OpenCTI、Controlwareのスケーラブルな脅威ハンティングのエンジンに

Controlwareについて

Controlware GmbHは、ドイツを代表するITソリューションプロバイダーおよびマネージドサービスプロバイダーの一つです。同社はControlwareグループの一員であり、グループは子会社のControlware Austriaを含めて1,000人以上を雇用し、年間売上高は5億ユーロ近くに達します。

中堅・大企業および公共機関のデジタル化パートナーとして、Controlwareはネットワークソリューション、情報セキュリティ、データセンター＆クラウド、コラボレーション、ITマネジメント、マネージドサービスの各分野で、レジリエントなITソリューションを開発・実装・運用しています。ISO 27001認証を取得したCustomer Service Centerは、包括的なサイバー防御能力を含む、運用サポートとフルマネージドサービスの両方を提供します。DACH地域全域での事業展開と強力な国際パートナーシップにより、Controlwareは主要テクノロジーベンダーとの長期的な関係を維持しながら、グローバルなプロジェクトを支援しています。

背景

フィッシング、インフォスティーラー、ランサムウェアといったサイバー脅威が40社を超える顧客に対して激化するなか、ControlwareのSOCは迅速に適応し、セキュリティ態勢を強化して拡大する顧客基盤を守ってきました。顧客が求めるのはもはやアラート対応だけではなく、新たな脅威ベクトルを先読みし、攻撃者が目的を遂行する前に対処できるパートナーです。この変化に応えるには、環境を問わずすべての顧客が同じレベルの洞察と保護を享受できるようにする、より整合的でインテリジェンス主導のアプローチが必要でした。

課題

手作業の検知業務が生む生産性のボトルネック

MSSPであるControlwareは、それぞれ独自のクエリ言語を持つ異なるXDRプラットフォームを利用する顧客にマネージドサービスを提供していました。Controlware GmbHのSenior Cyber Security AnalystであるDominik Degroot氏はこう説明します。「Sigmaルールは各XDR向けに手作業で書き直す必要があり、1つのルールが3つのバージョンになっていました。デプロイのたびに各顧客環境にログインして個別にテストしなければなりません。作成できるルールの数も、対応のスピードも制約されていました」

限定的な検知の有効性

Controlwareの検知ルールは、脅威アクター、マルウェアファミリー、ATT&CK技術とのつながりを持たない、孤立した成果物として存在していました。「構造化されたインテリジェンスがなければ、ルールはただのルールにすぎません。どのアクターがその技術を使っているのか、なぜそのアラートが重要なのかが見えず、アナリストは不可欠なコンテキストを集めるのに相当な時間を費やしていました」とDominik Degroot氏は指摘します。

検知エンジニアリングをスケールさせる能力の限界

顧客のセキュリティを管理するということは、毎月数百万のイベントと数千のインシデントに対処するということです。手作業の検知ワークフローは、Controlwareが検知カバレッジを拡大するスピードに厳しい上限を課していました。Dominik Degroot氏はこう振り返ります。「各ルールをすべての環境にデプロイして検証するのに要する労力が、カバレッジ拡大の能力を大幅に鈍らせていました」

時間のかかるプロセスに縛られたSOC

大規模なハンティングを支える運用基盤がないまま、セキュリティ運用には多くの時間がかかっていました。「核心的な課題は、検知ロジックを一度だけ管理し、あらゆる場所にデプロイすることでした」とDominik氏は振り返ります。

OpenCTIで脅威ハンティングをスケールさせる

構造化・一元化されたSTIX脅威インテリジェンスリポジトリ

OpenCTIは、STIXに基づく統合ナレッジベースと、XDR固有のクエリ言語から独立してSigmaルール用のカスタムエンティティを作成できる柔軟性を提供しました。これにより検知ルールは、完全にモデル化され、バージョン管理され、検索可能なオブジェクトとなり、そのすべてに単一のAPIからアクセスできます。Dominik氏はこう述べます。「ルールを第一級のオブジェクトとして扱うことが不可欠でした。OpenCTIはそのための構造を与えてくれました」

ルールを実際の脅威につなぐナレッジグラフ

OpenCTIのナレッジグラフにより、検知ルールは動的なモデルに組み込まれ、各ルールは生きた実行可能な脅威コンテキストに根ざします。「OpenCTIは単なるインジケーターのアグリゲーターではありません。脅威、マルウェアファミリー、キャンペーン、TTP、Sigmaルールを、1つの構造化されたナレッジベースでまとめて扱えるようになりました」とDominik氏は語ります。

自動化とスケールのために設計されたAPIファーストアーキテクチャ

OpenCTIのAPIファーストアーキテクチャは、すべてのインテリジェンスおよび検知オブジェクトを、一貫性のある十分に文書化されたインターフェースを通じて公開し、Controlwareが顧客環境全体で検知ロジックを産業化することを可能にしました。「APIは決定的な要因でした。自動化のために設計されたバックエンドがなければ、スケールさせることはまず不可能だったでしょう」とDominik氏は振り返ります。

プロアクティブな脅威ハンティングを可能にするオープンプラットフォーム

Controlwareにとってもう一つ決定的だったのは、プロアクティブな脅威ハンティングを支えられるエンタープライズグレードのインテリジェンスプラットフォームを持つことでした。インテリジェンス、ワークフロー、自動化のための構造化された基盤を提供することで、OpenCTIはチームが初期段階の悪意ある活動を体系的に探索できるようにしました。「適切なインテリジェンス基盤が整った瞬間、ようやくアラートの先を考え、プロアクティブに脅威をハンティングし始めることができました」

導入

数週間のうちに、ControlwareはOpenCTIをデプロイし、Sigmaワークフローをモデル化し、プラットフォームをSOCの日常運用に統合しました。Controlwareはこれを、開発中だった自動マルチXDR検索システム「HuntingGrid」の基盤としました。HuntingGridはSigmaルールを取得して適切なクエリ言語に変換し、すべての顧客環境でハンティングを実行し、結果をアナリスト向けに集約します。

Filigranの明快なドキュメントとガイダンスのおかげで、OpenCTIはごく短期間で完全に運用可能になりました。「最終的には、カスタムワークフロー、完全なナレッジベース、そして新しいシステムを使いこなす訓練を受けたチームが揃いました」

FiligranはControlwareをどう支援しているか

価値の高い検知業務のためにアナリストの時間を解放

検知ロジックの一元化と自動化により、OpenCTIは反復的な手作業を排除し、アナリストは運用作業ではなく検知エンジニアリングと脅威ハンティングに集中できるようになりました。「最も重要なメリットは、管理負荷を増やすことなく5倍の数のSigmaルールを作成・管理できることです」とDominik氏は語ります。かつて数週間を要したデプロイは、今では全顧客に対して数時間以内に完了し、検知カバレッジを劇的に強化しています。

より速く、より早期の脅威検知を実現

OpenCTIは調査時間を短縮し、攻撃ライフサイクルのはるかに早い段階で悪意ある活動を検知できるようにします。Dominik氏はこう説明します。「OpenCTIとSOARによるエンリッチメントで、調査ごとに相当な時間を要していた手作業の分析は、基本的になくなりました」

顧客の成長に合わせて検知カバレッジをスケール

ルールデプロイの自動化により、OpenCTIは、顧客基盤の拡大に伴う検知カバレッジの拡張スピードを制約していた能力面の上限を取り払いました。「以前はデプロイできる検知ルールの数が限られていました。今では、数週間ではなく数時間でデプロイが完了します」とDominik氏は言います。

アラートを行動へ：ノイズを減らし、本物の脅威に集中

OpenCTIの一貫したAPIにより、ControlwareはHuntingGridを構築できました。その結果、はるかに信頼性が高く実用的な結果が得られています。「XDRツールは手作業のトリアージを要する大量の汎用アラートを生成しますが、HuntingGridはOpenCTIの構造化された脅威インテリジェンスに基づく、標的を絞ったインテリジェンス主導のクエリを実行します。これにより、即座に脅威コンテキストが付与された、少量で確度の高い検出結果が得られ、アナリストの仕事はノイズ処理から実行可能な脅威検知へと根本的に変わります」

財務的インパクトとROI

より広く、より早く、より信頼性の高い検知により、Controlwareは、以前であれば実行段階に達していたであろうインシデントを未然に防いでいます。製造業の顧客を抱えるMSSPにとって、たった1件のサイバー攻撃を回避するだけでも、インシデント対応から事業中断、GDPR制裁金、身代金の支払いまで含めれば、数十万から数百万ユーロの節約になり得ます。

今後の展望

Controlwareの次の大きなステップは、OpenAEVを統合して検知と検証のループを完成させることです。OpenCTIがSigmaルールを管理し、HuntingGridがそれをすべての顧客環境で実行し、OpenAEVがシミュレートされた攻撃技術によってその有効性を検証します。AIも実験領域の一つです。Dominik氏は、構造化されたインテリジェンスに自然言語で問い合わせることができ、AIがレポートから重要な挙動を抽出したり検知ロジックを自動的に提案したりして、反復作業を減らし対応を加速する未来を思い描いています。XTM Oneによって、Filigranはこのビジョンを自律的な脅威管理へと着実に前進させています。