CISA KEV 脅威インテリジェンスオーケストレーター

CISA Known Exploited Vulnerabilities (KEV) カタログから新たに武器化されたCVEを、毎週自動的に本番環境で使用可能なSigma検知ルールに変換する、ゼロタッチパイプライン。

問題

新たなKEVエントリを手動で使用可能な検知に変換するのは時間がかかります。アドバイザリを確認し、攻撃パターンを調査し、Sigmaルールを書き、テストし、チームに説明する。CVEあたり約4～6時間かかります。週に10件の新規エントリがあれば、丸一週間の作業になり、ほとんどのSOCには毎週月曜日に使えるアナリストの余裕などありません。

これが行うこと

毎週月曜日の午前8:00に、パイプラインは以下の処理を実行します：

1. 最新のCISA KEVカタログを取得し、前回の実行以降に新たに追加された武器化されたCVEを抽出します。
2. CVEごとにSigma検知ルールを生成します。Google Geminiを使用し、構造化されたプロンプトによってモデルに以下の制約を課します：
   • CVEに記載された正確な製品/ベンダーを対象とする（汎用的なプレースホルダールールではない）
   • そのテクニックに適切なSysmon EventIDを使用する（プロセス作成、ネットワーク、イメージロード、LSASS、レジストリ）
   • 誤検知を抑制するための3～5個の条件フィルタを含める
   • 関連するMITRE ATT&CKテクニックにマッピングする
   • クリーンなYAMLのみを出力し、Splunk、Elastic、またはWazuhにそのまま投入可能な状態にする
3. 処理したすべてのCVEをGoogle Sheetsに記録します。これは、脆弱性が開示された日時とその検知ルールが作成された日時をタイムスタンプ付きで追跡する、継続的な監査証跡です。単なるログではなく、SOC 2 / ISO 27001のプロアクティブな脆弱性管理エビデンス要件を考慮して構築されています。
4. アナリストがすぐに使える週次ブリーフィングをメール送信します。CVEリスト、重大度、およびドラフト検知ロジックを含みます。

私の完全なブログをご覧ください: 高度な脅威インテリジェンス：CVEあたり6時間から0分へ

アーキテクチャ

CISA KEV カタログ (API)
        │
        ▼
  n8n スケジュールトリガー (月曜 午前8:00)
        │
        ▼
  フィルター: 新規 + 武器化されたCVE
        │
        ▼
  Gemini (Sigmaルール生成, 1コールあたり1CVE)
        │
        ├──▶ Google Sheets (監査証跡)
        │
        └──▶ メールダイジェスト (アナリストブリーフィング)