大手ラグジュアリーメーカーはOpenCTIでいかにサイバー防御を強化したか

お客様について

このお客様は、CAC 40に上場し、全世界で2万人以上を雇用するフランスの大手ラグジュアリーグループです。伝統的なクラフツマンシップに深く根ざしながら、ラグジュアリー産業のさまざまな分野へ事業を拡大してきました。職人的なイメージとは裏腹に、そのグローバル事業はITとデジタルプロセスに大きく依存しています。2020年以降、同社はサイバーセキュリティを戦略的優先事項と位置付け、社内のComputer Emergency Response Team（CERT）を急速に30名超の体制へ拡大しました。

背景

2020年、サイバーリスクへの懸念が高まる中、同社のCISOはサイバー防御の内製化を決断しました。イメージと信頼が生命線であるビジネスにおいて、サードパーティのMSSPだけに頼ることはもはや十分ではありませんでした。「ラグジュアリーブランドにとって、顧客ファイルの流出やITの停止がひとつ起きるだけで、レピュテーションと事業運営に深刻な影響が及びかねません」と、同社のCERTアナリストは説明します。

同ブランドはCERTをゼロから立ち上げ、わずか3年で4名から30名超の組織に成長させました。インシデント対応だけでなく、戦略的な意識向上と事業保護のためにも、プロアクティブで文脈豊かな脅威インテリジェンスの必要性がすぐに明らかになりました。限られたCTIリソースの中で、最も関連性の高いインテリジェンスを自動化・一元化し、迅速かつ確実に浮かび上がらせるツールが必要でした。

課題

限られたCTIリソースとコストのかかる手作業

脅威インテリジェンスに割けるのはフルタイムのごく一部の工数のみで、レポートやインジケーターの手作業での処理はスケールしませんでした。さらに、脅威インテリジェンスを検知ルールへ変換する作業は時間もリソースも消費するものでした。

「脅威インテリジェンスの担当は実質0.5人分です。エンティティを手作業で関連付け、検知ルールをゼロから書くことは不可能でした」と、同グループのCERTアナリストは語ります。「標準的な構成では、レポートごとに遡及的なハンティングルールを作成する必要があり、時間がかかり、CPU負荷が増え、スケールさせるにはリソースを消費しすぎることがほとんどでした」

中核的な検知能力のサードパーティ依存

外部MSSPへの依存には限界がありました。可視性は分断され、対応の速さも常に最適とは言えず、インフラと検知ロジックのコントロールはチームの手の届かないところにありました。「部分的な監視しかできないサードパーティに依存するのではなく、社内に専任の人材を置きたかったのです」とCERTアナリストは言います。

サイバーセキュリティが経営レベルで最優先事項と宣言されると、専任CERTを構築する大規模な組織再編が始動しました。この社内チームには、すべてのエンドポイントに対する完全な主導権、精度、可視性を備えた最高水準の検知能力が求められました。

IoC検知の一元的なワークフローの欠如

「IoCを自動検知する本物のツールはありませんでした」とCERTアナリストは認めます。「あるのは手作業だけで、死角だらけでした」。2020年当時、同社にはIoCの取り込み、エンリッチメント、アラートを自動化できるシステムがなく、インジケーターは手作業で管理されるか、まったく管理されず、社内テレメトリと相関させる一元的な手段もありませんでした。

従来型セキュリティレイヤー間の隙間

複数の防御レイヤー（メールフィルター、SIEM、EDR）を備えていても、一部の脅威ベクトルは検知をすり抜ける可能性がありました。CERTチームには、特にユーザー行動やインフラ監視の死角を突くものなど、すり抜けた脅威を捕捉する手段が必要でした。CERTアナリストはこう説明します。「社用端末で個人のメールボックスを開き、フィッシングリンクをクリックすれば、そのトラフィックはセキュアなメールゲートウェイを通りません。OpenCTIのおかげで実際に1件捕捉できました。そうでなければ、完全に見逃していたかもしれません」

なぜOpenCTIなのか

検知ファーストの設計

インジケーターをOpenCTIの検知ワークフローに直接組み込むことで、CERTは既知の脅威が社内ツールと一致した瞬間にSIEMでアラートを発報できます。「大きな違いは、現在の構成では検知がSIEMだけでなくOpenCTI経由で直接行われることです」とCERTアナリストは説明します。このユニークな位置付けにより、OpenCTIは能動的な検知レイヤーとなり、組織全体のエンドポイント保護を強化しています。

SIEMの外側でのシームレスなIoC相関

SIEMとの統合にとどまらず、OpenCTIは自律的な相関エンジンとして機能します。他のツールから独立して、既知のIoCをライブのオブザーバブルと突き合わせます。これが追加のセーフティネットになるとCERTアナリストは説明します。「他のすべての防御が破られても、OpenCTIが知っているIoCに何かがヒットすれば、必ずアラートが届きます」

オープンソースの柔軟性と製品との共進化

オープンソースプラットフォームであるOpenCTIは、ソリューションの展開、検証、拡張を自律的に行う完全な自由をチームに与えました。同社は最初期の採用企業のひとつで、Filigranが正式に設立される前からOpenCTIを導入していました。以来、ニーズに応じてユースケースを段階的に拡大してきました。

「私たちはまさにOpenCTIとともに進化してきました」とCERTアナリストは振り返ります。「必要だったのは単なるプラットフォームではなく、私たちとともに成長し、検知を自動化し、他が見逃すものを見せてくれる存在でした」。CERTが組織を拡大し、検知ワークフローを成熟させる中で、このアジャイルでオープンなアーキテクチャが不可欠であることが証明されました。

STIX、MITRE、構造化された情報共有のネイティブサポート

OpenCTIはSTIX、MITRE ATT&CK、CVEリファレンスとネイティブに整合しており、チームは脅威インテリジェンスの知識を構造化・一元化できました。インジケーターの文脈付け、アクターの行動追跡、社内やMITREのような外部データベースとの共有が容易になります。「これらのネイティブサポートのおかげで、高品質な脅威インテリジェンスのための一貫性あるナレッジベースを構築し始めています」とCERTアナリストは述べます。

導入

同グループのCERTは、サイバー脅威インテリジェンスが正式な機能になる前から、いち早くOpenCTIを展開しました。最初のデプロイはオープンソースのGitHubリポジトリから直接行われ、正式なオンボーディングプロセスはありませんでした。

導入は迅速で、ほぼ自走で進みました。コネクター、データソース、エンリッチメントロジックを追加していく中で、いくつかのパフォーマンス問題ではFiligranチームの支援が必要になりましたが、わずかなインフラ変更と調整だけで、プラットフォームは安定し、最適化され、高度にカスタマイズされた状態に戻りました。

オープンソース版を数年間成功裏に利用した後、同社はSaaSモデルも一時検討しましたが、パフォーマンス、コスト、自律性の要件により適したオンプレミス構成の維持を選択しました。プロセス全体を通じて、Filigranのサポートチームは迅速で頼りになりました。「インフラの再構築中でさえ、Filigranは揺るぎないサポートを提供してくれました。この協力関係のおかげで、プラットフォームを安定稼働させ続けられました」とCERTアナリストは喜びます。

同ラグジュアリーブランドは、運用の自動化と戦略的な意識向上に重点を置いてOpenCTIを日常的に運用し、Filigranコミュニティにも定期的に貢献しています。

Filigranはどう支援しているか

クリティカルな脅威の検知

CERTは、社用端末の個人メールボックス経由で開かれたフィッシングリンクなど、従来の防御をすり抜けた脅威の特定と封じ込めに成功してきました。「OpenCTIは、網の目をすり抜けるその1件を捕まえるのに役立ちます。そのとき、これが単なるバックアップではなくセーフティネットだと実感するのです」とCERTアナリストは語ります。プラットフォームは、そうでなければ見過ごされていたかもしれない高信頼度のアラートを月に1〜2件生成し、インシデント予防に直接貢献しています。

レポート取り込みの大幅な時間削減

OpenCTI導入前は、脅威レポートを検知ルールに変換するのに1件あたり最大1時間かかることもありました。自動取り込み、MISPコネクター、検知ワークフローへの直接統合により、最初のステップは今や数秒で完了します。

「3クリックでインジケーターが検知に載ります」とCERTアナリストは言います。この自動化により、チームは週に最大20時間（年間650時間以上）を節約し、その時間をより戦略的な調査に再投資できます。OpenCTIでインジケーターにフラグが立つと、即座に検知レイヤーへ送られます。「検知に載れば、通常15分以内にアラートが届きます」と彼は認めます。

OpenCTIはまた、さまざまなインテリジェンスソースからの10〜15件のレポートを日次でモニタリングすることを可能にし、広いカバレッジとタイムリーな検知を確保して、重要なシグナルを見逃しません。

より良い意思決定のための構造化されたインテリジェンス

OpenCTIのダッシュボードとSTIXネイティブなアーキテクチャにより、CERTは新たな脅威を追跡し、信頼できる社内データで対策アクションを正当化できます。

「ある手法への言及が増えていることを示すヒストグラムを生成できます。それは誰かのレポートからかき集めたものではなく、私たち自身のデータです」とアナリストは説明します。この構造化されたインテリジェンスは月次レポーティングを支え、運用と戦略の両レベルで意思決定に活かされています。

手作業なしの継続的モニタリング

OpenCTIが一元的なハブとして機能することで、チームはツールを行き来したり情報を見逃したりすることなく、グローバルな脅威活動をリアルタイムで監視できます。無償・商用フィード双方のレポートとインジケーターが自動的に集約・相関されます。「できる限り多くのソースをつなぎ、すべてをOpenCTIに集約しています。日々のインテリジェンスに追随し、重要な情報を見逃さないために役立っています」とCERTアナリストは言います。この集約力が状況認識を高め、CTIチームの認知負荷を減らしています。

今後の展望

CERTが成熟を続ける中、OpenCTIは検知と相関だけでなく、組織全体のサイバーセキュリティ意識の向上においても、ますます大きな役割を果たしていきます。OpenCTIに統合された月次インシデントレポートとダッシュボードは、すでに脅威トレンドの社内共有に使われており、チームはさらに先を目指しています。「OpenCTIで手法、脅威アクター、攻撃パターンをハイライトし、その知見をグループ内の適切なチームと共有しています」とCERTアナリストは説明します。

この情報発信のアプローチにより、新しい手法についてネットワークチームに注意喚起する、新しい攻撃ベクトルについてRed Teamに知らせる、進行中のフィッシングキャンペーンについて社内に周知するといった場面で、検知・対応・予防の戦略が揃います。

CERTはまた、運用実態に合った軽量なプラットフォームを維持しながら、コネクター基盤の拡充、相関ロジックの改良、トレンド監視の強化を計画しています。OpenCTIはこれからも、プロアクティブで、情報に通じ、レジリエントであり続けるという同グループの目標を支えていきます。