Microsoft SentinelとOpenCTIの統合

急速に進化する今日の脅威環境において、SOCチームは高度な脅威を効果的に特定し対応するためにあらゆる利点を必要としています。Microsoft Sentinelは強力なすぐに使えるSIEM機能とシームレスなXDR統合を提供していますが、その効果は強化された脅威インテリジェンスによって大幅に増幅できます。

SentinelとOpenCTIを統合することで、組織は厳選されたIndicators of Compromise(IOC)をSentinelの分析ルールに自動的に注入できるようになります。これにより、リアルタイムの更新が可能になり、インシデントを実用的なコンテキストで充実させます。この双方向統合はOpenCTIのSTIX/TAXIIフィードとMITRE ATT&CK実装を活用し、Sentinelの生のアラートを敵対者の正確な帰属と詳細なTactics, Techniques, and Procedures(TTP)を含む完全にコンテキスト化されたインシデントに変換します。

OpenCTIとMicrosoft Sentinelを統合することで、Sopra SteriaのManaged Detection & Response(MDR)チームは、一見無関係なアラートを実用的な脅威パターンに関連付けることで脅威相関活動を改善し、誤検知を50%以上削減しました。

この記事では、Live StreamsとSentinelのtiIndicators APIを使用してOpenCTIとMicrosoft Sentinelを統合する方法を説明します。

前提条件

技術的要件:

• 稼働中のMicrosoft Sentinelインスタンス。
• 設定済みのOpenCTIインスタンス(オンプレミスまたはSaaS)。
• アプリ登録に管理者の同意を付与するためのEntra IDの特権ロール。

知識の前提条件:

• API設定に関する知識。
• オンプレミスデプロイメントのためのDockerコンテナに関する知識。

Microsoft SentinelとOpenCTIを統合する理由

適切な仕事に適切なツール:

Microsoft Sentinelは、組織が潜在的なセキュリティ脅威を特定し対応するために設計されたクラウドネイティブのSecurity Information and Event Management(SIEM)ソリューションです。ITセキュリティ運用のための強力なコマンドセンターと考えてください。ネットワーク全体からデータを収集し(デバイス、アプリケーション、サーバーなど)、高度な分析と機械学習を使用してサイバー攻撃を示す可能性のある異常な動作を検出します。たとえば、未承認のユーザーが繰り返しログインを試みたり、大量のデータを転送しようとした場合、Sentinelはそれを疑わしいとフラグ付けし、SOCチームが迅速に調査して対応できるようにします。

OpenCTIは、サイバー脅威インテリジェンスのためのライブラリと研究ラボのようなものです。既知のマルウェア、攻撃手法、背後にいるグループなど、サイバー脅威に関する情報を収集、整理、提示します。このデータを視覚化されたレポートに構造化することで、OpenCTIはセキュリティチームが誰が標的にする可能性があり、どのように攻撃するかを理解しやすくします。たとえば、マルウェアの亜種とその典型的なターゲットとの関連性を表示し、組織が特定のリスクに備えるのに役立ちます。

OpenCTIにおけるSocGholishマルウェアの概要

統合のメリット

実用的なインテリジェンスによる脅威検知の強化:

OpenCTIとSentinelを統合することで、関連性の高い優先度の高い脅威を検出する能力が向上します。OpenCTIは、疑わしいIPアドレスやマルウェアシグネチャなど、最新のIOCを提供します。たとえば、OpenCTIがハッカーによって使用される新しいフィッシングドメインを特定した場合、この情報はリアルタイムでSentinelに共有され、潜在的な攻撃がシステムに到達する前に検出してブロックできます。

CTIコンテキストでアラートを充実させることによるインシデント調査の効率化:

Sentinelがアラートを発生させるとき、コンテキストが不足していることがあり、アナリストが脅威の深刻度を判断するのが難しくなります。OpenCTIからのインテリジェンスを追加することで、各アラートは、敵対者への帰属や彼らが使用する一般的な戦術やツールの表示など、貴重な詳細で充実します。たとえば、異常なログイン活動に関するアラートには、既知のハッキンググループにリンクするOpenCTIからの情報が含まれ、アナリストにより明確な全体像を提供し、時間を節約します。

新たな脅威に対する積極的な防御:

この統合により、組織は最新の脅威インテリジェンスに基づいて防御を積極的に更新することで、攻撃者の先を行くことができます。OpenCTIは、グローバルな脅威動向を監視するように設定でき、このインテリジェンスをSentinelに供給し、Sentinelはリアルタイムで検出ルールに組み込むことができます。たとえば、OpenCTIが業界全体に広がる新しいタイプのランサムウェアを検出した場合、Sentinelは直ちにこれを検出および対応メカニズムに含めることができ、脅威が広範囲に広がる前に組織が自らを守るのに役立ちます。

統合オプション:Live StreamsまたはSTIX/TAXIIフィード?

OpenCTIは、Microsoft Sentinelなどの外部プラットフォームと接続するための複数の統合オプションをサポートしています。これには、Sentinel OpenCTI Connectorを使用してSTIX/TAXII経由でOpenCTIの更新を定期的にポーリングする方法や、リアルタイム通知のためにOpenCTI Live StreamsとServer-Sent Events(SSE)を活用する方法が含まれます。

Live Streamsは通常推奨されるオプションです。リアルタイム更新や依存関係の解決などのいくつかの重要なメリットを提供するためです。OpenCTIの統合機能の詳細については、OpenCTIドキュメントを参照してください。

Sentinelワークブックを通じたSTIX/TAXII統合

SentinelのtiIndicators APIを使用するOpenCTI Live Streams

この記事では、SentinelのtiIndicators APIを使用するOpenCTI Live Streamsにのみ焦点を当てます。

ステップバイステップの統合プロセス

Microsoft AzureとSentinelのセットアップ

Azureアプリ登録の作成

• Microsoft Entra ID -> アプリの登録 -> 新規登録に移動して新しいアプリを登録します。
• 登録が完了すると、アプリケーション(クライアント)IDとディレクトリ(テナント)IDが取得されます。
• 新しく登録されたアプリケーションの下で、APIのアクセス許可 -> アクセス許可の追加に移動します。Graph API経由でSentinelの脅威インテリジェンスデータへの読み取り/書き込みアクセスを許可するために「ReadWrite.OwnedBy」権限を追加します。その後、MS Entra特権ロール管理者がこのアプリ登録にテナント全体の同意を付与する必要があります。

アプリ登録シークレットの作成

Microsoft Entra IDの下で、アプリの登録 -> アプリを選択 -> 証明書とシークレット -> 新しいクライアントシークレットに移動します。生成されたシークレット値をコピーします。

MS Sentinelでの権限の付与

Sentinelで、コンテンツハブに移動し、脅威インテリジェンスソリューションをインストールします。これでデータコネクタに移動し、脅威インテリジェンスプラットフォームを有効にできます。これでSentinelのセットアップは完了です。

OpenCTIの設定

OpenCTI GUIでのストリーム作成

• OpenCTIから、Data -> Data sharing -> Live streamsに移動し、右下の+アイコンをクリックします。
• ストリームに名前と説明を付けて、作成をクリックします。
• 生成されたストリームIDを後で使用するためにコピーします。

Dockerスタックの更新

これで、Dockerスタックを更新してOpenCTIにコネクタを追加する準備が整いました。この記事では、docker-composeを使用します。

以下は、sentinel-intelコネクタ設定の例です。詳細については、OpenCTI Sentinel-Intel GitHubドキュメントを参照してください。

Docker-Compose.ymlでのOpenCTI Sentinel-Intelコネクタ設定

これで、Dockerスタックに変更を適用し、sentinel-connectorが適切に実行されていることを確認できます。OpenCTI内でコネクタに一意のユーザーを割り当てることを忘れないでください。

OpenCTI Sentinel-Intelコネクタ

確認

OpenCTIのIOCが、設定されたSentinelワークスペース(脅威管理 -> 脅威インテリジェンス)に複製され、KQLクエリで使用できるようになりました。

Microsoft SentinelにおけるOpenCTI由来のIOC

次の例は、過去7日間に高信頼度の脅威インテリジェンス指標と一致するDNSイベントを、ドメイン名、説明、脅威タイプ、ソース、信頼度スコア、および関連するクライアントまたはコンピュータなどの詳細とともに返します。

IOCを使用したKQLクエリの例

まとめ

Microsoft SentinelとOpenCTIの統合は、単なる技術的な強化ではなく、組織のサイバーセキュリティ態勢を強化する戦略的な動きです。Sentinelの堅牢な検出および対応機能とOpenCTIの充実した脅威インテリジェンスを組み合わせることで、セキュリティチームは脅威環境のより明確な視点を得て、より迅速で情報に基づいた意思決定が可能になります。このパートナーシップは、生のアラートを実用的なインサイトに変換し、チームがインシデントに対応するだけでなく、予測し防止するのに役立ちます。

このブログは、Sopra Steriaとのパートナーシップの一環であり、Pierre COLLARD(Senior Cloud Security Architect Lead, Sopra Steria Canada)とGurkamal BEDI(Network & Security Engineer, Sopra Steria Canada)によって執筆されました。

私たちは共に、サイバー脅威に積極的に対処するための最先端ツールでSOCチームを支援しています。

参考文献

• OpenCTI Ecosystem
• Sentinel Intel Connector
• OpenCTIドキュメント: Integrations
• Microsoftドキュメント: 脅威インテリジェンスプラットフォームをMicrosoft Sentinelに接続する