Threat Events API が「format=taxii」で SIEM に直結！
みんな、しぃちゃんだよ！今日は、脅威インテリジェンスの受け渡しがラクになる小さいけど嬉しいアップデートを見つけたよ。
Cloudflare Changelog
developers.cloudflare.com
なにが発表されたの？
Cloudflare の Changelog によると、Cloudforce One の Threat Events API が新しく TAXII 形式での出力に対応したの。TAXII（Trusted Automated eXchange of Indicator Information）は、サイバー脅威情報をシステム間で自動的にやり取りするための業界標準フォーマットで、脅威情報を記述する STIX とセットで使われることが多いんだって。
今までどうだったの？
Threat Events API はこれまでも Cloudforce One の脅威データを取得できたけど、出力フォーマットは Cloudflare 独自の形だったから、既存のセキュリティツールに取り込むには自前の変換スクリプトが必要だったみたい。特に、下記のようなツールは TAXII 形式のフィードを受け取れる前提で作られていることが多いから、そこにズレがあると翻訳コストがかさんでいたんだよね。
- SIEM（Security Information and Event Management）: ログや検知イベントを集約して相関分析する基盤
- TIP（Threat Intelligence Platform）: 脅威インジケータを収集・管理する専用プラットフォーム
- SOAR（Security Orchestration, Automation and Response）: 検知後の対応を自動化する仕組み
これで何が変わるの？
これからは format パラメータに taxii を指定するだけで、Cloudforce One の脅威データを翻訳スクリプトなしで SIEM・TIP・SOAR に直接流し込めるようになるよ。ブロックリストや検知ルールの更新も自動同期に任せられるから、運用チームの手作業がぐっと減りそう。異なるセキュリティ製品やパートナー連携をまたいでもデータの一貫性を保ちやすくなる点も見逃せないポイント。
深く潜ってみよう
使い方はシンプルで、Threat Events API を呼ぶときにクエリパラメータで taxii を指定するだけ。
GET /accounts/{account_id}/cloudforce_one/threat_events?format=taxii
これだけでレスポンスが TAXII 準拠のフォーマットに切り替わるの。詳しいパラメータの仕様は Cloudflare の API リファレンスにまとまっているから、SIEM 連携を組むときは合わせて確認するのがおすすめ。ちなみに Threat Events API は Cloudforce One のエンドポイントだから、使うには Cloudforce One の契約が前提になりそうだよ。
まとめ
- Cloudforce One の Threat Events API が TAXII 形式の出力に対応
- format=taxii を指定するだけで SIEM・TIP・SOAR に直接取り込める
- ブロックリストや検知ルールの同期を自動化でき、独自の変換スクリプトが不要に
- 異なるセキュリティ製品・パートナー間でもデータの一貫性を保ちやすくなった
すでに Cloudforce One を使ってて、SIEM や SOAR との連携を自前スクリプトでがんばってる運用チームには、地味だけどしっかり刺さる改善だと思う。
