンソースの手法とツールを提供することは、間違いなくFiligranの最優先事項とDNAの一部です。
パイロット研究 — 100のFIMIインシデントにわたる発見の主要数値(出典:EEAS脅威レポート2023)
2022年6月、カーネギーのPartnership for Countering Influence Operations(PCIO)がワークショップを開催し、市民社会、業界、政府の高レベル専門家グループを招集してFIMIアナリストコミュニティにおけるベストプラクティスを検証しました。それ以来、Filigranは関与する主要アクターと緊密に協力し、STIX 2.1標準の上に最小限の実行可能な製品とモデルを提供し、FIMIの分析と報告に関する定義と分析基準について合意を見出す継続的な作業を容易にしてきました。
サイバー脅威インテリジェンスコミュニティと同様に、FIMI防衛者は知識を効率的に共有・普及できる必要があり、OpenCTIプラットフォームはこの課題に対する最も高度でパフォーマンスの高い答えの1つです。
現状はどうなっているか?
データモデル
2022年末にOpenCTIプラットフォームでリリースされた最初の成果は、OASIS Open CTI技術委員会のDAD-CDM(Common Data Model for Defending Against Disinformation)小委員会と連携したSTIX 2.1標準の拡張でした。
偽情報のモデル化で使用されるOpenCTI STIXエンティティタイプ
OpenCTIでは、これらのエンティティが知識グラフで使用できるようになっており、キャンペーン、脅威アクター、侵入セットなどのサイバー脅威インテリジェンスエンティティと組み合わせることができます。推論エンジンや非構造化文書から情報を抽出できるコネクタも強化され、この新しいパラダイムを考慮できるようになりました。
この作業はすべて、2つの主要な要件を念頭に置いて実施されました:
- STIX 2.1モデルの拡張と進化の数を最小限に抑え、OASIS Open DAD-CDM小委員会の作業を先取りする。
- サイバー脅威とFIMI脅威の両方を追跡している組織が包括的で価値のある成果を得られるようにする。
脅威アクターとナラティブ間の「使用」関係
グローバルに少なくとも10の異なる組織との複数のワークショップと議論を経て、全体的なSTIX 2.1の哲学、サイバー脅威インテリジェンスの知識を保存するための既存のタクソノミーとドクトリン、およびFIMI防衛者コミュニティの要件を尊重する最初のモデル化に到達しました。
これはまだ進行中の作業ですが、このモデルはすでにプラットフォームで利用可能であり、複数の公的・民間組織の偽情報アナリストによって使用され、トレーニングコース、ワークショップ、高レベル専門家グループで共有・議論され始めています。
高レベルFIMI知識エコシステムのモデル化
タクソノミー
特にDebunk.euやDISARM Foundationとの作業において、DISARM TTPs Frameworkを追加できるコネクタも開発しました。この財団はMITRE CorporationおよびOASIS Openと緊密に協力し、DISARMキルチェーンとサイバー分野との潜在的な交差点を継続的に強化しています。
DISARM Frameworkキルチェーン
DISARM FrameworkコネクタはMITRE Datasetsと同じモデルで構築されており、OpenCTIプラットフォームに新しいTTP、キルチェーンフェーズ、対処方法のセットを提供します。
このフレームワークは、インシデントを適切にモデル化し、自動化された対策を生成するだけでなく、脅威アクターの進化を長期的に追跡し、次の偽情報キャンペーンを予測するために組織が対応と投資の優先順位を付けるのを支援します。
TTPの組み合わせとその頻度(出典:EEAS脅威レポート2023)
偽情報対策のためのOpenCTIの次のステップは?
2023年のOpenCTI戦略ロードマップの一環として、研究チームがより効率的に脅威インテリジェンス知識を生成できるよう支援し、プラットフォームでの知識作成を容易かつ迅速化する機能を開発していきます:
- 自然言語処理とニューラルネットワークを使用した自動抽出。
- クイック&追加のテキストハイライトとマッピング機能を使用した手動抽出。
- レポートを生成し、さまざまなチャネルを通じて共有する普及プロセス。
OpenCTIの使用により、質の高いデータセットと知識サブシステム、そして長期的に正確な主要指標を作成する能力が保証され、意思決定者でさえFIMI分野と進行中のトレンドを理解するための包括的な方法が提供されます。
FIMIパイロットダッシュボード
結論
これは、ハイブリッド脅威の問題やサイバー空間における情報戦の将来の進化など、業界の主要課題に取り組む旅の始まりに過ぎません。
明らかに、私たちはまだ、作業を継続し、プラットフォーム(および関連エコシステム)のネイティブ機能を強化し続けるために、現場からの支援とインプットを必要としています。コミュニティに参加して、アイデアや提案を遠慮なく共有してください!
続きを読む
関連トピックとインサイトをご覧ください
