OpenCTIにおけるWebhook:トリガーとダイジェストでサポート開始

FiligranによるTheat Intelligenceプラットフォーム、OpenCTIは、外部システムとの接続において、常に非常に強力で有用です。既に大規模なPythonコネクタライブラリ、ストリーム、フィードなど、皆さんがすでに使い慣れているものを備えていました。

情報共有機能の大幅な向上として、バージョン5.10から、OpenCTIでは通知からWebhook呼び出しをトリガーできるようになりました。

通知

念のため申し上げますと、トリガーとダイジェストにより、ナレッジに適用された変更や、最近ではEnterprise Editionでのユーザーアクティビティに関する通知を受け取ることができます。

これまで、トリガーとダイジェストの結果(ノーティファイアに改名)として、ユーザーインターフェースとメールのいずれかを選択できました:

Create notifications on user interface or email on OpenCTI

ノーティファイアとは何か、どのように作成するのか?

OpenCTIの設定で、管理者はノーティファイアコネクタに基づいてノーティファイアを作成できるようになりました。これらのコネクタはプラットフォームに登録され、そのスキーマと入力方法を記述します。

たとえば、Webhookノーティファイアコネクタには以下が必要です:

動詞(GET、POST、PUT)
URL
テンプレート
オプションのHTTPパラメータ
オプションのHTTPヘッダー

管理者は、これらのコネクタからノーティファイアを作成できます。

現在、利用可能なノーティファイアコネクタは3つあります:

Webhook
Platform mailer -> 完全にカスタマイズ可能なメールを送信
Simple mailer -> 組み込みのメーラーに基づいて、カスタマイズ可能なヘッダー、フッター、ロゴ、背景色でメールを送信

また、初めてのWebhook使用を簡素化するために、Microsoft Teamsで動作する2つのWebhookノーティファイアサンプルも提供しています。

OpenCTIでカスタムノーティファイアをテストする

カスタムノーティファイアの設定を容易にするため、フォーム内に「テスト」ボタンを追加しました。

このテストボタンを使用すると、ノーティファイアを通じてサンプルを送信できます:

サンプル通知(ライブトリガーで受信するもの)
サンプルダイジェスト
サンプルアクティビティアラート

テストリクエストを送信すると、「OK」の結果、または失敗した場合のスタックトレースのいずれかを受け取ります。

ユースケース例:Microsoft Teamsで通知を受け取る

このセクションでは、シンプルなユースケースをご案内します:OpenCTIのマルウェアに関する更新についてMicrosoft Teamsで通知を受け取りたい場合です。

ノーティファイアの設定

前述のとおり、OpenCTIの設定セクションでノーティファイアを設定できます。Sample of Team message for live triggerを、お客様の情報(TeamsのWebhookエンドポイント、OpenCTIのURL)で設定できます。

トリガーの作成

OpenCTIの通知とトリガーパートのトリガーとダイジェストで、新しいライブトリガーを作成できます。このトリガーの結果を選択する際、以前にカスタマイズしたSample of Team message for live triggerを選択し、エンティティタイプのフィルタリングとしてMalwareを追加できます。