OpenCTIにおける脅威インテリジェンス自動化とプレイブックの導入

今後数ヶ月の優先事項は明確です。OpenCTIをより使いやすく、より高速にすることです。ドキュメントのインデックス化、自然言語処理とAIの実装、全体的なユーザーエクスペリエンスの向上、新しい連携機能の開発など、私たちのチームはプラットフォームを新時代へと導くことに専念しています。

ワークフローの例

高度なダッシュボード、トリガー、ダイジェスト、Webhookに続き、OpenCTI 5.11でプレイブックを導入しました。明確にしておきますが、OpenCTIをSOARプラットフォームに変えるつもりはありません。しかし、脅威インテリジェンスチーム、ハンティングチーム、検知エンジニア、インシデントレスポンダー、つまりOpenCTIコミュニティと顧客は、脅威の収集、調査、緩和における手作業を自動化し削減できる必要があります。

機能の概要

OpenCTIプレイブックは、完全にカスタマイズ可能な柔軟な自動化シナリオです。プラットフォーム管理者が有効化することで、プラットフォームで作成または更新されたデータを拡充、フィルタリング、変更できます。これらのシナリオは「コンポーネント」に基づいており、以下のようなものがあります。

• フィルター、変換、Webhook、ダイジェスト、メール、ルールなどの内部機能
• VirusTotal、Domain Tools、Hybrid Analysisなどのエンリッチメントコネクター（プレイブック対応コネクターについてはOpenCTIエコシステムページをご覧ください）

プレイブックで利用可能なコンポーネント

OpenCTIでのプレイブックの利用により、非常に多くのユースケースが実現可能になります。今後、数十の新しいコンポーネントのリリースにより、さらに拡張される予定です。現在のリリースでは、管理者は以下のことが可能になりました。

• 脅威インテリジェンス駆動型検知フィードで使用するために、エンリッチメント結果に基づいてラベルを追加
• 様々な条件に基づいてレポートとケースを作成
• 特定の条件下でエンリッチメントやWebhookをトリガー
• 他のナレッジに基づいてfirst_seenやlast_seenなどの属性を変更
• など

OpenCTI自動化エンジンの強力さは、プラットフォームで発生するあらゆるイベント（作成、更新、削除）でトリガーできる能力と、データフローにおいて分岐や交差を使用できる能力にあります。ユーザーがシナリオ内に明示的に1つ（または複数）の「Send for ingestion」コンポーネントを配置するまで、何も書き込まれません。

プレイブックの作成

プレイブックは、管理権限を持つユーザー（SET_ACCESS機能以上）がユーザーインターフェース（Data > Processing > Playbooks）から直接利用できます。必要な数だけプレイブックを作成でき、それぞれが独立して実行されます。

新しいプレイブックの作成

プレイブックで定義する最初のステップは「トリガーイベント」です。カスタマイズ可能なフィルターを使用して、任意のナレッジイベント（作成、更新、削除）を設定できます。

トリガーイベント

次のステップでは、以下のような柔軟な選択肢があります。

• 初期ナレッジのフィルタリング
• 外部ソースと内部ルールを使用したデータのエンリッチメント
• パッチを適用してエンティティとリレーションシップを変更
• データの書き込み、通知の送信など

トリガーイベント後の二重フィルター

以下は、特定の条件に基づいてインシデントレスポンスケースを作成するだけのプレイブックの例です。

インシデントに基づくケースの作成

もう一つの例として、ケースの属性に基づいて、コンテナ（レポートまたはケース）内の要素へのラベル追加を自動化する方法があります。まず、必要な条件でイベントを設定します。ここではCrowdStrikeが作成したレポートを対象とします。

CrowdStrikeからのレポートをフィルタリング

次に、「Complex rule to apply」コンポーネントを追加して、このレポートのすべての要素をワークフローに含めます。

ルール: コンテナリファレンスの解決

次に、このレポートに含まれるインディケーターにラベルまたはステータスを使用します。

コンテナ内のすべての要素にラベルを追加

このワークフローの概要は次のとおりです。

CrowdStrikeレポート内のすべてのインディケーターに「detection」ラベルを設定

プレイブックアクティビティの監視

プレイブック内で発生するすべてのアクティビティは、実行された各ステップの詳細とともに監視および追跡されます。

ステップの監視

また、各ステップについて、クリックしてステップ実行後の実際の生データを確認できます。

次のステップ

自動化エンジンの初版で利用可能なコンポーネントは、数百のユースケースに対応できます。現在の優先事項は、この機能に関するフィードバックを収集し、現在のバージョンでは対応できないアイデアやワークフローを集めることです。また、より多くのエンリッチメントコネクターをプレイブックエンジンと互換性を持たせる作業も継続します。

もちろん、以下のような新しいコンポーネントも開発していきます。

• 複数のソースに基づくケース作成のためのルール
• リレーションシップ管理コンポーネント（ラベルからのリレーションシップ抽出）
• NLP / 検索 / 全文インデックス機能
• など

ご質問、ご要望、コメント、フィードバックがございましたら、ぜひSlackでご参加ください!