5日から数秒へ：ASRG、OpenCTIで自動車業界の脅威管理をスケール

ASRGについて

Automotive Security Research Group（ASRG）は、自動車業界のサイバーセキュリティを前進させるために2016年に設立された非営利団体です。世界中に約2万人のメンバーを擁するASRGは、教育、ネットワーキング、協働イニシアチブを通じて研究者と業界の専門家をつないでいます。Certified Numbering Authority（CNA）として、CVE識別子の割り当てと関係者間の調整を通じて、責任ある脆弱性開示も支援しています。業界全体で信頼できるサイバーセキュリティの知識とソリューションを構築するため、ボトムアップでコントリビューター主導のアプローチを推進しています。

背景

自動車業界でサイバーセキュリティ脅威が高度化するにつれ、信頼できる協働型のインテリジェンスエコシステムの必要性はますます明白になりました。従来のIT脅威共有モデルは、自動車システムの複雑さがもたらす固有の課題に応えられませんでした。だからこそ、当時Porscheに勤務していたJohn Heldreth氏は、2016年に、のちのAutomotive Security Research Group（ASRG）となる取り組みを立ち上げたのです。「自動車のサイバーセキュリティの成功には、コミュニティが非常に重要な役割を果たすことに気づきました。どの会社で働いているかは関係ありません。ソリューションの一員になるか、その反対側にいるかのどちらかです」 ASRGは、少数精鋭のコアチームと、世界中のプロジェクトに貢献する数百人のアクティブなボランティアに支えられ、2万人を超えるメンバーを持つグローバルな取り組みへと急速に成長しました。

課題

限られた相互運用性と外部共有

ASRGはすでにCTIプラットフォームを利用していましたが、情報を効率的に整理し、コンテキストを与え、共有するために必要な柔軟性とオープン性を欠いていました。システムは内部利用のみを想定して設計されており、オブジェクト間に意味のある関係を構築することや、脅威インテリジェンスを外部に公開することが困難でした。「私たちは業界からのインプットに基づいて独自の脅威インテリジェンスを作成していますが、それを構造化し、流通させ、他の人が使えるようにする場所がありませんでした」とJohn Heldreth氏は振り返ります。コラボレーションを可能にするため、チームはカスタムAPIでデータを手作業で抽出し、フォーマットを変換し、外部ツールに再ホストしなければなりませんでした。「一般に、企業は脅威情報を秘密にしておきたがりますが、私たちに必要だったのはその逆でした」とJohn氏は付け加えます。この回避策は摩擦を生み、エラーのリスクを高め、リアルタイムの情報交換をほぼ不可能にしていました。

高いインフラコストと保守コスト

内部のCTI管理用と外部向けダッシュボード用という2つの並行システムの維持は、大きなオーバーヘッドを生んでいました。ASRGは大規模なサーバーを稼働させ、冗長なインフラの維持コストを負担しなければなりませんでした。限られたリソースで運営する非営利団体にとって、このモデルは持続可能ではありませんでした。

時間のかかるワークフロー

データのエンリッチメントとダッシュボードの生成は大部分が手作業のプロセスで、セットアップと維持に膨大な時間と労力を要しました。「かつては40時間以上の作業が必要でした」とJohn Heldreth氏は説明します。この遅さがASRGの効果的な情報発信力を鈍らせ、進化する脅威やコミュニティのニーズに対するプラットフォームの即応性を制限していました。

エンリッチメントプロセスにおけるトレーサビリティの欠如

AIモデルを使ったエンリッチメントの自動化を始めたASRGは、新たな課題に直面しました。生成された各データの出所とロジックを追跡することです。John氏はこう語ります。「データの品質を保証する必要がありました。エンリッチメントプロセスのすべてのステップが（誰が何を、なぜ作成したのか）追跡可能でなければ、データを信頼できません」 透明性の確保と監査の目的のため、ASRGにはエンリッチメントのあらゆる段階でこのエンドツーエンドのトレーサビリティを保持できるプラットフォームが必要でした。

ASRGがFiligranのOpenCTIを選んだ理由

設計思想からしてコスト効率が高く、オープンソース

限られたリソースで運営する非営利団体として、ASRGにはライセンス上の制約やベンダーロックインなしにスケールできるプラットフォームが必要でした。以前のCTIソリューションは無償で利用できたものの、自動化、エンリッチメント、コミュニティ主導の共有に必要な柔軟性とオープン性を欠いていました。OpenCTIのオープンソースという性質により、資金面の障壁なく始めることができました。「最初は主にコストが決め手でした」とJohn Heldreth氏は説明します。こうしてFiligranのOpenCTIは、安全かつ独立してスケールするための優れた選択肢となりました。

構造化され、相互運用可能で、オープンスタンダードに基づく

OpenCTIがSTIX 2.1標準に準拠していることは、ASRGに脅威インテリジェンスを構造化するための明確で相互運用可能なフレームワークをもたらしました。「STIXのスキーマを理解している人なら、OpenCTIも理解できます」とJohn氏は説明し、「そのおかげで、データを構造化し、オブジェクト間に意味のある関係を構築することが容易になります」と続けます。STIXは完璧ではありませんが、ユースケースを越えて知識を共有するための重要な土台となっています。

自動化とエンリッチメントを可能にするAPIファーストアーキテクチャ

ASRGには、特にAI主導のエンリッチメントパイプラインを支えるため、独自のワークフローに従ってデータを抽出・エンリッチ・再統合する自由が必要でした。このプロセスは32の連続したステップで構成され、生データがOpenCTIから抽出され、分析・分類され、関連コンポーネントに紐付けられ、継続的に更新されたうえでプラットフォームに送り返されます。このエンドツーエンドのフローが、継続的で双方向のデータループを実現します。「最小限のリソースですべてをこなさなければならないので、可能な限り自動化と人工知能を活用しています」とJohn Heldreth氏は言います。「プラットフォームに制約されることなく、そのプロセスをエンドツーエンドでオーケストレーションできることが不可欠でした」 OpenCTIの堅牢なAPIとPythonライブラリは、システムに出入りするデータフローの完全なコントロールをチームに与えました。

導入

FiligranのOpenCTIの導入は、ASRGの運営における転機となりました。モジュラー設計と扱いやすいツール群のおかげで、プラットフォームは迅速に統合されました。数週間のうちにASRGはデータを移行し、脅威インテリジェンスを統一された整理の行き届いた環境へと一元化し始めました。

決め手となったのは、Filigranチームとの緊密で反応の速い関係でした。専用のSlackチャンネルを通じて、ASRGは質問を投げかけ、アイデアを試し、自動車セクター特有の要件に合わせてプラットフォームを適応させることができました。「自動車のユースケースを既存のソリューションに最適な形で組み込む方法を常に一緒に探ってくれて、素晴らしい体験でした」とJohn氏は言います。「あらゆるソフトウェアの中でも最高の導入体験の一つです。資金や収益が潤沢でない非営利団体にとっては、なおさらです」

FiligranはASRGをどう支援しているか

自動化による運用効率

Filigranの高度なツールにより、ASRGはエンリッチメントワークフローの90%以上の自動化を達成しました。脆弱性やレポートといったインテリジェンスオブジェクトは、今では最小限の人手で収集され、コンテキストを付与され、再配布されています。ASRGの創設者が言うように、内部の処理時間は劇的に短縮されました。「OpenCTIで何かをエンリッチするのにかかる時間は、たいてい数秒です」 コストを増やさずに能力を拡張するうえで、不可欠な水準の効率性です。

データの品質と来歴への信頼

OpenCTIのグラフベースの構造により、ASRGは120万件を超える脆弱性関連データポイントに厳格なトレーサビリティを適用できるようになりました。人間のコントリビューターによるものであれ自動プロセスによるものであれ、すべてのオブジェクトと関係が完全に文書化され、コミュニティからのフィードバックに開かれています。このトレーサビリティにより、ASRGは実行可能なインテリジェンスを配信する際に、グローバルなエコシステムが期待する信頼水準を維持できます。

信頼できるパートナーとの標準化された共有

FiligranのOpenCTIにより、ASRGは今、STIX/TAXII互換のAPIとダッシュボードを通じて、選ばれたピアにキュレーション済みのインテリジェンスをリアルタイムで提供できます。これは、コントリビューターとコンシューマーの間で知識が双方向に流れる、透明でコミュニティ主導の自動車サイバーセキュリティモデルを育てるという長期目標を支えるものです。「信頼され、尊重されていると感じられ、サイバーセキュリティの前向きな成果に貢献できるコミュニティが求められていることに、私たちは気づいたのです」とJohn氏は語ります。

今後の展望

ASRGは、現代の自動車システムの複雑さをより良く反映できるよう、OpenCTIの活用を拡大していく考えです。次の優先事項の一つは、資産、とりわけハードウェアコンポーネント、組み込みソフトウェア、暗号要素をより正確にマッピングし追跡する能力です。ASRGは、新興のサイバーセキュリティ標準や脆弱性交換フォーマットの進化を注視しており、OpenCTIの将来バージョンでこれらとの整合がさらに強まることを期待しています。

「開発チームとさらに緊密に連携し、OpenCTIをプロダクトの世界にとってもっと意義あるものにしていきたいですね」とJohn氏は語ります。

コミュニティインテリジェンスプロジェクトに取り組みたい方や、現在のOpenCTI実装をご覧になりたい方は、お気軽にJohn氏とASRGにご連絡ください。ASRGは、見せること・共有することを喜びとするインテリジェンスコミュニティの一つであり、自動車製品を取り巻く状況環境を知れば知るほど、それをより安全に守れると信じています。