GLIMPS MalwareとOpenCTIでCTIワークフローを工業化する

ますます高速化し多様化する脅威に直面する中、CTIチームは手動でインジケーターをエンリッチメントするだけでは対応しきれなくなっています。自動化がなければ、貴重な時間を浪費することになります。

各アーティファクトを手動で分析する
専門的な分析を探すために複数のプラットフォームを切り替える
結果をSTIX/CTIデータベースに統合する

この分散化により検知が遅れ、MTTR(平均対応時間)が増加し、疲労が蓄積されることで調査の品質と速度に悪影響を及ぼします。

この問題を解決するため、GLIMPSとOpenCTIは、以下を提供するデュアルコネクターを開発しました。

GLIMPS MalwareによるOpenCTIでのリアルタイムマルチエンジンエンリッチメント
OpenCTIを使用したGLIMPS Malwareでのアラートチャネル

OpenCTIにおけるGLIMPS Malwareエンリッチメントコネクター

GLIMPS MalwareコネクターはOpenCTI内でのマルウェアの仕分け、特性評価、分析を自動化します。

OpenCTIに含まれるアーティファクト(ファイル)を分析
GLIMPS Malware Detect APIを介してSTIXオブジェクトのリアルタイムエンリッチメントを提供

「External References」リンクを追加し、GLIMPS Malware Expertインターフェースに切り替えて各判定を詳細に調査できるようにします。

GLIMPS MalwareにおけるOpenCTIアラートコネクター

GLIMPS Malwareアラートコネクターはフローを逆転させます。GLIMPSによって検知された各マルウェアまたは疑わしいファイルに対して、以下を実行します。

アラートをSTIXオブジェクトとしてフォーマット
新しいバンドルを自動的にOpenCTIにプッシュ
SOC/CERTチームに直接通知

アラート閾値は完全にカスタマイズ可能で、使用される検知エンジン(例:YARA)に応じてセグメント化できます。

両方のコネクターは、以下の情報でOpenCTIプラットフォームをエンリッチメントします。

生成されるSTIXオブジェクト:スコア、ファイル、マルウェア、マルウェア分析、インジケーター、オブザーバブル、外部参照、ラベル
インジケーターの種類:ハッシュ(MD5/SHA1/SHA256)、ファイル名、URL、ドメインなど

このデュアル統合の利点とは?

FiligranとGLIMPSの組み合わせ技術により、CTIチームは次世代の検知およびエンリッチメントソリューションにアクセスでき、主な利点は以下の通りです。

シームレスな統合:侵害インジケーター(IoC)のインポートと使用をOpenCTIプラットフォーム内で直接簡素化
高度な自動化:IoC分析と分類タスクを自動化し、反応時間を短縮してセキュリティプロセスの効率を向上
脅威の可視化と管理
CTIデータのエンリッチメント:コネクターが詳細なコンテキスト情報でデータをエンリッチメントし、アナリストの意思決定能力を向上
コラボレーションと知識共有:コネクターによって実行されたすべての分析はGLIMPS Malware Expertプラットフォームで表示され、集中化された分析と共有機能によってチーム間のコラボレーションを促進

まとめ

GLIMPS Malwareの高度な分析機能とOpenCTIプラットフォームを組み合わせることで、CTIチームは手動で時間のかかるワークフローから脱却し、完全に自動化された協調的なアプローチを採用できます。このデュアル統合により、アナリストはより迅速に検知し、よりスマートに対応し、シームレスに運用を拡大できるようになり、疲労を軽減しながら調査全体の品質を向上させます。

ぜひご活用いただき、ご質問があればSlackコミュニティチャンネルでお気軽にお尋ねください!