OpenCTIの自然言語クエリ：AIを活用して特定のエンティティを対象にする

スピードが求められるサイバーセキュリティの世界では、膨大なデータセットを迅速かつ効果的にナビゲートする能力が、セキュリティ態勢の向上に不可欠となっています。これらのデータセットは、多数の相互接続されたエンティティで構成されることが多く、大規模で複雑なフィルタリングの可能性を生み出します。自然言語クエリ（NLQ）の導入により、OpenCTI 6.6は、アナリストが自然言語を使って脅威インテリジェンスと対話できるようにします。母国語で質問や主張を行うだけで、フィルタリングされたOpenCTIエンティティリストの形で構造化された実用的な結果を受け取ることができます。複雑なフィルター構文はもう不要です – OpenCTIが自動生成します！

OpenCTIでNLQがどのように機能するか、アナリストの生産性をどのように向上させ、サイバー脅威インテリジェンスの作業をこれまで以上に直感的にできるかを見ていきましょう！

NLQを使った検索

OpenCTI検索バーの「Ask AI」ボタンをクリックしてNLQモードを有効にし、質問を入力するだけです。Ask AIがフィルターを生成し、リクエストに対応するエンティティを特定します。

AI大規模言語モデル（LLM）

Ask AIは、大規模言語モデル（LLM）を使用して、質問に基づいてフィルターを生成します。プロンプトには以下が含まれます：

• ユーザー入力の主張
• 質問の例とその期待される結果
• OpenCTIフィルター形式
• 結果に対する追加の制約

その他の考慮事項

フィルターキーはOpenCTIに存在する必要があります（属性、リレーション入力名、特殊なフィルターキー）：

• 演算子はサポートされているもの（「等しい」、「より大きい」、「含む」など）である必要があります。
• 値がエンティティタイプであるフィルターキーの場合、モデルはフィルター値に既存のエンティティおよびリレーションシップタイプのみを配置できます。

NLQは、一致するエンティティのリストを表示するために結果をフィルタリングします。

質問が理解されない場合、またはOpenCTIのサイバーコンテキストから外れている場合、フィルターが見つからない可能性があります。

プラットフォーム内のエンティティIDマッピング

質問にプラットフォームエンティティに対応する用語が含まれている場合、生成されたフィルターはそのエンティティのIDを参照する必要があります。したがって、生成されたフィルターは、そのような用語をIDに変換するために後処理される必要があります。

NLQフィルター結果は、キー、演算子、モード、およびいくつかの値を持つフィルターのリストで構成されます。キーがエンティティを表すフィルターの場合、提供された値が抽出されます。次に、プラットフォームデータ内の複数のフィールド（名前、値、エイリアスなど）を横断して検索が実行され、各値に一致するエンティティが見つかります。

一致が見つかった場合、最も一致するIDが生成されたフィルターで使用されます。

一致が見つからない場合、エンティティを含むフィルターの部分はスキップされます。

現在のNLQモデルの制限事項

NLQは最近OpenCTIに導入されたため、追加の開発作業がまだ進行中です。追加機能とすべてのユースケースを処理する能力は、将来のバージョンで導入される予定です。

例えば、OpenCTI 6.6は、リレーションシップの検索機能（エンティティのみ）をまだ提供しておらず、日付が完全に理解されない場合があり、モデルは関連エンティティのプロパティ（第2レベルの情報）でフィルタリングできません。私たちは、異なるフィルター間でマルチレベルの論理組み合わせ（例：AND/ORモードの混在）を返すLLMモデルに取り組んでいます。したがって、フィルターは現在、1レベルの入れ子に制限されています：単一のand/orモードで区切られたフィルターのリストです。

トークン使用量とコストに関する注意事項

自然言語クエリ機能は、フィルター構造を記述し、例を提供するために言語モデルに送信される大量のプロンプトに依存しています。これらの複雑なクエリは、大量のトークン使用を生成する可能性があります。カスタムAPIエンドポイント（OpenAI、Mistral、AzureAIなど）を独自のAPIキーで使用する場合、これによりコストが増加する可能性があります。

既存のFiligran SaaS Enterpriseのお客様の場合、クエリはホストされたモデルインスタンスを経由してルーティングされ、追加コストは発生しません。

まとめ

OpenCTIのNLQは、脅威インテリジェンスをよりアクセスしやすく直感的にするための大きな一歩です。ユーザーは母国語を使ってデータと対話できるようになりました。NLQは、以前はプラットフォームの深い知識を必要としていた複雑な検索の開発を容易にします。NLQにより、セキュリティチームは質問を洞察に変えることで、より迅速かつ効果的に対応できます！この機能が進化するにつれて、NLQはセキュリティチームを「レベルアップ」させ、人間の意図とCTIの望ましい結果との間のギャップをさらに削減し、OpenCTIを世界中の脅威インテリジェンスチームにとっての選択肢にします。

ご質問、リクエスト、コメント、フィードバックがございましたら、お気軽にSlackにご参加ください！ 📢！

注：OpenCTI AI機能はEnterprise Editionでご利用いただけます。