OpenCTIのマルウェア解析でサイバーセキュリティトリアージを強化

サイバーセキュリティアナリストとして、疑わしいファイルや悪意のあるファイル、URL、ネットワークトラフィックを迅速に識別し分析することの重要性をご理解されていることでしょう。しかし、手動での分析は時間がかかり、特定の専門知識が必要です。このプロセスを効率化し、優先度の高い脅威に集中できるよう、OpenCTIに新機能であるマルウェア解析を導入できることを嬉しく思います。

STIX 2.1標準に準拠し、ケースや調査の文脈においてアナリストの作業を容易にするため、プラットフォーム内にマルウェア解析エンティティタイプを実装しました。

トリアージの課題

サイバー脅威インテリジェンスアナリストやインシデントレスポンダーは、ファイル、URL、またはネットワークトラフィックに疑わしいものや悪意のあるものが含まれているかどうかを判断するという課題にしばしば直面します。ソースコードの手動分析は時間がかかるだけでなく、特定のスキルセットも必要とします。さらに、アナリストは重大なリスクをもたらす脅威に時間とスキルを優先的に投入したいと考えています。この優先順位付けの重要なフェーズは、一般的に「トリアージ」として知られています。

アーティファクトを含むケースのトリアージプロセスを簡素化するため、OpenCTIはVirusTotal、Hybrid Analysis、Joe Sandbox、Hatching Triageなどの様々なサンドボックスとの統合を提供しています。

プラットフォームのエンリッチメントコネクタ

これらの統合は、プラットフォームに取り込まれた新しいアーティファクト（またはURL、ドメイン、ハッシュなど）に対して自動的にトリガーできます。これらのサービスは詳細なレポートを提供し、サイバーセキュリティアナリストが潜在的な脅威をトリアージし評価するのを支援し、提出されたアイテムをどのように処理するかについて情報に基づいた意思決定を可能にします。

現在の制限

CTIアナリストはOpenCTIの一部のエンリッチメントコネクタを活用してファイルやURLをオンライン分析に提出できますが、これらの分析から得られる知識の構造化と取得方法には制限があります：

外部のマルウェア解析によって生成される知識が完全には取得・構造化されていない
STIX 2.1のマルウェア解析SDO（Structured Threat Information Expression）が活用されていない
分析結果からのラベルが長いリストに積み重ねられているため、マルウェア解析の特性に基づいた効率的なピボットや検索に活用することが困難
特定のマルウェア解析中に作成されたすべての知識を取得することが難しい

URL解析に関連するURLとIPv4のリスト

OpenCTIのマルウェア解析でアナリストを支援

これらの制限に対処し、CTIおよびDFIRアナリストを支援するため、OpenCTIにマルウェア解析機能を実装しました。この新機能により、疑わしいファイルや悪意のあるファイル、URL、ドメイン名に関する知識をインポートできるようになります。この知識はSTIX 2.1マルウェア解析SDOを使用して構造化され、ホスト、オペレーティングシステム、モジュールなどの情報を含む、マルウェア解析がどのように実行されたかに関する技術的な詳細を提供します。