インテリジェンス承認ワークフロー:データ品質の確保とプロセスの合理化

組織は多くの異なるソースからインテリジェンスを収集しますが、すべてのデータが一貫した形式や自動フィードを通じて到着するわけではありません。手動の提出、ファイルのインポート、フォームベースの投稿は、信頼できるインテリジェンスリポジトリの一部になる前にレビューが必要になることがよくあります。以前、OpenCTIのドラフトコンテンツは通常、OpenまたはValidatedという2つのシンプルな状態間を移動できました。基本的なユースケースには効果的でしたが、組織はドラフトのレビューステータスと次のアクションの責任者について、より詳細な可視性を必要とすることがよくあります。これこそが、新しいドラフトインテリジェンスワークフローで対処しているギャップです。

TL;DR

• 設定可能な複数ステップの承認ワークフロー: OpenCTIは、組織がドラフトインテリジェンスのためのカスタムレビューチェーンを、きめ細かいRBACで構築できるようになり、品質管理とガバナンスを透明で簡単にセットアップできるようにします。
• ワークフローはあらゆるドラフトインテリジェンスに適用可能: 構造化されていない人間発のインテリジェンス(アナリストのメモ、ヒント、顧客レポート)を、手動作成、ファイルインポート、フォーム入力、またはブラウザ拡張機能を介して処理できます。
• ステータスおよびトランジションレベルでの詳細なRBAC: ドラフトを表示、編集、管理、または進めることができるユーザーを、動的ロールや組織間共有を含めて制御し、各段階での完全な説明責任を実現します。
• スケールとガバナンスのために構築: ISAC、MSSP、大企業、政府機関、外部インテリジェンスを扱うチームは、データが公開される前の一貫した監査可能なレビューから恩恵を受けます。

組織は、品質管理とデータガバナンスを確保しながら、プロセスを透明で簡単に実装できるように、きめ細かいロールベースのユーザーアクセス(RBAC)を備えた複数ステップの承認ワークフローを設定できるようになりました。メンバーから提出された観測情報を収集するISAC、顧客からのインシデントレポートに対応するMSSP、または独自のインテリジェンスを提供する社内チームであっても、ドラフトワークフローは取り込みプロセスが一貫してスケーラブルであることを保証します。

OpenCTIのドラフト承認ワークフローの紹介ビデオをご覧ください:

手動と自動のインテリジェンス

自動化された脅威インテリジェンスと手動の脅威インテリジェンスは非常に異なる目的を果たしており、組織には両方が必要です。自動フィードがスケールのために構築され、信頼できるソースからの指標やレポートなどの構造化された事前検証済みデータを継続的に取り込むのに対し、手動インテリジェンスはコンテキストのために構築され、人間だけが観察できるものをキャプチャします。例えば、アナリストの調査メモ、パートナーからの情報提供、または顧客のインシデント説明など、非構造化で未検証の状態で到着します。この違いこそが、手動提出が自動フィードと同じパイプラインに単純に流入できない理由です:自動ソースがすでに獲得していることが多いレビューステップが必要なのです。

OpenCTIでの手動インテリジェンスの提出

OpenCTIでは、手動提出は「Draft」モードで保存されるため、ナレッジベースに入る前にまずレビューできます。OpenCTIで手動インテリジェンスを提出する方法はいくつかあります:

• 手動ドラフト作成: アナリストはOpenCTIで直接ドラフトを作成し、ゼロから入力でき、レビュー前に隔離されたワークスペース内でエンティティとリレーションシップを構築できます。
• ファイルインポート: ファイルをインポートする際、ユーザーはドラフト検証モードを選択できるため、システムは自動的にドラフトを生成し、抽出された結果をメインのナレッジベースに直接書き込む代わりに、レビュー用にルーティングします。

OpenCTIのファイルインポートオプション

• フォーム入力: 投稿者は、エンティティリストページ(Reports、Incidents、Threat Actors、Indicatorsなど)のフォームトグル、標準インポートダイアログの「Import using a Form」オプション、または直接プラットフォームアクセスなしにインシデントや観測情報を提出する必要がある外部または非専門の投稿者(ISACメンバー、MSSPの顧客など)に配布される共有フォームリンクを介して、構造化された入力を提出できます。

OpenCTI入力フォームの例

• XTMブラウザ拡張機能: Filigranブラウザプラグインを使用すると、アナリストはブラウジング中にインテリジェンスをキャプチャし、現場で遭遇したWebページ、記事、または指標にフラグを立て、ブラウザを離れることなく収集を効率化しながら、レビュー用のドラフトに直接送信できます。

XTM Browser Extensionを使用すると、Webブラウザから直接データを取り込むことができます

あらゆる組織のニーズに対応する柔軟なワークフロー

すべての組織には独自のインテリジェンスプロセスがあります。いくつかの簡単なレビューステップだけが必要な場合もあれば、アナリスト、マネージャー、専門チームを含む詳細な承認チェーンが必要な場合もあります。新しいDraft Workflowsは、組織のニーズに簡単に適応できます。管理者はカスタムステータスを作成し、トランジションを通じてそれらを接続し、ドラフトがあるステージから次のステージにどのように移動するかを定義できます。ワークフローはシンプルに保つことも、複雑な運用プロセスをサポートするために拡張することもできます。

OpenCTIのDraft Workflowの例

インテリジェンス承認ワークフローにより、組織は次のことができます:

• カスタムレビューおよび承認ステージの定義
• どのユーザーまたはロールがドラフトを進めることができるかの制御
• 特定のステージでの編集権限の制限
• インテリジェンス提出のステータスへの可視性の維持
• 適切にレビューされたインテリジェンスのみがプラットフォームに入ることの保証

ワークフローには必要なだけステップを含めることができます

ワークフローへのロールベースのアクセス制御の適用

追加のガバナンスを必要とする組織の場合、ワークフローは、特定のアクションや承認を誰が実行できるかを決定するロールベースの制御を組み込むことができます。これにより、レビュープロセス全体を通じて説明責任を維持しながら、コラボレーションを管理する構造化された方法が提供されます。

ワークフロー内のRBACは、2つの異なるレベルで制御できます:

• 1/ ステータス: この設定は、ドラフトコンテンツを表示、編集、または管理できるユーザーを制御します。アクセス制御は、ユーザーがドラフトに入るとき、または終了するときに適用できます。

Draftsのステータス権限の設定

• 2/ トランジション: この設定は、次のステップに移行できるユーザーを制御します:
• • トランジションをトリガーできるユーザー(ドラフトの編集権限に関係なく、ドラフトを次のステータスに移動できるユーザー)。
  • ドラフトコンテンツを表示、編集、または管理できるユーザー。
  • 組織間作業のコンテキストで、ドラフトコンテンツへのアクセスを他の組織に提供する。

ワークフローのステップのトランジション権限の設定

組み込みの検証チェックにより、公開前にワークフローの一貫性が確保され、設定中に管理者にガイダンスが提供されます。

Playbookは、新しいインテリジェンスが承認プロセスを完了したときに自動的に実行されるように設定することもできます。

主なユースケース

大量のインテリジェンス提出を管理する組織や、高度に規制された環境で運用する組織は、インテリジェンス承認ワークフローから特に恩恵を受けることができます:

• 情報共有・分析センター(ISAC): 管理された提出および承認プロセスを必要とする情報共有コミュニティ。メンバーがさまざまなソースやスキルレベルからインテリジェンスを提出する中で、正式なレビューステップにより、検証された実用的なデータのみがより広いコミュニティに届くことが保証されます。
• マネージドセキュリティサービスプロバイダー(MSSP): チームと顧客間のインテリジェンスの調整。承認ワークフローにより、MSSPは調査結果をクライアントに渡す前に一貫した方法で検証でき、正確性とクライアントの信頼の両方を保護します。
• 大企業: 複数のチームとレビューレイヤーがある。ドラフトワークフローにより、インテリジェンスはアナリストからリーダーシップまで、適切なステークホルダーのチェーンを通過でき、日常業務をボトルネックにすることはありません。
• 政府および公共部門の組織: これらの環境では、インテリジェンスが意思決定に情報を提供できるようになる前に、監査可能な複数段階の承認が必要になることがよくあります。特に外国情報操作および干渉(FIMI)キャンペーンに対抗する場合です。
• 外部ソースからインテリジェンスを収集するチーム: 外部提出は信頼性が大きく異なる可能性があるため、レビューレイヤーは、インテリジェンスが対処されたりさらに共有される前に、信頼性とコンテキストを確認するのに役立ちます。

Community EditionとEnterprise Edition

基本的なワークフロー管理はCommunity Editionに含まれており、承認ワークフローで複数のステップを定義し、プラットフォームを離れることなくレビュープロセスを実行できます。以下の高度な機能はEnterprise Editionに含まれています:

• 各ステップでRBACを実施: すべてのステージでドラフトを表示、編集、または管理できるユーザーを定義します。承認されたメンバーは、特定のユーザー、グループ、または組織、または「ドラフト作成者」や「ドラフトの著者組織」などの動的ロールにすることができ、各ポイントで適切な人だけがアクションを実行できるようにします。
• 各ステップを進めることができるユーザーを制御: 編集権限とは独立して、ドラフトを次のステップに進めることができる正確なユーザー、グループ、または組織を指定できます。例えば、マネージャーだけがドラフトを進めることができるように指定できます。
• 組織間コラボレーションを有効化: プラットフォームの分離が適用される場合、ドラフトは特定の編集権限が割り当てられる前に他の組織と共有できます。特定のステップでドラフトを自動的に受け取る組織を事前に定義することも、そのステップに達したときにユーザーが誰と共有するかを選択できるようにオープンにしておくこともできます。

結論

根本的に、Draft Approval Workflowsは、組織がインテリジェンスの品質を向上させるのに役立ちます。インテリジェンスが公開される前に構造化されたレビューゲートを導入することで、チームは提出物を検証し、コンテキストを確認し、データがプラットフォームに入る前に内部基準を満たしていることを確認できます。結果:より高品質のインテリジェンス、より強力なガバナンス、そしてプラットフォームに入る前にデータを収集、レビュー、承認するためのより一貫したプロセス。

Draft Approval Workflowsの実際の動作をご覧になりたいですか? 当社の脅威インテリジェンスエキスパートの1人とデモを予約するか、OpenCTI Enterprise Editionの30日間無料トライアルを開始してください。