OpenCTI & HarfangLab: CTIデータを強化し、インシデント対応を最適化するコネクタ

HarfangLabコネクタ:サイバーセキュリティ強化のための技術的アプローチ

要求の厳しいサイバーセキュリティの世界では、一瞬一瞬が重要です。これは、進化する脅威に迅速に対応する必要性だけでなく、調査と対応作業を効率化する効果的なツールを持つことも意味します。

HarfangLabとOpenCTIのコネクタ統合により、脅威検知の迅速化、チーム間のコラボレーション促進、機密情報の相関性向上によるデータ保護の強化がどのように実現されるかをご紹介します。

OpenCTI × HarfangLab Streamコネクタのメリット

新しいHarfangLab × OpenCTIコネクタは、OpenCTIとHarfangLab間のデータフローを自動化し、効率性を高め、手動介入の必要性を削減します。

4つのメリットをご紹介します:

• 検知能力の強化: このコネクタは、OpenCTIの高品質なインジケータの広範なリポジトリを活用することで、HarfangLabの脅威検知を強化します。このコラボレーションにより、包括的で多様なインジケータセットへのアクセスが保証され、脅威識別の精度が向上し、誤検知のリスクが軽減されます。
• スピードと自動化: HarfangLab EDRコネクタは、OpenCTIからのインジケータの自動的でリアルタイムな送信を促進します。これにより検知プロセスが効率化され、重要な脅威インテリジェンスが迅速に伝達され、対処されることが保証されます。
• インテリジェンス主導の対応: OpenCTIでトリガーされたアラートは、OpenCTIの完全な脅威ナレッジベースを活用し、アナリストが脅威を効果的に評価するために必要なコンテキストを提供します。また、アナリストはケース管理や自動化ルールを含むOpenCTIの全機能にアクセスでき、効率的なインシデント対応を支援します。
• 実用性と統合: この統合は、OpenCTIとHarfangLab間のシームレスなデータ交換エクスペリエンスを提供し、アナリストの手動作業負荷を大幅に削減します。このコラボレーションにより、セキュリティエキスパートがより重要なタスクに集中するための貴重な時間が確保されます。

要約すると、OpenCTI × HarfangLab Streamコネクタの作成により、より迅速で正確な脅威検知、チーム間の効果的なコラボレーション、セキュリティインシデントへのより効率的な対応のためのプロセス自動化が可能になり、組織のセキュリティ体制が強化されます。

OpenCTI × HarfangLab Streamコネクタの詳細

Streamコネクタとは?

コネクタは、OpenCTIプラットフォームの基盤です。 コネクタには5つの異なるタイプがありますが、ここではOpenCTIと他のシステムまたはプラットフォーム間のリアルタイムデータ転送を促進するように設計されたStreamコネクタに焦点を当てます。

コネクタは、Pythonの人気とシンプルさにより、Pythonで開発されています。これにより、特にサイバーセキュリティアナリストの間で、コミュニティでの採用が容易になっています。

StreamコネクタはプラットフォームのCTIデータフローに統合され、継続的に動作して受信イベントを処理します。この動的でフィルタリング可能なStreamにより、侵害指標(IoC)やYARA、SIGMA、STIX形式の検知ルールなど、OpenCTIからの関連データをリアルタイムで利用できます。この情報は、SIEM、XDR、EDRなどのサードパーティプラットフォームにルーティングされ、新たな脅威を検知し対応する能力を強化します。

OpenCTI × HarfangLab Streamコネクタの仕組み

このセクションでは、このコネクタが提供するさまざまな機能について詳しく説明します。各ポイントは、HarfangLab Streamコネクタがどのように機能するかをよりよく理解するのに役立つ重要な機能を詳述しています。

• カスタムStreamの作成: OpenCTIでカスタムStreamを構成することで、プラットフォームの「一般」Streamをリッスンしながら、処理する関連データをより正確にターゲットするための特定のフィルターを適用できます。
• コネクタの設定: コネクタは、ユーザーが利用できる環境変数で設定され、HarfangLabとOpenCTI間で最適なエクスペリエンスを提供します。詳細については、READMEファイルを参照してください:こちら。
• イベントとエンリッチメント: カスタムStreamが作成され、コネクタが起動されると、Streamに関連するすべてのイベントを監視し、フィルターで定義された侵害指標に基づいてHarfangLabプラットフォームを直接エンリッチします。
• データ収集: 「import_security_events_as_incidents」変数が「true」に設定されている場合、コネクタはセキュリティアラート、インシデントイベント、検知された脅威に関する情報など、HarfangLabによって生成された重要なデータの収集を開始します。
• データ変換: 収集されたデータは、OpenCTIへの送信のために変換および準備されます。これには、データのSTIX 2.1シリアライゼーション形式への変換、無関係な情報のフィルタリング、必要に応じて追加のメタデータによるデータのエンリッチ、および異なるエンティティ間の関連する関係性が含まれます。
• リアルタイム転送: 準備されたデータは、Streamコネクタを介してリアルタイムでOpenCTIに送信され、HarfangLabによって生成されるとすぐに情報が分析と相関のために利用可能になることが保証されます。
• OpenCTIによる受信と処理: データが受信されると、OpenCTIはそれをシステムに統合し、事前に確立された管理ルールに従って処理します。これには、HarfangLabによって識別された各アラートのインシデント作成とインシデント対応が含まれます。ユーザーは常に、他の脅威データとの相関や追加のインテリジェンスによるエンリッチのオプションを持ちます。
• 使用上の制限:
• • OpenCTIのカスタムStreamレベルでフィルターを推奨します。これには、エンティティタイプ、検知、無効化、パターンタイプ(Yara / Sigma / Stix)などの基準が含まれます。
  • ユーザーは、from_OpenCTIリストに記載されているインジケータまたはオブザーバブルを手動で変更してはいけません。
  • 一部のsigmaルールはHarfangLab APIと互換性がない可能性があり、「Deserialization errors」(無効なフィールド)エラーが発生する場合があります。
  • YaraとSigmaルールについては、オペレーティングシステム、MITREタクティクス、MITREテクニックなど、他のオプションはルール自体を介してHarfangLabによって自動的に処理されます。
  • IoCに関しては、HarfangLabは特定のタイプのみをサポートしています:ドメイン名、ホスト名、ipv4-addr、ipv6-addr、URL、ハッシュ(SHA256、MD5、SHA-1、SHA-512)、およびアーティファクト。

要約すると、OpenCTI × HarfangLab StreamコネクタはHarfangLabとOpenCTI間の継続的かつ双方向のデータ交換を促進し、効果的な分析とセキュリティ脅威への機敏な対応のための情報の階層的な整理を可能にします。

ユースケース:OpenCTIとHarfangLab間の情報フロー

このユースケーススタディでは、OpenCTIとHarfangLab間でデータがどのように流れるか、情報交換における効果的なコアを形成する方法を明らかにします。

前提条件:

このユースケースを提示する前に、いくつかの前提条件が必要です:

HarfangLabエージェントのインストール:

• ユーザーは、HarfangLabが提供するドキュメントに従って、ターゲットホストにエージェントを正しくインストールおよび設定する必要があります。
• エージェントがないと、アラートと脅威のOpenCTIへのインポートは機能しません。HarfangLabでの検知がなければ、OpenCTI側での作成もありません。

カスタムデータStreamの作成と設定:

OpenCTI – Data / Data sharing / Live streamsで:

• 「+」ボタンを使用して新しいライブストリームを作成します。
• 名前を定義し、次のフィルターを追加します:
• • Revoked = No (このフィルターは、アクティブなインジケータのみが考慮されることを保証します)。
  • Is detected = Yes (HarfangLabに送信されるインジケータを制御したい場合は、デフォルトでインジケータを作成すると、検知はfalseに設定されます)。
  • Entity type = Indicator (インジケータに関するイベントのみが考慮されます)。
  • Pattern type = stix or sigma or yara (これら3つのパターンタイプを指定することが重要です)。

ライブストリームが作成および設定されると、コネクタ用の一意の識別子が取得されます。

この一意の識別子を「LIVE_STREAM_ID」という名前の環境変数に配置する必要があります。この手順は、正しいフィルターでカスタムStreamにコネクタを適切にリンクするために重要です。

その後、起動して「started」ステータスにするだけです。

環境変数の設定:

Copied!

1opencti:
2  url: 'http://localhost:8080'
3  token: 'ChangeMe'
4
5connector:
6  id: 'ChangeMe'
7  type: 'STREAM'
8  live_stream_id: 'ChangeMe' # ID of the live stream created in the OpenCTI UI
9  live_stream_listen_delete: true
10  live_stream_no_dependencies: false # Necessary to detect observables in the stream
11  name: 'HarfangLab'
12  scope: 'harfanglab' # Reserved:
13  confidence_level: 80 # From 0 (Unknown) to 100 (Fully trusted)
14  log_level: 'info'
15
16harfanglab:
17  url: 'ChangeMe' # The URL of the Harfang Lab Server
18  ssl_verify: true
19  token: 'ChangeMe' # Token for bearer auth (if set, will ignore basic auth params)
20  login: 'ChangeMe' # Login for basic auth
21  password: 'ChangeMe' # Password for basic auth
22  source_list_name: 'from_OpenCTI'
23  remove_indicator: true
24  rule_maturity: 'stable' # Available : stable or testing
25 import_security_events_as_incidents: true
26 import_threats_as_case_incidents: true # If true then "import_security_events_as_incidents" must be true
27 import_security_events_filters_by_status: 'new, investigating' # Filters available : new, investigating, false_positive, closed
28 import_filters_by_alert_type: 'yara, sigma, ioc' # Filters available : yara, sigma, ioc
29 default_markings: 'TLP:CLEAR' # Markings available : TLP:CLEAR - TLP:GREEN - TLP:AMBER - TLP:RED
30 default_score: 50
Copy

個々の環境変数の詳細については、対応するREADMEを参照してくださいこちら。

追加リソース:

• HarfangLabコネクタGitHubリンク: HarfangLabコネクタ
• コネクタのデプロイ方法: OpenCTIドキュメント
• データストリーミングとは: OpenCTIリファレンス

ユースケースの手順

1. OpenCTIからHarfangLabへのYara、Sigmaルール、IoCの送信:

• Streamが設定されると、OpenCTIはカスタムデータStreamを介して、YARAルール、Sigmaルール、侵害指標(IoC)を定期的にHarfangLabに送信します。
• ただし、stixタイプのIoCについては、コネクタはHarfangLabのデータ形式に一致するように変換されたデータを送信します。
• 例を見てみましょう:

Stixパターンを持つ新しいURLを作成し、パターンは次のようになります:

Copied!

1[url:value = 'https://threatexample.com']
Copy

以前に設定したStreamで何が起こるか、インジケータの作成、更新、削除時に存在するさまざまなタイプのイベントを次に示します:

— イベント「CREATE」:

— イベント「UPDATE」:

— イベント「DELETE」:

• ご覧のとおり、Stream上でトリガーされたこれらのイベントと取得された情報により、コネクタで情報を処理し、作成、更新、削除のいずれの場合でもHarfangLabに転送できます。
• また、Streamフィルターを適切に設定することの重要性にも注意してください。コネクタはOpenCTIプラットフォームに存在するすべてのタイプのパターンを処理するわけではなく、HarfangLabで有効なパターンタイプのみが処理されます(Yara / Sigma / STIX —(IoCの場合))。
• HarfangLabレベルでIoCを完全に削除したくない場合は、「remove_indicator」環境変数をFalseに設定することで、削除の代わりにIoCを無効化できます。

2. コネクタの起動が成功したら:

• コネクタの起動時に、Yaraルール、Sigmaルール、IoCの「Threat Intelligence」セクションで、HarfangLabに「from_OpenCTI」リストが自動的に作成されます。これらのリストがすでに存在する場合、コネクタはこれらのリストの識別子を自動的に取得し、データをそれらに取り込みます:

3. HarfangLab EDRプラットフォームによるデータの受信:

• OpenCTIからのルールとStixインジケータは、HarfangLab EDRプラットフォームに統合されます:

• 「from_OpenCTI」リストで直接作成、変更、削除を行うことは強く推奨されません。最悪の場合、コネクタの停止を引き起こす可能性のあるエラーが発生する可能性があります。
• また、コネクタはStixインジケータだけでなく、このインジケータに関連するオブザーバブルも処理できることに注意してください。これを行うために、「comment」セクションには、メインインジケータの情報を見つけるための不可欠なメタデータがあります(HarfangLabではインジケータとオブザーバブルを区別することができないため)。ただし、メインインジケータを削除することを決定した場合、それに関連するすべてのオブザーバブルもHarfangLabレベルで正しく削除されます。
• また、小さな特殊性もあります。実際、コネクタはANDとORを含む「複雑な」Stixインジケータも処理します。ただし、HarfangLabレベルでは区別できず、IoCとして作成されます。
• ANDとORを含むStixインジケータの例:

Copied!

1[url:value = 'http://threatexample1.com' OR url:value = 'http://threatexample2.com' AND url:value = 'http://threatexample3.com']
Copy

• OpenCTIレベルでは:

• HarfangLabレベルでは:3つのIoCが作成され、「comment」セクションには、indicator_IDとしてOpenCTI STIX標準識別子があります。

4. セキュリティイベントの検知と脅威の検知:

HarfangLabエージェントがルールとIoCに一致する疑わしいアクティビティを検知すると、これらの検知ごとに「Security event」を生成し、その検知に対して自動的に脅威を発生させます。

OpenCTIでのインシデント作成:

• コネクタは、HarfangLabによって検知された各「Security event」に対して、OpenCTIプラットフォーム上でインシデントを自動的に生成します。
• さらに、各「Security event」に一意の外部参照を割り当てます。

• コネクタがOpenCTI上で新しいインジケータを作成するたびに、検知された「Security event」の数に関連付けられた発生回数を示すsightingが自動的に生成されます。

OpenCTIでのインシデント対応の作成:

• 識別された各脅威に対して、インシデント対応がOpenCTI上で自動的に生成されます。これらのインシデント対応は、関係するホストの詳細や関連するすべての「Security event」を含む、検知された脅威に関するすべての関連情報を収集します。
• インシデント対応の例を次に示します:

• ナレッジレベルでは、より直感的な視覚的表現の恩恵も受けられます。

HarfangLabについて

HarfangLab EDR、サイバー攻撃に対する高度な保護

HarfangLab EDR(エンドポイント検知・対応)は、コンピューターやサーバーを標的とするサイバー攻撃に対して、プロアクティブかつリアクティブな保護を提供する、サイバーセキュリティ分野の高度なソリューションとして際立っています。このプラットフォームは、ANSSI(フランス国家サイバーセキュリティ機関)によるCSPN認証を取得しており、最高のセキュリティ基準への信頼性と準拠性を証明しています。

HarfangLab EDRは、シグネチャ、IoC、動作、さらにはランサムウェア対策用に特別に開発されたエンジン、およびAI搭載エンジンなど、さまざまな補完的な検知エンジンを提供します。これらのテクノロジーの組み合わせは、デプロイされたエージェントに直接インストールされ、誤検知を最小限に抑えながら、脅威に近い効果的な検知を可能にします。

検知と対応、および超軽量エージェントにおけるパフォーマンスに加えて、HarfangLab EDRは、すべてのオペレーティングシステムに対して、パブリック、プライベート、ハイブリッドクラウド環境での同型操作のための機能を提供します。

コミュニティSlackチャンネルで、ご意見をお聞かせください!