OpenCTI Playbook Library:事前構築された自動化をワンクリックで

脅威インテリジェンスは、それに基づいて行動できて初めて価値があります。しかし、行動すること(レビュー、ラベリング、ルーティング、エンリッチメント)自体が時間の浪費となり、アナリストが本当に重要な調査作業に割ける時間が減ってしまいます。

これがOpenCTI Playbookが解決するために構築された問題です。受動的なインテリジェンスリポジトリを、アナリストが各ステップで手を加えることなく、システムに入った瞬間に脅威データをエンリッチし、ラベル付けし、相関分析し、ルーティングする、能動的で自動化されたエンジンに変えます。

強力である一方で、playbookをゼロから構築することは、白いキャンバスを見つめるような感覚になることがあります。複雑で機能するplaybookを始めて組み立てることは、intimidatingに感じられる可能性があります。Playbook Libraryがそれを解決します。

Playbook Libraryへ —>

要約:

• Playbookは、アナリストの作業を遅らせる反復的な手作業を自動化し、実際の調査に集中できるようにします。
• 自動化ワークフローをゼロから構築することは困難です。すべてのチームがフローを設計する時間や専門知識を持っているわけではありません。
• Playbook Libraryは、ワンクリックでOpenCTIにデプロイできる、事前構築されたコミュニティ検証済みの設定可能なテンプレートを提供します。
• XTM Hubで現在利用可能:プラットフォームを登録して、数分で自動化を開始できます。

事前構築されたテンプレートのライブラリ

Playbook Libraryは、OpenCTIユーザー向けにXTM Hubから直接アクセスできる、すぐに使えるplaybookテンプレートの厳選カタログです。

最も一般的な自動化のユースケースをすぐに使える形でカバーしており、各テンプレートは、ゼロから構築しなければならない白紙のワークフローではなく、デプロイしてカスタマイズできる実用的なベースラインを提供するように設計されています。

ワンクリックデプロイ

使用したいplaybookを見つけたら、デプロイはワンクリックだけで完了します。

XTM HubにOpenCTIプラットフォームを登録し、任意のテンプレートで「Deploy in OpenCTI」をクリックすれば、playbookが実行可能な状態になります。

セットアップ自体がプロジェクトのように感じられてplaybookの採用を先送りしてきたチームにとって、この障壁はもうありません。JSONのエクスポートも、手動インポートも、ワークフローをゼロから再構築する必要もありません。「これが欲しい」から「実行中」までの時間が、数時間から数分に短縮されます。

事前構築済みかつ設定可能

ライブラリ内のすべてのテンプレートには、適切なデフォルト設定を持つ事前設定済みワークフローが含まれています。また、各コンポーネントが何をするか、なぜそのように設定されているか、デプロイ前にどのコネクタ、通知機能、または機能が必要かを説明するインラインドキュメントも付属しています。

何も隠されていません。すべての依存関係が明示的に示されているため、稼働前に何を確認すべきかを正確に把握できます。

Playbooks Library – XTM Hub

実践例:PIRによるブラックリスト管理

金融サービス企業のCTIアナリストを例に考えてみましょう。

彼らのチームは毎日、脅威フィードやISACで検出されたIP、ドメイン、ファイルハッシュなど、数十の新しいインジケータを取り込んでいます。信頼度の高いインジケータが入ってくるたびに、誰かが手動でレビューし、適切なラベルを適用し、関連するブロッキングフィードにルーティングし、監査目的で決定を記録する必要があります。機能はしていますが、遅く、反復的で、1つのステップを見逃すだけでコンプライアンスギャップが生じます。

そこで彼らは、この作業の一部を自動化できるかどうかを確認するために、OpenCTI playbookを試してみることにしました。

CTIアナリストはXTM HubでPlaybook Libraryを開き、「blacklist」を検索して、Blacklist Management with Post-Incident Review (PIR)テンプレートを見つけます。詳細ページには、ワークフローが何をするかが正確に説明されています。定義された基準に一致する新規または更新されたインジケータでトリガーされ、適切なラベルを適用し、関連するケースまたはフィードにルーティングし、インシデント後のレビューのために各アクションをログに記録します。前提条件は明確にリストされています。すべてが彼らの環境と互換性があるように見えます。

Playbook – Blacklist Management with PIR

アナリストは「Deploy in OpenCTI」をクリックし、セットアップパネルを確認すると、playbookが稼働します。その時点から、ルーティングとログ記録が自動的に行われます。アナリストは依然として判断が必要な決定を行いますが、すべてのインジケータを追跡、ラベル付け、文書化する機械的な作業は、playbookを通じて処理されるようになります。チームの時間のかなりの部分を占めていた作業が、今では静かにバックグラウンドで実行されています。

そして、これは単なるストーリーではありません。このplaybookは今まさにLibraryにあります。今日すぐに試すことができます。

Playbook Libraryで確認 —>

XTM Hubでの始め方

Playbook LibraryはXTM Hubで現在利用可能です。Community Editionユーザーは、カタログ全体を閲覧し、テンプレートから学び、手動インポート用にplaybookをダウンロードできます。Enterprise Editionユーザーは、それに加えてワンクリックデプロイを利用できます。

特定のテンプレートについて質問がある場合、ライブラリにplaybookを提供したい場合、または環境に合わせてテンプレートを適応させるためのサポートが必要な場合は、Filigran Communityでの会話に参加してください。ライブラリは時間とともに成長し、コミュニティからの貢献がその改善の一部となります。

ご質問がある場合やLibraryへの貢献をご希望の場合は、コミュニティチャンネルでお待ちしています!