サマリー

Filigran は、OpenCTI と OpenAEV（旧 OpenBAS） を中核に、脅威インテリジェンスの活用から防御態勢の検証・改善までを支援する XTM（eXtended Threat Management）プラットフォームです。

OpenCTI は、サイバー脅威インテリジェンスを収集・整理・相関分析・共有するための基盤です。OpenAEV は、実際の攻撃シナリオや演習を通じて、セキュリティ製品、運用プロセス、対応チームが想定どおりに機能するかを検証する Adversarial Exposure Validation プラットフォームです。

脅威情報を「集める」だけで終わらせず、重要な脅威を見極め、検知・防御・対応の有効性を継続的に確認することで、SOC、CSIRT、脅威インテリジェンスチーム、MDR / MSSP 事業者の実務を支援します。

この製品ページのポイント

• OpenCTI: 脅威データ、IOC、TTP、攻撃者、マルウェア、レポート、脆弱性情報などを STIX 2.1 ベースで構造化し、調査・共有・意思決定に活用できます。
• OpenAEV: 脅威インテリジェンスに基づく攻撃シミュレーション、Atomic Testing、テーブルトップ演習により、防御・検知・人の対応を検証できます。
• OpenCTI × OpenAEV: OpenCTI で把握した脅威を OpenAEV の検証シナリオに活用し、脅威の理解から改善活動までを一つの流れで運用できます。
• 商用版の主な価値: AI、自動化、監査ログ、SaaS / オンプレミス / air-gapped / Bring Your Own Cloud など、組織の要件に応じた構成を選択できます。

製品概要

OpenCTI — サイバー脅威インテリジェンス基盤

OpenCTI は、脅威インテリジェンスの収集、構造化、相関分析、可視化、共有を一元化するオープンソースの脅威インテリジェンスプラットフォームです。

• 商用フィード、オープンソース、業界共有、内部セキュリティツールなど、複数の情報源を統合。
• STIX 2.1 ベースのデータモデルにより、IOC、TTP、攻撃者、マルウェア、キャンペーン、脆弱性、レポートなどを構造化。
• ナレッジグラフ、ダッシュボード、可視化機能により、脅威要素の関係性や優先度を把握。
• ケース管理、ロールベースアクセス制御、共有機能により、調査・連携・エスカレーションを効率化。
• OpenCTI Enterprise Edition では、300 以上の one-click integrations、Agentic AI、自動化、監査ログなど、本番運用を想定した機能を利用できます。
• SIEM、SOAR、EDR、XDR、チケッティングシステムなど既存のセキュリティ運用基盤との連携にも適しています。

OpenAEV（旧 OpenBAS）— Adversarial Exposure Validation

OpenAEV は、脅威インテリジェンスに基づいて攻撃シナリオを実行し、組織の防御態勢を検証するオープンソースの Adversarial Exposure Validation プラットフォームです。

• 実際の脅威や MITRE ATT&CK に基づいた攻撃シナリオを作成・実行。
• OpenCTI と連携し、優先度の高い脅威インテリジェンスを検証シナリオへ活用。
• Atomic Testing による個別技術の検証と、複数の Inject を組み合わせたシナリオ型シミュレーションに対応。
• フィッシングメール、コマンド実行、DNS 解決などの Inject を利用し、防御・検知・人の対応を確認。
• Prevention、Detection、Human Response、Vulnerability などの観点でシミュレーション結果を確認。
• テーブルトップ演習により、技術的な防御だけでなく、エスカレーション、意思決定、チーム連携など人とプロセスの対応力も検証。
• OpenAEV Enterprise Edition では、AI-powered scenario generation、AI-augmented remediation、既存エージェント活用、柔軟な配備モデルなどを利用できます。

OpenCTI と OpenAEV を組み合わせる理由

脅威インテリジェンスは、収集して保管するだけでは十分ではありません。重要なのは、自社に関係する脅威を見極め、その脅威に対して現在の防御・検知・対応が機能するかを検証し、改善につなげることです。

OpenAEV でできること

OpenAEV は、Breach and Attack Simulation（BAS）や CTEM の実践に必要な検証活動を、脅威インテリジェンス主導で実行しやすくします。

• CTI-driven attack simulation: OpenCTI などの脅威インテリジェンスをもとに、優先度の高い脅威に沿った攻撃シナリオを作成できます。
• MITRE ATT&CK とのマッピング: 攻撃技術に基づいてテスト対象を整理し、検証結果をセキュリティカバレッジの改善に活用できます。
• Atomic Testing: 特定の攻撃技術やアクションに絞って、防御製品や検知ルールが機能するかを確認できます。
• Inject による検証: フィッシングメール、コマンド実行、DNS 解決、API 呼び出しなど、検証対象となるアクションを組み合わせられます。
• シナリオ型シミュレーション: 複数の Inject を組み合わせ、攻撃チェーンとして実行できます。
• Expectations: Prevention、Detection、Human Response など、期待される結果を定義して検証できます。
• 結果の可視化: 防御、検知、人の対応、脆弱性といった観点でシミュレーション結果を確認できます。
• テーブルトップ演習: サイバー危機発生時のエスカレーション、意思決定、チーム連携、広報・経営判断を含む対応力を確認できます。
• 既存環境への適応: Injectors、Executors、Collectors、既存 EDR 連携などにより、組織の運用環境に合わせた検証を設計できます。

Filigran を選ぶ理由

商用版を選ぶ理由

Filigran 製品はオープンソース版から始められます。一方で、本番環境での安定運用、監査性、AI と自動化、柔軟な配備モデルを重視する場合は、商用版の利用が有効です。

主なユースケース

脅威インテリジェンス管理

課題: 脅威フィード、レポート、IOC、TTP、脆弱性情報が分散し、実務で使いにくい。

解決策: OpenCTI により、複数の情報源を統合し、STIX 2.1 ベースで構造化。攻撃者、マルウェア、キャンペーン、技術、脆弱性、観測情報の関係を可視化します。

期待効果: 脅威情報を調査・共有・意思決定・レポート作成に活用しやすくなります。

インテリジェンス主導の SOC / 脅威ハンティング

課題: アラートが多すぎる一方で、優先順位付けや文脈付けに時間がかかる。

解決策: OpenCTI がアラート、IOC、TTP、レポート、脆弱性情報を関連付け、SOC の調査や脅威ハンティングに必要な文脈を提供します。

期待効果: 調査の初動、検知ルール作成、脅威ハンティング、経営層向けレポートまで、脅威インテリジェンスを運用に反映しやすくなります。

インシデントレスポンス

課題: インシデント対応時に情報が分散し、関係者間の認識合わせや再発防止の知見蓄積が難しい。

解決策: OpenCTI のケース管理、共有機能、自動化、AI 支援を活用し、インシデントに関連する脅威情報を一つの文脈で整理します。

期待効果: 調査、封じ込め、共有、再発防止に向けた知見蓄積を効率化できます。

継続的セキュリティ検証 / CTEM

課題: セキュリティ製品や検知ルール、対応プロセスが、実際の脅威に対して有効かを継続的に確認しづらい。

解決策: OpenAEV により、脅威インテリジェンスに基づく攻撃シミュレーション、Atomic Testing、シナリオ型検証を実行します。

期待効果: 防御カバレッジ、検知力、対応力、脆弱性対応のギャップを可視化し、優先度の高い改善活動につなげられます。

サイバー危機対応演習

課題: 技術的な検知・防御だけでなく、サイバー危機発生時の意思決定、エスカレーション、関係者連携を確認したい。

解決策: OpenAEV のテーブルトップ演習により、現実的なシナリオ、課題、期待される対応、演習結果を管理できます。

期待効果: CSIRT、SOC、経営層、広報、法務などを含む対応体制の確認と改善に役立ちます。

ガバナンスとデータ主権

Filigran は、厳格なデータ保護要件や説明責任が求められる組織でも採用しやすい設計を備えています。

• ロールベースアクセス制御: 利用者や組織ごとに権限を設定し、共有範囲を管理できます。
• 監査ログ: 操作や変更の追跡により、運用の透明性と説明責任を強化できます。
• データ分離とアクセス管理: 複数組織・複数チームで利用する場合でも、アクセス範囲を制御しやすくなります。
• セルフホスト対応: オンプレミス、air-gapped、Bring Your Own Cloud など、要件に応じた配備モデルを検討できます。
• オープンソースの可監査性: コードやデータモデルを確認しながら、自社ポリシーに沿った運用を設計できます。

導入・連携・運用

• 評価を始めやすい: コミュニティ版、商用版、SaaS など、目的や運用要件に応じて開始方法を選択できます。
• 既存環境と連携しやすい: SIEM、SOAR、EDR、XDR、チケッティング、脆弱性管理、レポート基盤などと連携し、既存ワークフローを拡張できます。
• XTM Hub を活用できる: インテグレーション、フィード、ダッシュボード、シナリオなどの情報にアクセスし、評価や運用設計に活用できます。
• 段階的に運用へ組み込みやすい: 脅威情報の取り込み、分析、検証、改善の流れを、既存のセキュリティ運用に合わせて設計できます。
• 継続改善を回しやすい: 脅威情報の収集、優先順位付け、検証、改善を同じエコシステムで反復できます。

よくある質問（FAQ）

Q: OpenCTI はどのような製品ですか？

A: OpenCTI は、脅威フィード、レポート、IOC、TTP、攻撃者、マルウェア、脆弱性情報などを集約し、STIX 2.1 ベースで構造化・可視化・共有する脅威インテリジェンスプラットフォームです。

Q: OpenAEV はどのような製品ですか？

A: OpenAEV は、実際の攻撃シナリオや Atomic Testing、テーブルトップ演習を通じて、防御・検知・人の対応が想定どおりに機能するかを検証する Adversarial Exposure Validation プラットフォームです。

Q: OpenCTI と OpenAEV は別々に利用できますか？

A: それぞれ単独でも利用できます。ただし、OpenCTI で整理した脅威インテリジェンスを OpenAEV の攻撃シミュレーションや検証シナリオに活用することで、より実践的な脅威主導のセキュリティ検証を行いやすくなります。

Q: OpenAEV は BAS や CTEM に使えますか？

A: はい。OpenAEV は、Breach and Attack Simulation（BAS）や、継続的な脅威エクスポージャー管理（CTEM）の取り組みにおいて、防御・検知・対応の有効性を検証する用途に適しています。

Q: 既存の EDR や SIEM / SOAR と連携できますか？

A: OpenCTI は SIEM、SOAR、EDR、XDR などのセキュリティスタックと連携しやすい設計です。OpenAEV も Injectors、Executors、Collectors、既存 EDR 連携などを通じて、組織の環境に合わせた検証を設計できます。

Q: 導入形態の選択肢は？

A: 製品や契約に応じて、SaaS、オンプレミス、air-gapped、Bring Your Own Cloud などの選択肢があります。データ主権やコンプライアンス要件に応じて構成を検討できます。

Q: どのような組織に向いていますか？

A: SOC、CSIRT、脅威インテリジェンスチーム、インシデント対応チーム、MDR / MSSP 事業者、セキュリティ検証を継続的に行いたい企業・公共機関・金融機関などに適しています。

メーカーの製品サイト
https://filigran.io/

【言語】英語