OpenCTIにおけるリレーションシップ、エンティティ、オブザーバブルの一括作成機能のご紹介

OpenCTIは、リレーションシップ、エンティティ、オブザーバブルを作成するための複数の方法を提供しています。ユーザーはフォームに入力して手動で作成するか、コネクタやCSVマッパーを使用して自動的に作成できます。手動アプローチは個別にオブジェクトを追加する場合に適していますが、大量のオブジェクトを迅速に追加する場合には自動方式が効果的です。

しかし、同じタイプのオブジェクトやリレーションシップを一定数すばやく作成する必要がある状況があります。フォームを何度も手動で入力するのは面倒ですが、CSVマッパーを設定するのはやや大げさです。現在、ワークベンチを通じてある程度は可能です。単一のエンティティと複数の新しいエンティティ間のリレーションを一度に作成できます。しかし、これはワークベンチのコンテキストに限定されており、一部のエンティティとリレーションタイプのみがこの機能をサポートしています。

このような場面で一括作成が登場します。上記のユースケースに対処し、この機能をプラットフォームにもたらします。

一括作成の目的は、シンプルなコピー&ペーストによってオブジェクトを迅速に作成できるようにすることです。

Intrusion Setにリンクされた複数のIPを作成

一括作成機能を説明するために、アナリストが特定の攻撃に関する調査を行っているケースを考えてみましょう。この調査中に興味深いオブジェクトが特定され、OpenCTIにすでに存在するIntrusion Setに5つの新しいIPをリンクする必要があります。一括作成を使用してこれらのオブジェクトを迅速に作成する方法を見ていきましょう。

一括作成機能へのアクセス

まず、エンリッチメント対象のIntrusion SetのKnowledgeタブに移動します。そこから、Intrusion Setのナレッジの概要が表示されますが、このページからはまだリレーションシップを直接追加できません。右側のメニューのObservablesオプションをクリックします。この段階で、リレーションシップを追加するボタンが利用可能になります。これをクリックすると、リレーションシップを作成するためのパネルが開きます。このパネルの右上に、一括機能にアクセスするための「Create relations in bulk」ボタンがあります。

以下の画面が、リレーションシップを一括作成するためのエントリーポイントとなります。

Create Relations in Bulk – OpenCTI

データのコピー&ペースト

「to」列に、Intrusion Setに関連付けたいIPアドレスをペーストします。

Create Relations in Bulk – Associated Intrusions Set

各行は、Intrusion SetとペーストされたIPアドレス間のリレーションシップを表します。それぞれについて、Entity typeをIPv4に指定します。最後の列に示されているように、これらの要素はまだOpenCTIに存在しないため、次のステップは不足しているアドレスを作成することです。

不足している要素の作成

右上隅にある「Create missing entities」ボタンを使用すると、これらのIPアドレスをすばやく作成できます。これをクリックすると、先ほどペーストしたIPアドレスが事前入力されたフォームが開きます。ラベルやマーキングなどの追加情報を加えることができます。

Create an observable

次に、フォーム下部の「Create」ボタンをクリックします。

注:この例では、IPアドレスという単一のタイプのオブジェクトのみが対象です。複数のタイプがある場合は、各タイプごとにフォームに入力する必要があります。

すべてのリレーションシップの作成

IPアドレス作成フォームを検証した後、次のページが表示されます。

Created IP Addresses

すべてのIPアドレスが作成されました。左上隅の「Create」ボタンをクリックして、Intrusion Setと各IPアドレス間に「related to」リレーションシップを確立できます。

IP addresses and relationships created

複数のエンティティまたはオブザーバブルの作成

リレーションシップを確立せずに複数のエンティティやオブザーバブルを作成する必要がある場合があります。一括機能は、これらの要素を作成するために使用されるフォーム内から直接アクセスできます。たとえば、フォーム右上の「Create multiple entities」ボタンを使用して、1つのフォームに入力するだけで複数のマルウェアを作成できます。

Create a malware

一部のエンティティやオブザーバブルのタイプはまだ一括作成に対応していませんが、リストは近い将来拡張される予定です。

まとめ

OpenCTIの一括作成機能は、リレーションシップ、エンティティ、オブザーバブルの手動作成と自動作成の間のギャップを埋め、アナリストの日常業務を改善・効率化します。
この記事が、この新機能を活用して新しい要素を簡単かつ超高速で作成する方法のご理解に役立つことを願っています。

ご質問、リクエスト、コメント、フィードバックがございましたら、お気軽にSlackでご参加ください!