OpenCTIケース管理機能の本格始動:現在利用可能な機能と今後の展開

2023年の戦略的ロードマップの一環として、1月からOpenCTIプラットフォーム内のケース管理システムの開発に取り組んできました。

この取り組みは、2つのシンプルな事実から始まりました:

1. CTI / DFIR / CSIRTチームには、調査、インシデント対応、情報提供、テイクダウンなど、「リクエスト」を処理する継続的なニーズがあります。
2. OpenCTIに既に存在する機能は、この分野の重要な要件をカバーしています:オブザーバブル、エンリッチメント、サンドボックス、TTP、マトリックス、タイムライン、グラフ、ワークフロー、アサインメント、通知など。

利用可能な機能

OpenCTI 5.8.0以降、3つの新しいエンティティタイプを導入しました:

• Case Incident(インシデントケース):サイバーセキュリティインシデントと法執行機関の調査の両方を含む、すべてのサイバーオペレーションを処理します。
• Case Request for Information(情報提供依頼ケース):内部または外部パートナーや顧客からの特定の脅威に関するリクエストを処理します。
• Case Request for Takedown(テイクダウン要請ケース):外部コミュニケーションが必要なあらゆる種類のオペレーションを処理し、追跡します。

ケースのタイプ

ケースとは?

すべてのケースは、プラットフォーム内の「ナレッジのコンテナ」として扱われます。つまり、タイトル、日付、優先度、深刻度などの属性に加えて、ケースにはアタックパターン、侵入セット、マルウェア、オブザーバブル、インシデント/アラートなどの他のエンティティを含めることができ、ケースのコンテキスト内でそれらの間に関係性を作成することが可能です。

プラットフォームでのケース概要

他のエンティティタイプと同様に、ケースは複数の組み込み機能をサポートしています。

ステータス付きカスタムワークフロー

各ケースタイプに対してカスタマイズ可能なステータスとステップを持つワークフローを設定することが可能です。これらのワークフローは、今後、強制、検証、グループ制限をサポートするよう拡張される予定です。

エンティティタイプのカスタマイズ

必須/デフォルト/オプション属性

設定画面で、すべての属性にデフォルト値を設定でき、必須として設定することができます。また、信頼度や信頼性など、一部の属性はカスタムスケールをサポートしています。

ケースの属性とスケール

担当者と参加者(ユーザー)

ケースはプラットフォーム内の1人または複数のユーザーに割り当てることができます。また、ケースの直接的な責任者ではないものの、関連タスクに関与する参加者を設定することも可能です。

ケースへの担当者の割り当て

通知、トリガー、ダイジェスト

ケースはトリガーとダイジェストで使用でき、アクティビティのアラートと監視が可能です。OpenCTI 5.9以降、右上のベルアイコンを使用してケースに素早く購読できます。また、担当者と参加者は自動的に購読されます。

新規ケースのアラート

ケースのコンテキスト内でのディスカッション

ケースでは、他のエンティティと同様に、ノート機能を使用してディスカッションやコメントができます。すべてのノートは、ラベル、信頼度レベルを持つことができ、必要に応じて他のエンティティを含めることも可能です。

ケース内のノートとディスカッション

ケース内のデータとナレッジ

ケースで利用可能な機能的・技術的な機能に加えて、OpenCTIはサイバーセキュリティアナリストが様々な方法でケースを可視化し、エンリッチメントするための機能をすぐに使える形で提供します。例えば、ケースにアーティファクトを添付し、サンドボックス向けに利用可能なすべてのエンリッチメントコネクタを使用することができます。

グラフとナレッジ

ケースや情報提供依頼で何が起きているかを理解するために、含まれるすべてのナレッジを包括的なグラフで可視化できます。

アタックパターンマトリックス

MITRE ATT&CKオントロジーやその他のキルチェーンモデル、TTPフレームワークを使用して、ケースをマトリックスビューで可視化することができます。

ケースのTTPマトリックスビュー

タイムラインと相関

他のケースとのタイムラインや相関などの可視化機能により、アナリストの作業を支援します。

ケースのタイムライン

ケース内のタスク

OpenCTIでは、ケースをタスクにリンクできます。タスクは複数のユーザーに割り当てることができ、期限や説明などの特定の属性を持つことができます。プラットフォームの設定で、事前定義されたタスクを持つ「ケーステンプレート」を作成することが可能です:

ケーステンプレート

テンプレートは、作成時または作成後に、いつでもケースに適用できます。

ケーステンプレートの適用

今後の開発

インシデントレスポンス

インシデント対応ケースについては、「外部アクション」トリガーを処理するための新しいタイプのコネクタをプラットフォームに導入する予定です。エンドポイント名、オブザーバブルなどのケースデータのサブセットを使用して、例えばSOARプレイブックのトリガーや、EDRでの隔離アクションなどが可能になります。

情報提供依頼とテイクダウン要請

テイクダウン要請を自動化するための複数の機能拡張を計画しています。特に、エンリッチメントを通じて自動的に解決されるレジストラやサービスプロバイダーの不正利用連絡先への自動連絡を実現します。

情報提供依頼については、マルチチーム、プロバイダー/顧客アクティビティのより良い概要とフォローアップを実現するための機能拡張が予定されています。特に、一部のユーザーが自組織のRFIのみを開いて追跡できる新機能を作成し、本格的なアナリストがケース内で情報を収集し、依頼者に適切な成果物を提供できるようにすることを目指しています。

ご質問、ご要望、コメント、フィードバックがございましたら、お気軽にSlackでご参加ください!