運用 NICT 觀測數據與自主開發誘捕系統的純日本國產 IP 威脅情資「Senda-Nexus」，強化 OpenCTI 串接及 AI for Security 應用

Rainforest 株式會社在運用國立研究開發法人情報通信研究機構（NICT）觀測數據與自主開發誘捕系統觀測數據的純日本國產 IP 威脅情資「Senda-Nexus」中，除了強化 OpenCTI 串接外，更著眼於 AI for Security 的應用，強化了基於 MCP（模型上下文協定）的數據整合。

Senda-Nexus 是一個將暗網（Darknet）觀測數據與誘捕系統觀測數據進行比對，為 IP 位址賦予觀測來源及行為上下文的情資平台。透過此次的升級，Senda-Nexus 的觀測結果可以作為 Feed 與 Enrichment 串接至 OpenCTI 上的現有 IoC 與 Observable，讓使用者能基於國內觀測數據與獨家觀測數據，進行針對實際營運的威脅分析。此外，系統架構更擴充至可透過 MCP 讓 AI 代理直接存取 Senda-Nexus 的觀測數據，支援從威脅調查、分析到生成報告的完整流程。

關於 Senda-Nexus

Senda-Nexus 結合了 NICT 觀測數據與自主開發誘捕系統的觀測結果，是一個用於將 IP 位址的威脅上下文視覺化並加以運用的情資平台。其特點不僅在於累積單一的 IoC 資訊，還能橫跨多個觀測來源掌握出現狀況與相關行為。藉由關聯分析暗網上的 TCP SYN 掃描行為、高速掃描與序列觀測、與 Mirai 類型行為的關聯，以及自主開發誘捕系統中的觀測狀況，為目標 IP 提供更具體的判斷依據。

https://nexus.senda-lab.jp/

Senda-Nexus 的特點

- 運用 NICT 觀測數據與自主開發誘捕系統的觀測結果
- 透過比對多個觀測來源，提供附帶上下文的 IP 評估
- 提供暗網觀測與誘捕系統觀測的視覺化 UI
- 支援針對 OpenCTI 的 Feed / Enrichment 串接
- 藉由為外部 IoC 添加上下文，支援實際營運
- 支援針對 AI 代理的 MCP 串接
- 支援多重代理（Multi-agent）進行調查、分析與生成報告

這不僅能確認從外部取得的 IoC，還能實現基於國內觀測數據與獨家觀測數據的深入分析。此外，更支援包含運用 AI 進行威脅分類、自動調查及製作報告等次世代的營運支援。

關於視覺化 UI

在 Senda-Nexus 的 Web UI 中，可將暗網觀測與誘捕系統的觀測結果，連同地理資訊、ASN 資訊與時間序列趨勢一併視覺化。這讓分析人員不僅能評估單一 IP 位址，還能掌握持續出現的趨勢以及網路層級的偏差。不侷限於單次指標的確認，而是能進行基於持續觀測的趨勢分析，這也是 Senda-Nexus 的特色之一。

此外，Senda-Nexus 的架構預想不僅是讓人員在畫面上進行確認，同時也能讓 AI 代理透過 MCP 存取相同的觀測數據。這將視覺化畫面上的掌握與 AI 的自動分析、自動報告相互結合，更迅速且有效率地支援分析人員的判斷。

誘捕系統中觀測到的 Black IP 資訊
誘捕系統存取的即時監控 (Live Monitor)

關於 OpenCTI 串接

在這次的 OpenCTI 串接中，能以 Feed 與 Enrichment 兩種形式使用 Senda-Nexus 的資訊。

可將 Senda-Nexus 擁有的 IP 威脅資訊持續匯入 OpenCTI，並整合至現有的威脅情資平台中。根據 Senda-Nexus 的觀測結果，為 OpenCTI 上的現有 IPv4-Addr 新增補充資訊，讓使用者更容易掌握目標 IP 是在哪個觀測系統中被確認，以及與哪些行為相關。在原始發布中說明了，除了在自家誘捕系統中的觀測情況、暗網上的 TCP SYN 觀測情況、高速掃描觀測情況、Mirai 類型觀測情況外，還能加上產品名稱、通訊埠、路徑、指令、觀測件數、國家、ASN 等補充屬性。

藉此，即使是對於從 AlienVault OTX 等外部來源匯入的 IoC，Senda-Nexus 也能...