組織のコンテキストにおいて最も重要なことを優先する

今日のセキュリティチームは、EDRやNGFWなどの内部ツールから、オープンソースや商用フィードまで、無数の脅威データソースにアクセスできます。しかしそれにもかかわらず、ほとんどのチームは圧倒され、インテリジェンスの優先順位付けに効果的に対処できずにいます。

このインテリジェンス過多のパラドックスは現実的な影響を及ぼしています。チームが脅威フィードを精査するために毎日何時間も費やしている一方で、Ponemon Instituteは、重大なセキュリティインシデントの55%が、組織のインテリジェンスフィードに実際に存在していたものの、優先順位付けが不十分であったためにアクションが取られなかった脅威に関連していたことを明らかにしました。課題は脅威インテリジェンスを入手することではなく、生データを、組織固有のリスクプロファイル、重要資産、運用コンテキストに沿った、実用的で優先順位付けされたインサイトに変換することなのです。

優先インテリジェンス要件(PIR)は、特定の焦点に基づいて最も重要で関連性の高い情報を収集し優先順位付けすることで、情報に基づいたインテリジェンス駆動の意思決定を行い、主要な目標を達成し、潜在的なリスクを評価し、重要なインサイトを分析するのを支援します。明確なPIRを確立することで、組織は散在するデータポイントを実用的なインテリジェンスに変換し、チームが戦略的成果に直接影響を与える情報に時間と労力を費やすことを保証できます。

OpenCTIにおけるPIRの概要

要約

• コンテキストに関連する情報を収集し優先順位付け:組織のコンテキスト、脅威の状況、地域、セクターに基づいて関心のある脅威に焦点を当てます。
• このインテリジェンスを処理し強化して、チームが直接アクションを取れるようにする:重要な脅威と主要エンティティに関連するイベント、コンテンツ、関係性を分析します。

主要なPIR機能

優先インテリジェンス要件(PIR)は、特定の関心対象エンティティに焦点を当て、それらに関する関連情報を提供することで、以下を可能にします:

• これらのエンティティをリスト化
• 特にPIRスコアやPIR最終スコア日付の変化でフィルタリングおよびソートし、最も関連性の高いエンティティや新たにPIRに追加されたエンティティに焦点を当てる
• これらのエンティティに関連する最新の重要なイベントを示すニュースフィードと履歴にアクセス
• それらを含むコンテナを表示、フィルタリング、ソート
• PIRコンテンツのスナップショットを提供する様々なグラフィカル表現を探索

OpenCTI Enterprise Edition (EE)には、優先要件に基づいて脅威インテリジェンスを表示および処理するためのAIチャットボットや自然言語検索などのオプションが含まれています。今回、以下のようにPIRを作成する専用オプションを追加しました:

OpenCTIにおけるPIRリスト

PIRの作成と関心対象エンティティの決定方法

焦点を当てる関心対象エンティティはどのように決定されるのでしょうか?

PIRを作成する際、ユーザーは名前、再スキャン期間(デフォルトは1ヶ月)、PIRの焦点を定義する一連の基準とフィルターを提供します。特定のPIRの関心対象エンティティと見なされるには、エンティティが指定された基準の少なくとも1つに一致する必要があります。この例では、PIRの焦点は「エネルギーセクターまたは欧州地域(基準)をターゲットとし、信頼度が60以上(フィルター)であること」となります。

PIR作成フォーム:一般設定

PIR作成フォーム:エンティティの選択

では、この情報がPIRコンテンツの決定にどのように役立ったかを見てみましょう。

ストリームイベントは定期的に分析され、PIRの関心対象エンティティが更新されます。再スキャン期間が指定されている場合、OpenCTIは対応する再スキャン日(例:現在の日付から1ヶ月前)からストリームを処理します。

各イベントについて、以下の条件を満たす関係性の作成を表す場合、ソースエンティティがPIRに追加されます:

• PIR基準の1つに一致する(例:関係性がエンティティXがエネルギーセクターまたは欧州をターゲットとしていることを示す)、かつ
• PIRフィルターを満たす(例:関係性の信頼度スコアが60以上である)。

PIRスコアは各関心対象エンティティに関連付けられ、そのエンティティが一致する基準の割合を示します。この例では、エネルギーセクターをターゲットとしているが欧州はターゲットとしていないマルウェアはスコア50を持ち、両方をターゲットとしているマルウェアはスコア100を持ちます。

フィルターと基準を満たす関係性が削除された場合、スコアが低下するか、PIR内にそのエンティティを維持する他の関係性がない場合はPIRから削除されます。

注意:再スキャン開始前に発生したイベントのために基準に一致するエンティティは考慮されません!例えば、マルウェアが3ヶ月前に作成されたエネルギーとの関係性を持っており、再スキャン期間が1ヶ月のPIRが作成された場合、その関係性が更新され(それに関する新しいイベントがストリームに表示され)ない限り、そのマルウェアはPIRに追加されません。

PIR概要:PIRコンテンツの視覚的インサイト

この例を引き続き使用して、新しく作成されたPIRで利用可能な詳細を見てみましょう。「概要」タブでは、PIRコンテンツの視覚的インサイトにアクセスできます。

PIR詳細には、PIR定義情報が集約されています:再スキャン期間、フィルター、基準、作成日、作成者、説明、処理遅延。処理遅延は、最後のストリームイベントとPIRによって処理された最後のイベントとの差です。これはストリームに対する遅れを示します。キュー内のメッセージ数は、まだ処理されていないタスクを示します。

PIR概要:PIR詳細

概要には、PIRの視覚的サマリーを提供し、主要な関心領域を強調する便利なウィジェットが含まれています:

• エンティティタイプ別の脅威の数(つまりPIR内のエンティティ数)。
• 関心のある最後の履歴イベントを表示するニュースフィードは、あなたのコンテキストにおける最新の重要なニュースへのインサイトを提供します(そこに表示されるイベントの詳細については「PIRアクティビティ」セクションを参照してください)。
• 脅威エンティティのトップ作成者
• 脅威からの関係性のトップ作成者は、関心対象エンティティのマーキングを引き起こした関係性を示します(この例では「エネルギー/欧州をターゲットとする」関係性)。これはPIRのトップソースへのインサイトを提供します。
• 時系列での脅威の数は、時間経過とともに関心対象としてマークされたエンティティを示します。

PIR概要:PIRコンテンツのインサイト

PIR脅威:焦点を当てるエンティティ

「脅威」タブには、このPIRの関心対象エンティティのリストが表示されます。スコアまたは最終変更日でエンティティを並べ替えたりフィルタリングしたりして、最も関連性の高いものを強調できます。スコアにカーソルを合わせると、そのエンティティが含まれている理由が表示され、脅威の状況全体にわたってインテリジェンスの優先順位付けを効果的にサポートします。

PIR脅威リスト:焦点を当てるエンティティ

PIR分析:関心対象エンティティを含むコンテナ

「分析」タブには、関心のある関連脅威またはPIRの基準に含まれるエンティティを含むコンテナが集約され、最もコンテキストに関連するコンテンツを表示できます。

PIR分析:関心対象エンティティを含むコンテナ

PIRアクティビティ:重要な履歴イベント

「アクティビティ」タブには、PIRの関心対象イベントがリストされます:

• PIR内のエンティティの追加または削除(新しいエンティティが関心対象として検出された、またはエンティティがもはや関心対象ではなくなったことを意味する)、または脅威のPIRスコアの変更(新しい基準をターゲットとしたためスコアが増加、または基準をターゲットとしなくなったためスコアが減少)。
• 関心対象脅威に関わる関係性の作成または削除。
• コンテナ内の関心対象脅威の追加または削除。

これにより、あなたのコンテキスト内の最近のアクティビティへのインサイトが提供されます。重要な脅威に関連する新たな展開に対してアクションを取ることができます。

PIRアクティビティ:PIRコンテキストに焦点を当てた履歴

ご注意:PIR機能はEnterprise Editionでのみ利用可能です。アクセスには特定のユーザー権限が必要です - PIRの表示用と、PIRの作成、更新、削除用の権限があります。必要な権限があることを確認するには、管理者にお問い合わせください。

まとめ

OpenCTIの優先インテリジェンス要件(PIR)は、インテリジェンスの優先順位付けを効果的に行うことで、セキュリティチームが最も重要な脅威に焦点を当てることを可能にします。関連データを収集、追跡、分析することで、チームは圧倒的なフィードを実用的なインサイトに変換し、重要な脅威が見過ごされないようにすることができます。これらは最も関連性の高い情報にリソースを向けるのを支援し、より効果的な分析、意思決定、リスク評価を可能にします。最終的に、PIRを確立し効果的に使用することで、複雑さと膨大なデータセットを明確さと関連性に変換します。これにより、組織は最も重要なことに先んじ、より速く、よりスマートで、より自信を持った意思決定を可能にします。

お楽しみください。ご質問がありましたら、Slackコミュニティチャンネルでお気軽にお尋ねください!