OpenCTIの保存済みフィルター：一度作成してチームで共有

フィルタリングは、OpenCTI内にあふれる脅威インテリジェンスを、実際に行動につなげられる情報へと変えます。アナリスト、ダッシュボード、フィード、自動化の仕組みは、ノイズに埋もれることなく、タイプ、信頼度、ラベル、日付などによって本当に関連性のあるデータのサブセットだけに絞り込めるようになります。

しかし、特定の脅威アクターや特定のインジケーター群を正確に捉えるような適切なフィルターを作成するには、時間と専門知識が必要です。これまでは、ビューごとにフィルターをゼロから作成する必要がありました。OpenCTIの保存済みフィルターを使えば、アナリストは一度フィルターを作成して保存し、適切なメンバーと共有したうえで、ウィジェット内で直接再利用できるようになります。

保存済みフィルターは一か所で管理でき、それを使用するすべての人、すべてのビューが常に最新の状態を保ちます。この小さな機能が大きな効果をもたらします。個々の専門知識を、共有され、信頼性があり、統制された基盤へと変え、プラットフォーム全体で一貫性、適応性、協働を高め、全員が同じデータビューに基づいて作業できるようにします。

フィルタリングが脅威データの関連性を保つ理由

OpenCTIインスタンスは、フィード、コネクタ、Trusted Automated Exchange of Intelligence Information（TAXII）やStructured Threat Information Expression（STIX）のソースから自動的に取り込まれる、インジケーター、マルウェア、脅威アクター、レポート、観測情報（sighting）など、1日に数千ものエンティティを取り込むことも珍しくありません。これを絞り込む手段がなければ、アナリストは組織にとって本当に重要な情報に集中する代わりに、ノイズをスクロールし続けることになります。フィルタリングは、具体的に次のような形で役立ちます。

• 大量のデータの中から関連性の高い情報を浮かび上がらせます。 アナリストは、エンティティタイプ、信頼度スコア、ソースの信頼性、ラベル、Traffic Light Protocol（TLP）のマーキング定義、作成日・更新日などの属性でフィルタリングし、グローバルなナレッジベースを「信頼度70以上で、過去7日間に作成されたdetectionタグ付きのインジケーター」といった、特定の調査やチームにとって本当に重要な絞り込み結果にまで狭めることができます。
• 検索からプレイブックまで、プラットフォーム全体で機能します。 同一のフィルタリングロジックは、エンティティリスト、調査・ナレッジグラフ、カスタムダッシュボードとウィジェット、エクスポート、バックグラウンドタスク、ライブストリーム、TAXIIコレクション、CSVフィード、自動化トリガーおよびプレイブックにわたって一貫して再利用されます。ダッシュボードビュー用に有用なフィルターを定義したアナリストは、同じロジックを使って、自動通知や、security information and event management（SIEM）プラットフォーム、endpoint detection and response（EDR）ツール、ファイアウォールといったパートナーや下流ツールへのデータ共有フィードを駆動できます。
• 的を絞った共有と配布を可能にします。 フィルターを使えば、組織はデータセット全体を公開するのではなく、ナレッジベースのうち関連性のあるサブセットだけ（例えば、特定のラベルが付いたマルウェアのみを含むTAXIIコレクションや、一定のスコアしきい値を超えるインジケーターなど）を共有できます。これにより、受信者にとってシグナルが明確に保たれ、アクセス制御と機密性の確保にも役立ちます。
• プロアクティブなアラートを支援します。 トリガーと組み合わせることで、フィルターはアナリストが手動でプラットフォームを再確認する代わりに、自分の条件（特定の脅威アクター、セクター、マルウェアファミリーなど）に一致する新しいインテリジェンスが現れた際に自動的に通知を受け取れるようにします。
• 自然言語によってハードルを下げます。 Natural Language Query（自然言語クエリ）を使えば、アナリストは正確なフィルター構文を知っている必要はありません。「過去1か月にAPT29と関連付けられたランサムウェアのインジケーターをすべて表示して」といったように平易な言葉で質問するだけで、OpenCTIのAIが背後で構造化されたフィルターを生成します。

フィルタリングは、同一の脅威データグラフを基盤としながら、アナリストのトリアージ、エグゼクティブ向けダッシュボード、自動化フィード、パートナーとの共有といった、それぞれの対象者に合わせて調整された非常に異なるニーズに対応させる仕組みです。

フィルターを一度作成し、複数のビューで再利用する

OpenCTIの保存済みフィルターは、フィルタリングをさらに一歩先へと進めます。個々にゼロから行っていたフィルタリングを、再利用可能で協働的な資産へと変えるのです。 すべてのアナリストがエンティティタイプ、ラベル、マーキング、信頼度しきい値の同じ組み合わせを作り直す代わりに、フィルターを一度作成し、必要なメンバーやチームと共有できます。

保存済みフィルターを適切な相手と共有する

任意のエンティティリストビューで、通常どおりフィルターを作成し、誰が見てもわかる名前を付けて保存し、特定のユーザー、グループ、組織にアクセス権を付与します。誰にどの程度のアクセス権を与えるかは自分でコントロールできます。

• 閲覧可能： メンバーが共有フィルターをそのまま閲覧・使用できます。
• 管理可能： メンバーが保存済みフィルターを閲覧・使用できるだけでなく、名前の変更、共有設定の管理、さらには削除まで行えます。

どのエンティティリストビューでも、自分が作成した保存済みフィルターと、自分に共有されたフィルターがすぐに使える状態で表示されます。

保存済みフィルターの共有・管理権限をコントロールする

OpenCTIでは、フィルターの共有は「フィルターの共有」権限によって制御されています。この権限がなくても、ユーザーは他者から共有されたフィルターを閲覧・使用できるため、デフォルトでは協働がオープンな状態に保たれます。この権限を持つユーザーは、自分が作成した、または「管理可能」のアクセス権を持つ保存済みフィルターを、他者と共有することもできます。

すべての保存済みフィルターには必ず所有者が存在します。作成者は常に「管理可能」権限を保持し、OpenCTIは常に少なくとも1名のメンバーが「管理可能」アクセス権を持つ状態を維持します。そのため、チームのアクセス権やメンバー構成が変化しても、共有フィルターが孤立することはありません。

その結果として生まれるのは、チームのために設計されたモデルです。真の協働を可能にするだけのオープンさを備えつつ、他のチームが依存しているフィルターへの望ましくない変更を防げるだけの統制も確保されています。

OpenCTIダッシュボードウィジェットで保存済みフィルターを再利用する

OpenCTIの保存済みフィルターは、ダッシュボードの土台にもなります。 エンティティリストで作成・管理した保存済みフィルターを、ダッシュボードウィジェットやカスタムビューでも使用できるようになりました。ウィジェットは、静的でサイロ化したスナップショットではなく、共有され統制された定義に基づく、一貫性のある構成要素になります。

ダッシュボードは移植性にも優れています。ダッシュボードを複製すると、すべてのウィジェットが保存済みフィルターへの参照を保持するため、フィルタリングロジックをゼロから作り直す必要はありません。ウィジェット、ダッシュボード、カスタムビューをエクスポートしたり、公開ダッシュボードを作成したりする際には、OpenCTIが各保存済みフィルターへの参照を自動的にその内容に置き換えます。内容が組み込まれているため、元となる共有フィルターへのアクセス権を持たない受信者に対しても、エクスポートや公開ダッシュボードは正しく機能します。

また、保存済みフィルターが唯一の正としての情報源であり続けるため、信頼性も保たれます。一度更新するだけで、それを使用するすべてのウィジェットに変更が自動的に反映され、ダッシュボードを横断して手動で作り直す必要はありません。保存済みフィルターが削除されたり利用できなくなったりした場合、それに依存するウィジェットは表示できなくなり、関連するエクスポートや公開ダッシュボードの作成も失敗します。この仕組みにより、コンテンツが気づかないうちに壊れることなく、信頼できる状態が保たれます。

すべてのチームを同じデータ定義に統一する

フィルターを保存し、適切な相手と共有し、ウィジェット内で再利用することは、データをめぐるチームの協働の在り方を変えます。各アナリストやチームが、関連性の高い攻撃パターンや重要な攻撃パターンといった選択基準の独自バージョンをそれぞれ定義するのではなく、共有され統制された定義へと収斂させることができます。このメリットは積み重なっていきます。

• 規模を問わない一貫性。 エンティティリストでもエグゼクティブ向けダッシュボードでも、また複数のウィジェットにわたっても、同じフィルタリングロジックが適用されます。「高信頼度のランサムウェアインジケーター」を追跡するウィジェットは、SOCダッシュボードであれエグゼクティブレポートであれ、表示される場所を問わず同じフィルターロジックを使用します。
• チーム間の整合性。各ユーザーのダッシュボードは同じ基準に基づいているため、意思決定者に矛盾した数値が届いたり、混乱が生じたりする余地が少なくなります。意思決定者は、全員が同じデータを同じ方法で見ていると確信できます。
• 連携の迅速化と複雑なフィルタリングへの容易なアクセス。ユーザーは、名前が付けられ、共有され、内容が明確なフィルターを利用できます。既存のフィルターを一から作り直す必要はなく、適切なアクセス権限さえあればよいのです。
• 自動更新。保存済みフィルターが更新されると、それを参照するすべてのウィジェットにその変更が反映されるため、複数のダッシュボードを手動で再構築する必要がなくなります。
• 制御された共有。ケイパビリティベースのアクセスモデルと「閲覧可能」「管理可能」の権限により、この連携を安全かつ柔軟に保つことができます。

チームが最も頻繁に再構築しているフィルターから始めましょう

複数のチームや組織が連携する中で、脅威インテリジェンスは迅速さと信頼性を両立させる必要があります。OpenCTIの保存済みフィルターは、アナリストの専門知識を大規模に機能する共有定義へと変えます。次回、保存する価値のあるフィルターを作成したら、それを保存し、わかりやすい名前を付けて、必要とする人たちと共有してください。