脅威インテリジェンスチームは複数のプロバイダーから絶えずデータが流入し、同じ脅威行為者、マルウェア、または脆弱性がわずかに異なる方法で説明されることが多くあります。このような重複は分析を速めるどころか、摩擦を増やし、意思決定を遅くしています。
多くのプラットフォームは、分析官が検証または影響を与えることができない厳格なルールに基づいてエンティティをマージし、舞台裏での重複排除によってこれを解決しようとしています。これは視覚的なクラッターを減らすかもしれませんが、透明性と信頼を失う代償があります。
EclecticIQ Intelligence Center は別のアプローチを採用しています。新しい重複排除機能は、エンティティに関するすべての関連インテリジェンスを、単一の信頼できる、完全にカスタマイズ可能で、完全にトレース可能なビューに統一します。
重複した脅威データは分析を遅くし、リスクを増加させます
外部フィード、内部インテル、および商用ソースを扱う場合、インテリジェンスチームが同じ脅威であると判断する複数のレコードが表示されることがあります。たとえば、QakBot のようなマルウェアファミリーの複数のエントリや、APT29 のような脅威行為者の複数のプロフィールが表示される可能性があります。各ソースは異なるエイリアスを使用し、同じまたは矛盾する TTP を提供し、悪用された脆弱性または観察されたインシデントに関する独自の知識を提供することで、異なる洞察を提供します。
統合ビューがなければ、ソースが互いの報告を裏付けている場所、または矛盾している場所をすばやく特定することは困難です。どちらもインテリジェンスの信頼度を評価するための重要な信号です。このような断片化により、エンティティをクリックして比較し、フィールドを手動で比較し、重複をマップし、矛盾を追い詰める必要があります。脅威の分析ではなく、データの調整に貴重な時間が費やされます。時間が経つにつれて、これは見落とされた接続、報告の矛盾、さらには誤った帰属のリスクを増加させます。
また、エンティティがどのようにマージされるか、またはどのようにマージされるかを確認または形成する能力がプラットフォームによって制限されている場合、分析に別の不確実性の層が生じます。
重複排除の紹介：脅威インテリジェンスを統合する強力で柔軟な方法
EclecticIQ Intelligence Center の重複排除機能は、脅威行為者、マルウェア、脆弱性など、エンティティの単一ビューを提供し、エンティティがマージおよび表示される方法を完全にコントロールできます。
厳格で舞台裏での重複排除ロジックとは異なり、その仕組みを正確に定義できます。含めるソースを選択し、重複排除するエンティティタイプを選択し、TLP や Half-Life などの特定のフィールドをカスタマイズして統合します。すべてのマージをプレビューしてから適用できるため、何も隠されず、入力なしに何も起こりません。
マージされたエンティティは、すべての関連する説明、タグ、関係、および ATT&CK マッピングを単一のビューに統合します。元のソースデータは引き続きアクセス可能で透明性があり、すべての要素は帰属が保持されます。各データポイントがどこから来たかを追跡でき、ソースによってビューをフィルタリングして、必要な信頼レベルまたはコンテキストを実現できます。
手動でコントロールして、必要に応じてエンティティをマージまたは分離することもできます。文脈的な知識と進行中の分析により、2つの一見異なるエンティティが同じ脅威であること、または新しい証拠に基づいてマージされたエンティティを分離する必要があることが明らかになる場合があります。すべてのアクションは完全な監査可能性と透明性のためにログされます。
インテリジェンスをエクスポートする時が来たら、生データ、マージされたエンティティ、またはその両方を含めるかどうかを選択し、常にアクセス許可とソースレベルのコントロールを尊重します。
これはあなたの周りで動作する重複排除ではありません。あなたと協力するために構築されています。
なぜそれが重要なのか
- 努力が少なく完全な可視性。エンティティについて重要なすべてを1つの場所で確認できます。これにより、冗長なナビゲーションが排除され、分析が加速されます。
- 評価に対する信頼度が高い。集計されたフィールド、統一された ATT&CK マッピング、およびソースレベルの帰属により、裏付けを確認し、矛盾を特定し、解釈エラーを減らすことができます。
- 制御および透明なデータ衛生。統合の仕組みを決定します。自動化されたルールはノイズを削減し、手動による監視は、ブラックボックスロジックや予期しない問題なく、組織のインテリジェンス方法論との整合性を保証します。
ノイズを切り抜ける準備はできていますか？
重複排除は断片化された脅威データに秩序をもたらし、インテリジェンスランドスケープのより清潔で信頼性の高いビューを提供します。デモをブックして、EclecticIQ Intelligence Center でワークフローを強化する方法を確認してください。
翻訳元: https://blog.eclecticiq.com/deduplication
