XTM Hubにおける統合フィードの紹介
OpenCTIへのデータ取り込みがこれほど簡単になったことはありません:XTM Hubにおける統合フィードの紹介
長い間、OpenCTIの統合フィードを発見して設定するには、Notionの「エコシステム」ページを閲覧し、自分のインスタンスで手動で設定を再作成する必要がありました。これは機能しましたが、繰り返し作業が多く、エラーが発生しやすく、共有が困難でした。
XTM Hubとその新しい統合ライブラリにより、この体験は完全に変わります。
OpenCTIエコシステムをリストアップしていた以前のNotionページは、XTM Hubの検索可能でフィルタリング可能な取り込みタイプと統合のカタログに置き換えられました。お気に入りのプラットフォームで直接、以下を扱うことができます:
- CSVフィード
- コネクター
- TAXIIフィード
- OpenCTIストリーム
- サードパーティ統合
要約:
- OpenCTIから統合フィードを簡単にインポート・エクスポート可能。
- XTM Hubを介してダウンロード可能な統合ライブラリ。
- 統合フィードを作成する際のユーザー事前プロビジョニングが不要に。自動的にオンザフライで作成可能。
- これらの機能により、高品質な統合フィードの生成が、これまでより速く、簡単に、そしてスマートになります。
すべての統合タイプをXTM Hubで統一
XTM Hubは、OpenCTIにデータを取り込む(または送り出す)すべての主要な取り込みメカニズムを一元化します。各取り込みタイプは記述され、キュレーションされ、再利用可能なJSON設定としてパッケージ化されているため、もう白紙の状態から始める必要はありません。
コネクター:取り込み、エンリッチメント、エクスポートのためのプラグイン統合
コネクターは、OpenCTIと外部システムを統合するプラグイン可能なコンポーネントです。商用プロバイダーやオープンソースからデータを取り込んだり、WHOIS、パッシブDNS、サンドボックス、マルウェア情報などのコンテキストで既存のエンティティをエンリッチしたり、SIEM、SOAR、チケット管理やケース管理システムなど他のプラットフォームへデータをエクスポートしたりできます。
XTM Hubを使用すると、Filigranとコミュニティによって構築・キュレーションされた、すぐに使えるコネクター設定を発見できます。各コネクターは、その目的と使用法を明確に示すJSON設定で記述されています。OpenCTIですべてのコネクターを最初から手動で設定する代わりに、XTM HubからJSON設定をダウンロードしてインポートするだけです。
このアプローチにより、「新しいデータソースが必要」から「稼働中」へと迅速に移行することでデプロイメントが加速され、動作することが分かっている参照設定に依拠することで設定エラーが減少し、同じ定義を再利用することで開発、テスト、本番環境間で一貫性が促進され、ナレッジ共有が容易になります。
TAXIIフィード:標準化された脅威インテリジェンス取り込み
TAXII (Trusted Automated eXchange of Indicator Information)は、HTTP(S)を介してSTIX形式の脅威インテリジェンスを配信するための標準です。多くのCTIプロバイダーはTAXIIエンドポイントを公開して、構造化された機械可読データを配信しており、OpenCTIはTAXIIフィードを使用してインディケーター、マルウェア、キャンペーンなどのSTIXコンテンツのコレクションをサブスクライブできます。これにより、プラットフォームを継続的で標準化されたCTIフローで最新の状態に保ち、パブリックまたは商用のSTIX/TAXIIサーバーとシームレスに統合できます。
このモデルをTAXIIフィードに拡張することで、XTM Hubは、さまざまなTAXIIソースのためのキュレーションされた設定を発見できるようにします。各フィードについて、TAXIIサーバーURLとAPIエンドポイント、関連するコレクション名またはID、ポーリング間隔とフィルタの妥当なデフォルト値がすでに含まれているJSON設定をダウンロードできます。OpenCTIにインポートされると、これらの設定はユーザーの観点からCSVフィードとほぼ同様に動作します。
その結果、TAXIIセットアップの推測作業が不要になり、数時間ではなく数分で標準化された相互運用可能なCTI取り込みが可能になり、TAXII由来のデータをOpenCTIの他のすべてのフィードと並行して正規化し、相関、エンリッチメント、運用化できるようになります。
TAXIIフィード – XTM HubのOpenCTI統合ライブラリ
CSVフィード:シンプルで柔軟なバッチ取り込み
CSVは、構造化データを共有するための最も普遍的なフォーマットの1つです。多くの組織がCTI、脆弱性、アセット、または内部運用データをCSVファイルとして公開しており、OpenCTIはHTTP/HTTPS経由で公開されたり、内部でCSV形式でエクスポートされたりするデータがある場合に、CSVフィードを活用できます。
XTM Hubでは、CSVフィードは第一級の取り込みタイプとして扱われます。一般的なユースケースに合わせたCSVフィードテンプレートのカタログを閲覧し、ソースURLやパス、CSV列とSTIX/OpenCTIエンティティ間のマッピング、区切り文字やエンコーディングなどのパース設定、推奨されるスケジュールとフィルタが既に定義されたJSON設定をダウンロードできます。テンプレートをOpenCTIにインポートした後は、いくつかのコンテキスト固有のパラメータを調整するだけです。
これにより、CSV取り込みは手動スクリプティングの作業から、反復可能で文書化されたプロセスへと変わります。構造や一貫性を犠牲にすることなく、バッチデータ取り込みの高速で低摩擦なルートを得られます。
CSVフィード – XTM HubのOpenCTI統合ライブラリ
OpenCTIストリーム:リアルタイム運用のためのリアルタイムCTI
OpenCTIストリームは、スケジュールされたポーリングのみに依存するのではなく、発生した更新をプッシュする、CTIのリアルタイムで継続的な配信に焦点を当てています。OpenCTIでは、ライブストリームは、ソースからプラットフォームへSTIXデータをほぼリアルタイムで配信でき、WebSocket、メッセージキュー、ストリーミングAPIなどのプッシュベースモデルをサポートし、SOC監視、自動ブロッキング、ライブ相関などの時間に敏感なユースケースを実現します。
XTM Hubは、ライブデータソースとシンクの両方の参照設定を提供することで、このパラダイムを拡張します。Hubでは、ライブストリーム定義を発見し、関連するストリームエンドポイント、フィルタ、データ形式を記述するJSON設定をダウンロードし、それらをOpenCTIにインポートしてストリーミングCTIソースに迅速に接続できます。
この機能により、SOCは新しいインディケーターやキャンペーンが出現した時点で反応でき、ファイアウォール、SOARプラットフォーム、検知エンジンなどの自動化システムをほぼリアルタイムで更新でき、クラシックなバッチフィード(CSVとTAXII)とストリーミングフィードを組み合わせて、より完全で常に最新のCTI全体像を得ることができます。
サードパーティ統合:エコシステムを接続
脅威インテリジェンスは、SIEM、SOAR、チケット管理、脆弱性スキャナー、ケース管理ツールなど、より広範なセキュリティおよびITエコシステムと相互作用する必要があります。このコンテキストでは、サードパーティ統合は、OpenCTIを外部プラットフォームにリンクするコネクター、フィード、または設定パッケージであり、単方向または双方向であり、取り込み、エンリッチメント、またはエクスポートに焦点を当てています。
XTM Hubは、これらの統合を主要なサードパーティツール向けのすぐに使えるテンプレートとしてカタログ化しています。それぞれには、統合が何を行うか、いつ使用するか、どのようなデータをもたらすかを説明する明確な説明と、OpenCTIに直接ダウンロードしてインポートし、環境に合わせて適応できるJSON設定が付属しています。
これらのテンプレートを使用することで、エコシステム全体で脅威インテリジェンスを運用化し、SOCとインシデント対応チームがすでに依存しているツールにOpenCTIを迅速に接続し、複数の環境、さらには複数の組織にわたって一貫性のある反復可能な統合パターンを構築できます。
サードパーティ統合 – XTM HubのOpenCTI統合ライブラリ
OpenCTIにおける取り込みの簡単なインポートとエクスポート
カタログ自体に加えて、重要な進化は、すべての取り込みがポータブルになったことです。
XTM Hubの各取り込みタイプには、CSVフィード、コネクター、TAXIIフィード、ライブストリーム、サードパーティ統合が含まれます。これらはすべて、設定ファイルとしてダウンロードし、OpenCTIにインポートし、エクスポートし直し、OpenCTIでワンクリックでデプロイし、環境やチーム間で再利用、適応、共有できるようになりました。
XTM Hubからのワンクリックインポート
XTM Hubで取り込みを選択すると、OpenCTIインスタンスにワンクリックでデプロイできます(XTM Hubにプラットフォームを登録した後)。OpenCTIは、すべてのフィールドがすでに事前入力された作成パネルを開きます:取り込みタイプ、技術パラメータ、マッピングロジック、スケジュール、オプション。JSON設定をダウンロードして、手動でOpenCTIにインポートすることもできます。
その後、適応する必要があるパラメータを変更し、必要に応じて認証データ(APIキー、トークン、資格情報)を追加するだけです。すべてをゼロから再構築する必要はありません。動作する文書化されたベースラインから始めることができます。
AlienVault OTXコネクター – XTM HubからOpenCTIへのワンクリックデプロイメント
独自の取り込みをエクスポートして共有
OpenCTIでは、作成またはカスタマイズしたあらゆる取り込み設定をエクスポートできるようになりました。テストインスタンスで独自のカスタム取り込みを構築し、JSONとしてエクスポートし、別のOpenCTIインスタンス(たとえば、ステージングから本番環境へ)に再インポートし、同僚、パートナー、またはコミュニティと共有できます。
これは、複数のOpenCTI環境を持つ大規模組織、多くの顧客向けにデプロイメントを標準化するMSSPやインテグレーター、苦労して得た統合経験を再利用可能なパターンに変えたいチームにとって特に価値があります。統合作業が単一のインスタンスに閉じ込められる代わりに、ポータブルな資産になります。
すべての取り込みタイプのための高品質でキュレーションされたコンテンツ
XTM Hubは単なる技術的なインデックスではなく、キュレーションされたコンテンツプラットフォームです。
各取り込みタイプについて、実環境で直接使用可能な品質チェック済みの設定と、取り込みが何を行うか、いつ使用するか、どのようなデータをもたらすかを説明する明確なユースケースの説明が提供されます。カタログは、取り込みタイプ(CSV、TAXII、コネクター、ライブストリーム、サードパーティ統合)、ユースケース(たとえば、フィッシング、マルウェア、脆弱性、詐欺)、統合タイトルまたはキーワードでフィルタリングおよび検索できます。
そこから、ニーズに合った取り込みを特定し、ワンクリックでOpenCTIにインポートし、最小限の調整のみでデータの受信またはエクスポートを開始できます。Hubの目標は明確です:誰にとっても直接使用可能で簡単にアクセスできるコンテンツを提供することで、配管工事ではなく、データの使用と検知やワークフローの構築に集中できるようにします。
そして、XTM HubからOpenCTI Enterprise Editionのトライアルを直接起動できるようになったため、OpenCTIを完全に導入する前に、トライアル環境でこれらすべての取り込みタイプと統合を試すことができます。
結論
XTM Hubにより、古いNotionベースのOpenCTIエコシステムリストは、ライブでキュレーションされた統合ライブラリへと進化しました。
すべての取り込みタイプ、コネクター、TAXIIフィード、CSVフィード、ライブストリーム、サードパーティ統合が、単一のフィルタリング可能なカタログに集約されています。すべての取り込みはOpenCTIでインポートおよびエクスポートできるため、設定がポータブルで共有可能、再利用可能になります。XTM Hubは、OpenCTIに直接簡単にインポートできる、各取り込みタイプのための高品質で本番対応のコンテンツを提供します。
XTM Hubでは、誰にとっても直接使用可能で簡単にアクセスできる高品質なコンテンツを提供することに取り組んでいます。そして、XTM HubからOpenCTI Enterprise Editionのトライアルを開始できるようになったため、トライアルでこれらすべてを試し、準備ができたらOpenCTIを本格的に導入できます。
OpenCTIへのデータ取り込みがこれほど簡単になったことはありません。今すぐ探索してください。
質問、リクエスト、コメント、フィードバックがある場合は、お気軽に Slackにご参加ください!xtm-hubチャンネルに投稿してください。
続きを読む
関連トピックとインサイトをご覧ください
