OpenCTIが3つのプラットフォームを1つに置き換え、グローバル防衛リーダーの作業時間を月15人日削減

お客様について

このグローバル組織は、航空宇宙と防衛が交差する領域で事業を展開しています。活動の機密性と国際的な事業範囲の広さゆえに、高度なサイバー犯罪者にとって格好の標的となっています。

その対応の中心にあるのが、サイバーセキュリティ組織の中枢であるサイバー脅威インテリジェンスチームです。その使命は、脅威ランドスケープのノイズを、検知、脆弱性、対応の各チームが行動に移せるシグナルへと変換すること。あらゆるアラートが注意を奪い合う中で、組織が最も重大なリスクに優先順位を付けられるよう支えています。

背景

高リスク環境で事業を営む同組織は、高度なスキルを持つ攻撃者による持続的な活動に直面しています。「私たちは世界で最も高度な国家支援型脅威アクターに対峙しています。防御にも同等に高度な技術が必要です」とサイバー脅威インテリジェンスアナリストは説明します。「どのような防御が必要かを見極め、それを実装する計画を立てるのが私たちの仕事です」

以前、CTIチームはインジケーター中心の従来型プラットフォームに依存し、レポーティング、チケット管理、メトリクスのための複数の周辺ツールで補完していました。しかしインテリジェンスの量が増えるにつれ、このエコシステムの管理はますます困難になっていきました。

課題

手作業でスケールしないインテリジェンス環境

チームは、老朽化したインジケーター中心のリポジトリに依存していました。それは徐々に遅くなり、保守が難しく、増え続ける脅威インテリジェンスの量と多様性を支えられなくなっていました。1件のレポート処理には、複数のサイトへのログイン、手作業でのダウンロード、再アップロード、ワークベンチ検証のためだけのエンリッチメントが必要でした。「平均すると1件あたり30分ほどかけていました」とサイバー脅威インテリジェンスアナリストは言います。「私たちは非常に大きな組織で、フィッシングメールから公的・民間ソースのレポートまで、絶え間ないインテリジェンスの流れに対処しています。その量を高速に処理できるプラットフォームが必要でした」

コンテキスト、分析、効率を制約する分断されたツール群

レポートとインジケーターは、インジケーター保管、ナラティブレポート、チケッティング、メトリクスと、目的の異なる別々のプラットフォームに散在していました。一貫した分析フレームワークを長期的に構築する能力を制約するだけでなく、この分断は大きな運用オーバーヘッドを生んでいました。アナリストはツール間の行き来とコンテキストの再構築に貴重な時間を費やしていました。「カスタムのインテリジェンスメトリクスダッシュボードを自前で保守・ホスティングするのは、時間もコストもかかりました」とCTIアナリストは説明します。

脅威と脆弱性の優先順位付けの限界

高度に標的化された環境では、どの脆弱性に即時対応が必要で、どれを経過観察できるかを常に判断しなければなりません。構造化された追跡・グルーピング機能がないため、脆弱性情報には一元的な分析ビューがなく、優先順位付けは望むほどデータドリブンではありませんでした。さらに、データの信頼性の担保に苦労し、各プラットフォーム向けのインジケーターのカスタムフィルタリングも実装できませんでした。「以前の環境では、忠実度をある時点で一度測ることしかできず、リアルタイムの変化は追えませんでした」とCTIアナリストは指摘します。

データの機微性とアクセス制御の制約

サイバー脅威チームは、厳格なアクセス制限の対象となる高機密情報を扱います。役割ベースのデータアクセス制約を守りながら、すべてのアナリストが包括的な分析を行えるよう、単一プラットフォーム内で差別化された可視性権限を管理できるソリューションが必要でした。

なぜOpenCTIなのか

スケーラブルな脅威インテリジェンスプラットフォーム

OpenCTIは、現代のセキュリティ運用の高まる要求に応えるべく設計された、スケーラブルな脅威インテリジェンスプラットフォームを提供します。商用フィード、オープンソースリポジトリ、社内システムからの数百万件の異種データポイントを自動的に取り込み、正規化し、エンリッチして、単一の統合ワークフローに集約します。30を超える自動・カスタムコネクターにより、主要ソースからのインテリジェンスを継続的に取得・処理し、手作業のボトルネックを排除してリアルタイムの更新を保証します。

単一プラットフォームに統合された脅威インテリジェンス

インテリジェンス処理にシステムの行き来はもう必要ありません。すべての脅威インテリジェンスは、標準化されたSTIX言語を用いて単一プラットフォーム内で一元化、エンリッチ、構造化されています。「以前は3つの異なるツールがありましたが、今は1つだけです。サポート・開発チームの保守負担が減り、アナリストのコンテキスト切り替えも減りました」とサイバー脅威インテリジェンスアナリストは述べます。「今では脅威ハンティングのレポートとメトリクスをOpenCTIで直接追跡し、Jupyterノートブックやその他のコードを再利用のためにプラットフォームへ直接アップロードできます。以前は別々のプラットフォームに保存して相互にリンクさせる必要がありました」

構造化され、文脈があり、データドリブンな分析

OpenCTIのリレーショナルなインテリジェンスモデルにより、CTIチームは被害学、標的地域、発信地域、業種といった新たな重要コンテキストエンティティを活用できます。CVEを悪意あるアクターやキャンペーンと相関させることで、OpenCTIは脆弱性情報を明快な分析ビューに集約し、アトリビューション、長期追跡、データドリブンな脆弱性優先順位付けを可能にする形でインテリジェンスを構造化できます。「エンティティを保存するというのは私たちには新しい概念でした。それまで侵害の痕跡だけに注目していたのです」とCTIアナリストは振り返ります。「CVEコネクターはとても便利です。各CVEの情報とスコアを自動取得し、脆弱性管理へ送る前に自分たちのレポートで補強できます。さらにOpenCTIのSightings機能は、インテリジェンスデータセットの健全性を継続評価する新たな道を開いてくれました」

機密インテリジェンスのためのきめ細かなアクセス制御

OpenCTIにより、チームは差別化された可視性権限を適用しながら情報を集約できるようになりました。このセキュリティ対策により、分析をシステム間で分断することなく、データ処理に関する厳格な政府要件への準拠が確保されます。

導入

チームはレポートの取り込みとワークベンチの活用から始め、エンティティ抽出、自動化へと、段階的にOpenCTIを導入しました。Community Editionでプラットフォームを検証した後、Enterprise機能へアップグレードし、新しいユースケースを管理できるようになりました。その一つが、キャンペーン、地政学的動向、特定の脆弱性などについて組織中のチームから寄せられる情報リクエストです。以前は正式な仕組みなしに処理されていたこれらのリクエストは、今では専用の情報リクエストワークフローを通じてOpenCTIに直接統合できます。

導入の全期間を通じて、Filigranチームとの関係はテクノロジーそのものと同じくらい重要であることが分かりました。「サポートポータルと専用のSlackチャンネルは本当に大きな違いを生みました。いつも声を聞いてもらえ、私たちの優先事項を真剣に受け止めてもらえます」とCTIアナリストは振り返ります。「新機能が絶えず開発され、要望した改善はしばしば実装されます。とても助かっています」

Filigranはどう支援しているか

高速化されたワークフローで月15人日を節約

OpenCTIは、旧TIPからの大規模インジケーターデータセットのシームレスな移行を実現し、移行中もカバレッジを失いませんでした。すべてのインテリジェンスをリアルタイムのワークフローに統合することで、レポート処理時間は30分からわずか10分に短縮され、月15人日の節約につながりました。この効率化により、チームは毎月これまで以上に多くのレポートを処理できます。「OpenCTIはインテリジェンス運用のあり方を根本から変えました」とサイバー脅威インテリジェンスアナリストは語ります。「今でははるかに効率的に運用できています。チームにとって大きな変化です」

3つのナレッジベースから1つのインテリジェンスハブへ

インテリジェンスを単一の信頼できる情報源に集約することで、同社はサイロを排除し、均質で高品質な分析を保証し、組織の知見を守っています。「それに、1つのシステムは3つより維持コストが安いですから！」とCTIアナリストは付け加えます。

実務への効果は目に見えるものでした。経営層がインテリジェンス成果物の統合ビューを求めた際、以前なら数日の手作業のフィルタリングが必要だったものが、エンティティベースのクエリとPyCTIライブラリを使って約1時間で完了しました。「メトリクスを自動収集し、クエリを統合ダッシュボードに組み込めることは、目標を確認する私たちのチームにも、優先順位付けが効果的でインパクトが出ていることを確認する経営層にも、非常に有用です」とCTIアナリストは言います。

より速く、説明可能なリスク判断

脆弱性管理の議論は、もはや技術的な深刻度レベルだけで動いていません。CTIチームはリアルタイムのコンテキストインテリジェンスで修復の意思決定を支え、曖昧さと内部論争を排除しています。リスク評価は文書化され、追跡可能で、運用レベルでも経営レベルでも正当化しやすくなり、各インテリジェンス部門間の連携が強化されています。「今ではインテリジェンスの忠実度をほぼリアルタイムで追跡できます」とCTIアナリストは述べます。

厳格なアクセス制御下の高信頼インテリジェンス

きめ細かなアクセス制御により、機密扱いの政府由来データはエンティティ間の分析的なつながりを保ったまま保護されています。「誰が何を見られるかをコントロールできることは、私たちにとって重要な能力です」とCTIアナリストは語ります。

これからの道のり

強固なインテリジェンス基盤が確立された今、サイバー脅威インテリジェンスチームは成熟の次の段階、スマートな自動化に注力しています。OpenCTIはすでに取り込みと分析を効率化しており、人工知能が次のフロンティアです。

「AIはまさに今のホットトピックです。AIを活用してプロセスを改善し、アナリストが反復作業に費やす時間を減らしたいと考えています」とサイバー脅威インテリジェンスアナリストは説明します。

Filigranと手を携え続けることで、同組織はデータ品質をさらに強化し、プロセス全体で時間を節約し、より付加価値の高い戦略的インテリジェンスを育てていきます。