セキュリティチームの97%は、自組織のエクスポージャーが実際に悪用可能かどうかを判断できていません。あなたのチームは大丈夫ですか?レポートを読む
Filigran
ソフトウェア開発脅威インテリジェンス

OpenCTI 6.6のドラフトワークスペースでデータ取り込みをプレビュー

9 分で読めます
Preview data ingestion with draft workspaces in OpenCTI 6.6

取り込まれるデータが実際にどのように表示されるかを正確にプレビューできることは、健全で整理されたナレッジベースを維持するために不可欠です。OpenCTI 6.6で導入されたドラフトワークスペースは、プラットフォームのメインナレッジベースとは別のドラフト領域でデータを操作し、適切と判断された場合にデータの取り込みを検証するための、強力で汎用性の高いツールを提供することを目的としています。


ドラフトワークスペースの紹介

これまで、アナリストワークベンチを使用して、取り込まれるエンティティをプレビューすることが可能でした。

しかし、ワークベンチには制限がありました。

  • データは特定の画面でのみプレビュー可能で、表示される情報は限定的でした。
  • ワークベンチでのデータの追加と削除は、プラットフォームの他の部分とは別の、特定のワークベンチ画面を通じてのみ実行できました。
  • ワークベンチが表示する内容と、ワークベンチ取り込みの結果との間に、エンティティが既に存在しているか、エンリッチメントコネクタの結果などに応じて、違いが生じる可能性がありました。

ドラフトワークスペースは、アナリストワークベンチを置き換えることを目的としています。ワークベンチで可能だったことを実現できるだけでなく、それ以上のことを提供します。ドラフトの最終目標は、プラットフォームが提供できるのと同じ機能を、メインデータベースに影響を与えないドラフト環境で提供することです。

ドラフトワークスペースの生成

ドラフトワークスペースは、複数の方法で作成できます。

最初の方法は、ドラフトメニューから手動で作成することです。

creation from draft menu

ドラフトメニューからの作成

このデータを確認するには、ドラフトメニューからドラフトに入ることができます。

2番目の、そしておそらく最も有用な方法は、「ステップバイステップ」インポートモードでファイルをインポートする際に、ドラフト検証モードを選択することです。

import validation mode

インポート検証モード

この検証モードを選択すると、ドラフトが作成され、アップロードされたすべてのファイルとファイルインポートの結果が含まれます。

「ダイレクト/自動インポート」モードでファイルがアップロードされた場合、使用される検証モードは、プラットフォームとコネクタの構成に依存します。デフォルトでは、使用される検証モードはワークベンチですが、APP__VALIDATION_MODE プラットフォームパラメータを「draft」に変更することで変更できます。

ワークベンチからドラフトへのスムーズな移行を支援するため、既存のワークベンチをドラフトに変換する機能も導入しました。これにより、スムーズにドラフトを試すことができ、既存のワークベンチがドラフトにインポートされた場合にどのように見えるかを確認できます。

convert to draft button

ドラフトに変換ボタン

ドラフトワークスペース内の操作

ドラフトが作成されると、ドラフトに入り、その中に含まれる現在の変更を確認できます。

ドラフトに入ることは、セッション全体に影響するアクションです。プラットフォームでアクセスするすべてのページが、このドラフトのコンテキストになります。最新のメインナレッジベースデータは引き続き表示できますが、それに加えてドラフトデータも表示されます。

このコンテキストデータを常に意識できるよう、ドラフト内にいる間は常にヘッダーが表示されます。

draft header

ドラフトヘッダー

ドラフトに最初に入ると、ドラフト概要ページが表示されます。

draft overview

ドラフト概要

この概要ページでは、ドラフトのコンテキスト内で変更されたすべてのエンティティを確認できます。ドラフト内でデータに適用された操作の種類を確認できます。このドラフト内で作成されたか、更新されたか、削除マークが付けられたかを確認できます。

この概要ページ以外では、ドラフト内にいない場合と同じ方法で、プラットフォームをシームレスに閲覧できます。ナレッジ関連のページのみが利用可能で、設定ページは利用できません。通常と同じ方法でデータの作成、更新、削除が可能です。あなたのアクションは自動的にドラフトアクションとして認識され、プラットフォームのメインナレッジベースには影響しません。

ドラフト内では他のアクションも利用できます。通常と同じように、データのエンリッチメントをリクエストできます。エンリッチメントデータは、ドラフト内でのみ適用されます。

ドラフトコンテンツの管理

現在のドラフトにさらにデータをインポートしたい場合は、ドラフト概要のFileタブでも利用可能です。

draft files

ドラフトファイル

このインポートされたデータは、ドラフト内で既に利用可能な現在のデータに追加されます。

ドラフトで適用された変更を元に戻したい場合も可能です。「ドラフトから削除」の一括操作を使用すると、これらのエンティティに適用されたすべての変更が元に戻されます。エンティティがドラフト内で作成された場合は完全に削除され、エンティティが単に更新された場合は、それらの更新がすべて元に戻されます。

remove from draft

ドラフトから削除

ドラフトワークスペースの検証

ドラフト内のデータが正しい状態であると判断したら、ドラフトを検証することを選択できます。ドラフトの検証は元に戻せません。検証されると、ドラフトの状態が変更され、このドラフト内で何も追加または変更できなくなります。検証されると、ドラフトに含まれるすべてのデータが最終取り込みのために送信され、メインナレッジベースにマージされます。

ドラフトが検証された後でも、ドラフトに含まれていた内容を確認できます。検証済みドラフトを開くと、ドラフト概要の修正版が表示されます。

validated draft overview

検証済みドラフト概要

ドラフトを開いても、ドラフトコンテキストには入りません。検証時に存在していたデータのみが表示されます。ドラフトに新しいデータを追加することはできなくなり、再度検証することもできなくなります。

今後の改善

ドラフトは既にワークベンチよりはるかに多くの可能性を提供していますが、ドラフトと互換性のない機能がいくつかあります。現在、プレイブックとルールは、ドラフトで変更されたデータには適用されません。これにより、ドラフト内のデータが取り込まれる際にさらに変更される状況が発生する可能性があります。ドラフトに対する今後の改善の1つは、プレイブックとルールの統合です。これにより、データは検証後と全く同じように表示されます。

もう1つの今後の改善は、ドラフトへの検証ワークフローの追加です。現在、ドラフトを表示できるすべてのユーザーが検証できます。検証ワークフローの導入により、ユーザーと管理者がドラフトの指定検証者を設定できるようになります。これにより、ドラフトを作成して入力するユーザーは、ドラフトを指定された検証者ユーザーにレビューのために送信でき、その検証者がドラフトの最終検証を担当します。

まとめ

ワークベンチは引き続き使用可能ですが、非推奨となり、今後のバージョンで徐々に削除されます。現在の計画では、ワークベンチは6.9で最初の非推奨ステップが実施されます。新しいワークベンチを作成できなくなりますが、現在開いているワークベンチは引き続き操作できます。6.11リリースでは、2番目の非推奨ステップが実施され、ワークベンチは完全に削除されます。

ドラフトは、データ取り込みが実際にどのように見えるかをプレビューする強力な方法です。アナリストワークベンチは取り込みプレビューのアプローチに制限がありましたが、ドラフトは、受信データを検証および承認する全く新しい方法を提供します。ドラフトで解放される機能が、プラットフォームでのデータのインポートと取り込みの方法を容易にし、データの精緻化のプロセスをさらにスムーズにすることを願っています。

Slackコミュニティチャンネルに参加して、ご意見をお聞かせください!

続きを読む

関連トピックとインサイトをご覧ください