OpenCTIで強化されたIntrinsecのサイバーセキュリティ運用

Intrinsecについて

30年にわたり、Intrinsecは多様なサイバー脅威からの保護における信頼できるパートナー、そしてベンチマークとしての地位を確立してきました。サイバーセキュリティの課題への深い理解を活かし、セキュリティ要件への先回りした対応によって、組織の保護と事業の継続を積極的に支えています。

幅広いサイバーセキュリティ領域をカバーするIntrinsecは、コンサルティング、サイバー評価、運用セキュリティサービス（予見、検知、対応）で認められた専門性を持つ、業界屈指のピュアプレイヤーです。

サイバー脅威インテリジェンスは2015年以来、Intrinsecの戦略的な発展テーマです。現在はデジタルリスク保護サービス、脅威インテリジェンスサービス、外部攻撃対象領域管理を、単体サービスとして、あるいはFusion Centerモデルの一部として顧客に提供しています。

これらの活動と脅威インテリジェンスの研究から生まれた知見はまた、同社独自の外部脅威インテリジェンスをCTI Feedsとして公開することにつながりました。

背景

IntrinsecはOpenCTIをSOCサービスの提供に組み込みました。このサービスでは、顧客に対するあらゆる攻撃を監視し、データを一元化します。侵害の痕跡（IoC）の種類ごとに、SIEM内でその存在を特定する検知アラートが設定されました。この脅威共有プラットフォームは、顧客基盤全体のさまざまなSIEMにデータを供給する中核コンポーネントとなりました。

時とともに、Intrinsecは顧客の期待と要件の大きな変化を観察しました。当初、顧客は可能な限り迅速な脅威検知を主に求めていました。しかし、サイバーセキュリティへの理解と成熟度が高まるにつれてその要求は進化し、脅威の性質に対するより深く精緻な理解を求めるようになりました。これはサイバーセキュリティへのアプローチと意識の成熟を示すものです。

課題

サイバー脅威の進化とともに、脅威インテリジェンスと対応へのニーズも進化してきました。常にサイバー防御の最前線に立つIntrinsecは、こうした変化をいち早く認識し適応してきました。同社は脅威インテリジェンス運用の中で、強化が必要ないくつかの重要領域を特定しました。

応答性とパフォーマンスの問題

大量のデータを管理する任務に直面していたIntrinsecは、効率的なデータ処理が可能なソリューションの重要性を理解していました。特に、大量の侵害の痕跡（IoC）とレポートを含む大規模イベントを扱う場合です。目標は、絶えず変化する脅威ランドスケープへの迅速かつ効果的な応答性を確保することでした。

複雑さの中の簡素化

ダイナミックな人材環境の中で多様なテクノロジーを管理することには、固有の課題がありました。Intrinsecは、チーム内の専門知識の維持と強化に重点を置きつつ、運用保守の合理化を目指しました。この簡素化への取り組みは、運用の有効性と俊敏性を高めるためだけでなく、管理・保守の専門リソースを持たない新しいユーザーや組織にとってのプラットフォームのアクセシビリティを確保するためにも不可欠でした。

包括的なインテリジェンスプラットフォームへの要求

Intrinsecの戦略には、IoCから攻撃者グループまで幅広い外部脅威を集約するだけでなく、インテリジェンスの統一された包括的なビューを提供できる堅牢なプラットフォームの統合が含まれていました。そのようなプラットフォームは、直面するサイバー脅威のより一貫した完全な理解の実現に不可欠でした。

なぜOpenCTIなのか

OpenCTIは、その先進的な機能群により、Intrinsecの進化するニーズに理想的なソリューションとして際立っていました。

可視化：OpenCTIの大きな強みは、脅威ランドスケープの広範なビューを提供するダイナミックなダッシュボードです。STIXオブジェクトから、脅威の影響を受ける業界、地域、国籍まで、幅広いデータを可視化でき、レポート作成を大いに支援します。

相互運用性：OpenCTIの設計はサードパーティシステムとのシームレスな統合を可能にします。例として、簡単で効率的なデータ交換を実現するネイティブのCTI Feedsコネクターや、中央のSIEM環境との双方向統合を可能にするSplunkコネクターがあります。

デザイン：プラットフォームのユーザーインターフェースは、その直感性と使いやすさで特に評価されており、ユーザー体験と運用効率を高めています。

自動化：OpenCTIでは、IoCやケースが関連するSTIXオブジェクトとともに統合されると、他の関連要素と自動的に接続されます。この相互接続性が脅威ランドスケープの包括的かつホリスティックなビューを提供し、脅威分析と対応の全体的な有効性を高めます。

STIX標準への準拠：OpenCTIにおけるSTIX標準の体系的な適用は、データの資産化を合理化し、よりモジュラーにします。脅威アクター、キャンペーン、IoCなど、さまざまなSTIXオブジェクト間の関係をOpenCTIが効果的に管理していることにそれが表れています。

ケース管理におけるインシデント対応：プラットフォームはインシデント管理への包括的なアプローチを提供し、深い分析と効果的な対応戦略を可能にします。さらに、OpenCTIの高度な相関機能は、追加のスクリプトなしで複雑な脅威分析を効率化します。これらの機能の組み合わせがサイバーセキュリティ運用の効率と有効性を大幅に高め、チームはより迅速かつ正確に対応できます。

導入

SOCチーム

IntrinsecのSOC（Security Operations Center）チームは、OpenCTIによって大きく強化されました。日次で更新されるOpenCTI内の外部脅威ナレッジベースは、SOCアナリストに、アラート判定プロセスを加速し調査を深めるための豊富なリソースを提供します。ネットワークで異常な挙動に遭遇した際、より踏み込んだ分析を可能にする点で特に重要です。

CTIチーム

Intrinsecのサイバー脅威インテリジェンス（CTI）へのアプローチは、OpenCTIが提供する機能によって根本から形作られてきました。CTIチームが拡大しても、OpenCTIは変わらず第一の選択肢であり続けました。チームはプロセスを継続的に磨き、進化する運用ニーズに合わせてプラットフォームをカスタマイズ・適応させてきました。この継続的な発展により、OpenCTIはIntrinsecのCTIフレームワークとライフサイクルの不可欠な構成要素としての地位を確立しています。

ソリューションのパイオニアとして、Intrinsecは自社利用のためにTIPを導入したい顧客へOpenCTIを薦める役割も担ってきました。技術環境と多様な業務機能の両方に対する知見により、アーキテクチャ設計のベストプラクティス、業務固有のユースケース構築、サイバー脅威の構造化支援など、高付加価値の支援を提供できています。

主な成果

調査時間を最大65%削減

Intrinsecは目覚ましい効率改善を実現し、調査時間は2分の1から3分の2削減されました。この大幅な時間短縮により、クリティカルな脅威シナリオでの対応が速くなり、分析も効率化され、サイバーセキュリティ全体の応答性が向上しました。

ナレッジベースを300万件超に拡大

300万件を超えるまでに拡大したIntrinsecのナレッジベースは、そのインテリジェンスリポジトリの規模を物語ります。この成長は脅威インテリジェンスと分析の能力を大幅に強化し、サイバーセキュリティの洞察のためのより豊かなリソースをもたらしています。

IoCの重複を推定25%削減

OpenCTIの統合により、データの集約と構造化が単一プラットフォームに一元化された結果、IoCの重複が大幅に削減されました。この改善により、重複情報の比較と検出がより効果的になり、脅威インテリジェンスプロセス全体の精度が高まっています。

今後の展望

Intrinsecの歩みは、組織にとっての重要な命題を浮き彫りにします。現在の要求に応えるだけでなく、将来の課題を予見し対処できるツールを受け入れる必要性です。この文脈で、OpenCTIは、今日の複雑なサイバーランドスケープを乗り切るために必要な多用途性と包括的な深さを備えた、Intrinsecのチームにとって大きな資産であることを証明しました。

今後についてIntrinsecは、特に新しいデータストリームとインポートコネクターの面で、OpenCTIの継続的な進化に大きな期待を寄せています。これらの発展により、顧客へIoCを効率的に届ける能力が大幅に強化される見込みです。この先見的なアプローチは、最先端のソリューションを提供しサイバー防御でプロアクティブな姿勢を保つというIntrinsecのコミットメントと軌を一にしています。

さらに、さまざまな技術イベント（intrusion set、被害学、IoC、TTP、YARAルールなど）の相関付けは、サイバー脅威に関する知識を人間と機械の双方が読める形で直接実行可能にするための大きな課題です。レポートやイベント間のリンクを生成するAIは、技術と戦略という異なる読者層に向けて脅威ランドスケープを構造化・理解するための、高まりつつあるニーズと考えられます。