今回の記事は、データベースのサイバーセキュリティ意思決定の中心として、迅速かつ正確な脅威対応を可能にする 脅威インテリジェンス についてご紹介します。
目次
- 記事のまとめ
- 脅威インテリジェンスの概念と必要性
- 脅威インテリジェンスの4つの主なタイプ
- 脅威インテリジェンスの6段階サイクル
- 脅威インテリジェンスの現在と未来
- FAQ（よくある質問）
- 結論
記事のまとめ
- 脅威インテリジェンスは、データに基づいてサイバーセキュリティの意思決定を迅速かつ正確に行うためのデータ駆動型アプローチです。企業は様々な脅威データを分析し、適切な脅威インテリジェンスを生成して活用することで、セキュリティ態勢を強化することができます。
- 現代のサイバーセキュリティ攻撃はますます洗練され、多様化しています。脅威インテリジェンスは、発生しかねないサイバー脅威を事前に予測し、対応するのに役立ちます。
- 脅威インテリジェンスは、その目的によって戦略的インテリジェンス、戦術的インテリジェンス、運用的インテリジェンス、技術的インテリジェンスに分類することができます。
- 脅威インテリジェンスは、計画 > 収集 > 処理 > 分析 > 配布 > フィードバックのプロセスによって生成され、活用されます。すべての段階を企業内で行うことが難しい場合は、Criminal IPのようなCTI（サイバー脅威インテリジェンス）プラットフォームを活用することができます。
- 脅威インテリジェンスとAIとの結合は、データの整合性および過検出、誤検知、未検出の問題を解消し、リアルタイムの脅威特定と危機対応の自動化を通じ、セキュリティ人手不足の問題を解決しています。
脅威インテリジェンスの概念と必要性
脅威インテリジェンス とは？
脅威インテリジェンスは、データ駆動型サイバーセキュリティの意思決定の中心です。脅威アクター、攻撃手法、脆弱性（CVE）、悪用されたIPアドレスやフィッシングサイト、そしてセキュリティ環境で発生する可能性のある潜在的なリスク要因を特定し、これに関する情報を収集・分析することで、企業のセキュリティ態勢を強化します。脅威インテリジェンスは、データに基づいたセキュリティ意思決定を支援し、これにより、より迅速かつ正確な脅威対応を可能にします。
脅威インテリジェンスの必要性
現代のサイバー攻撃はますます高度化・多様化しています。APT（Advanced Persistent Threat）のような高度化された脅威アクターは、企業内のシステムとデータを継続的に狙っており、ゼロデイ脆弱性とソーシャルエンジニアリング攻撃も頻繁に発生しています。さらに、便利化するソフトウェアの開発環境は、サプライチェーンの脅威という新たなサイバー脅威をもたらしました。このような環境において、脅威インテリジェンスは、企業が脅威を予測し、事前に対応できるようにし、産業群に特化した脅威データを選別して活用できるように支援します。
脅威インテリジェンスの4つの主なタイプ
脅威インテリジェンスの種類は、戦略的インテリジェンス、戦術的インテリジェンス、運用的インテリジェンス、技術的インテリジェンスに分けられます。まず、整理された表を確認した後、それぞれのインテリジェンスのタイプをもう少し詳しく説明します。
| 分類 | 定義 | 主な活用分野 | 例の活用法 |
|---|---|---|---|
| 戦略的インテリジェンス | 長期的、高レベルの意思決定を支援 | 政策の策定、投資決定 | 産業別脅威レポートの提供 |
| 戦術的インテリジェンス | TTPsに対する情報 | 運営チームの防御戦略の策定 | 攻撃者のプロファイリングとTTPs分析 |
| 運用的インテリジェンス | リアルタイムの脅威検知と対応支援 | SOC、インシデント対応 | 悪意のあるIPとボットのブロック、C2の検知 |
| 技術的インテリジェンス | 詳細な技術データ（IoC） | 自動化されたシステム検知とブロック | SIEMのIoCアップデートとマルウェアの削除 |
戦略的インテリジェンス（Strategic Intelligence）
企業の上級経営陣や意思決定者のための長期的な観点から提供される脅威情報です。サイバー脅威環境の全体的なトレンド、技術の発展、そして産業内の脅威動向などを分析し、政策と戦略を策定するのに役立ちます。よりマクロ的な視点で脅威インテリジェンスを活用すると見られます。活用法としては、企業のセキュリティ予算をどこに優先的に投資すべきかを判断し、世界的な脅威動向を基にリスクを管理します。最後に、特定の産業（金融、医療など）が直面している主要なサイバーセキュリティの脅威を把握するために活用されます。
戦術的インテリジェンス（Tactical Intelligence）
サイバー攻撃の手法、戦術および手順（TTPs：Tactics、Techniques、and Procedures）に関する詳細な情報を提供し、セキュリティ運営チームが特定の脅威に対応するのに役立つ情報です。活用法としては、攻撃者が使用するツール、手法および行動パターンに関する情報を収集し、セキュリティ運営チームに最新の脅威トレンドと対応策、防御方法を教育するために使用されます。
運用的インテリジェンス（Operational Intelligence）
リアルタイムまたは短期的な脅威活動に関する情報を提供し、セキュリティチームがインシデントに即座に対応できるように支援する情報です。インシデント発生時、リアルタイムで脅威を分析し、適切な対応手順を案内します。また、セキュリティイベントを分析し、リアルタイムで警告を提供するSOC（Secure Operation Center）の強化に役立ちます。最後に、脅威プロファイリングを通じ、特定の脅威アクターや攻撃キャンペーンに関する詳細情報を収集し、対応戦略を策定します。
技術的インテリジェンス（Technical Intelligence）
マルウェアのサンプル、ハッシュ値、フィッシングドメインアドレス、悪意のあるIPアドレスなど、技術的で詳細な脅威データを含み、セキュリティシステムと自動化ツールで直接活用できる情報です。SIEM、IDS・IPS、ファイアウォールなどの脅威検知システムに技術的なデータとして活用されます。また、既知の悪意のあるIPアドレスやフィッシングドメインをブロックしたり、攻撃対象領域管理で特定された資産に対する脅威評価に使用されます。攻撃者の攻撃指標を更新し、最新の脅威対策にも活用されます。
脅威インテリジェンス の6段階サイクル
脅威インテリジェンスは、単にデータを収集・分析するだけでなく、体系的かつ反復的なプロセスを通じてインテリジェンスを生成します。本プロセスは、脅威インテリジェンスのサイクルと呼ばれ、6段階で構成されています。まず、表で確認した後、各段階について詳しく説明します。
| 段階 | 主な目的 | 活用事例とツール |
|---|---|---|
| 計画 | 目標と要件の定義 | 脅威データ収集の方向性設定 |
| 収集 | データソースの確保 | OSINT、HUMINT、TECHINTの活用 |
| 処理 | データ整理及び変換 | データ構造化及び分類 |
| 分析 | 脅威の識別及び評価 | 相関関係の分析、リスク評価、機械学習分析 |
| 配布 | 実行可能な情報の伝達 | カスタマイズされたレポート、CTIプラットフォームを通じたリアルタイム共有 |
| フィードバック | プロセスの改善 | 効果の分析及び戦略修正、協業フィードバックの共有 |
1. 計画
目的：脅威インテリジェンスを生成するための明確な目標を設定し、企業のセキュリティ要件に応じてデータを収集・分析する方向性を定義します。
主な活動：情報要件の定義と収集計画の策定があります。情報要件定義の場合、企業が解決すべき主要な脅威と情報の優先順位を設定します。収集計画は、脅威インテリジェンスをどこで収集するかを決定します。代表的にOSINT（Open Source Intelligence）、HUMINT（Human Intelligence）、TECHINT（Technical Intelligence）などのソースがあります。
2. 収集
目的：様々なデータソースから脅威データを収集します。これは、脅威インテリジェンスを生成するために必要な最も基本的な段階です。
主な活動：誰でもアクセスできるOSINTを通じて公開された脆弱性または、脆弱性の脅威さらされているソフトウェアサプライチェーンの情報を収集します。さらに、IPアドレスのWHOIS情報及び公開されたIoT（Internet Of Things）機器情報、フィッシングサイト・URLデータを収集します。他の方法としては、TECHINTを活用した技術的なデータ、人間のネットワークや内部情報源を通じて情報を取得するHUMINTなどのソースを活用して脅威データを収集します。MITRE ATT&CKフレームワークを活用して攻撃者の攻撃パターンや技術などを収集することもできます。
3. 処理
目的：収集された脅威データを構造化して分類し、目的に合わせて使用できるデータに加工する段階です。
主な活動：重複したり不要なデータを除去する整理過程と非定型データを定型化されたデータ（CSV、JSON）に変換する構造化過程を行います。その後、目的に合わせて使用できるように分類します。（悪質なIPアドレス、フィッシングドメイン、ファビコンハッシュなど）
4. 分析
目的：整理されたデータを分析し、脅威に活用可能な有意義なインテリジェンスを生成します。
主な活動：攻撃者のTTPに基づいて脅威アクターをプロファイリングする脅威パターンの特定作業、ネットワークイベントと脅威データを連結して攻撃経路を追跡するなどの脅威の相関関係分析、攻撃者の特定・脅威の深刻度と発生可能性を評価するリスク評価作業が分析段階で行われます。この過程で大量の脅威データを機械学習基盤で分析したり、様々なデータソースを組み合わせて脅威イベントを導き出すこともあります。
5. 配布
目的：生成されたインテリジェンスを企業内の利害関係者に配布し、実行可能な形で提供します。これにより、企業は脅威インテリジェンスを活用して様々なセキュリティ脅威に備え、対処することができます。
主な活動：セキュリティレポートやリアルタイム警告通知など、企業の状況に合わせた脅威インテリジェンスを提供します。内部で脅威インテリジェンスを生成することが難しい場合、Criminal IPのようなCTIプラットフォームを通じてチーム間のリアルタイムデータ共有、企業の公開された資産の脅威分析を通じた先制対応に活用します。
6. フィードバック
目的：前のサイクルの結果を評価し、改善すべき部分を見つけ、次のサイクルに反映します。この過程を通じて、企業の状況と問題により適した脅威インテリジェンスを構築することができます。
主な活動：提供された脅威インテリジェンスが実際に脅威の検知と対応にどれだけ貢献したかを分析する効果性評価過程と、脅威インテリジェンスを構築・活用する段階での全体的なプロセスを点検・改善します。最後に、協業部署間のフィードバック過程を通じて、より良い活用方法を模索します。
脅威インテリジェンスの現在と未来
脅威インテリジェンスの現状と課題
脅威インテリジェンスは、企業のセキュリティ態勢を強化するために不可欠ですが、実務で活用するには、様々な限界と課題が存在します。データ品質、分析人材と専門知識の不足、データ過多と誤検知問題などが代表的なものです。各問題と改善策を一緒に見ていきましょう。
1. データ品質の問題
収集された脅威データが不正確または不完全な場合、重複データや古いIoC（Indicator of Compromise）である場合、これを活用するセキュリティチームに混乱をもたらし、これによりデータ全体の信頼性が低下する可能性があります。また、データソースによって異なる信頼性で誤検知や過検知、未検知の問題が発生する可能性があります。このような場合、最新性と信頼性を評価するプロセスを自動化することで、複数のマルチソース間のクロスチェックを行い、古いIoCの除去とリアルタイムの更新を通じてデータの有効性を維持します。
2. 分析人材と専門知識の不足問題
脅威データを分析し、実行可能なインテリジェンスを生成できる熟練した人材が不足していたり、企業内のセキュリティチームが脅威データを処理する十分な能力と時間がない場合が多くあります。このような場合、Criminal IPのような脅威インテリジェンスプラットフォームを活用することができます。企業はこれを活用することに重点を置くことで、生成の負担を軽減し、分析と実行の人材不足の問題を解決することができます。
3. データ過多と誤検知の問題
過剰なデータにより、実際に重要な脅威を発見できない可能性があり、脅威検出の多くが誤検知につながり、セキュリティチームの疲労度を増大させます。この場合、単にIPアドレスやハッシュ値だけを提供するのではなく、脅威の背景、攻撃者のTTP情報などを含む実行可能性の高い脅威インテリジェンスで生成して問題を解決することができます。誤検知問題の場合、AIと機械学習モデルを活用して警告の信頼性を高め、データの相互検証で誤検知問題を解決します。
AIと組み合わせた脅威インテリジェンス
AIは、脅威インテリジェンスの限界を克服し、データ分析と脅威検知能力を大幅に強化する可能性を秘めています。AIと組み合わせた脅威インテリジェンスをご紹介します。
1. 脅威予測モデルの構築
AIは過去のデータを学習し、予測分析を行うことができます。これにより、企業は今後のセキュリティ脅威に先制的に対応することができます。時間、場所、IoCパターンなどに基づいて、次に発生する可能性の高い攻撃を予測します。
2. 脅威の自動化対応
生成した脅威インテリジェンスをSOAR（セキュリティー・オーケストレーション、自動化、レスポンス）と連動して、ファイアウォールポリシーを更新したり、悪質なIPアドレスやドメイン、疑わしいアカウントのブロックなどの作業を行います。
3. スタマイズされた脅威インテリジェンスの生成
各産業群別に構築した脅威データは異なる場合があります。AIはそれぞれ異なる脅威データを基に、その産業、企業に最適化された脅威インテリジェンスを生成します。これにより、企業は実際に直面している固有のセキュリティ脅威に対応できる能力を備えることができます。
FAQ（よくある質問）
脅威インテリジェンスを収集する主なデータソース（OSINT、HUMINT、TECHINT）の違いは何ですか？
OSINT（Open Source Intelligence）：公開されたインターネットリソースから収集されたデータで、IPアドレスやウェブサイト、ソーシャルメディア、ニュース、公開レポートなどから情報を取得します。費用対効果が高く、簡単にアクセスできますが、信頼性と正確性を検証するために追加の作業が必要です。
HUMINT（Human Intelligence）：人的ネットワークを通じて収集される情報で、内部情報源、セキュリティコミュニティ、フォーラムなどを含みます。一般的に高度な情報ですが、収集過程が複雑で時間がかかる場合があります。
TECHINT（Technical Intelligence）：ネットワークトラフィック、マルウェア分析、デジタルフォレンジックなどの技術的なデータを扱います。このデータは、リアルタイムの脅威検出と対応に有用であり、技術的な専門知識が必要です。
脅威インテリジェンス は他のセキュリティソリューションとどのように連携しますか？
脅威インテリジェンスは、様々なセキュリティソリューションと連携し、企業のセキュリティ態勢を強化することができます。攻撃対象領域管理（ASM）ソリューションに統合され、特定された企業の様々な攻撃対象領域に対する脅威分析を進めたり、ファイアウォール、IDS・IPSと脅威インテリジェンスの統合は、悪意のあるトラフィックを特定してブロックします。また、セキュリティ自動化対応技術であるSOARとの組み合わせにより、脅威の検知および分析、対応過程を自動化することができます。
脅威インテリジェンスを企業のセキュリティ強化にどのように活用できますか？
脅威インテリジェンスを活用した脅威の検知と予防は、企業のセキュリティを強化する上で重要な役割を果たします。
- 脅威予測と事前対応：脅威インテリジェンスは、過去の脅威データを分析し、将来の攻撃パターンを予測することができます。これにより、攻撃者が企業のシステムに侵入する前に先制的に対応することができます。
- 正確な検知とブロック：脅威インテリジェンスは、既知の脅威データ（IPアドレス、ドメイン、ハッシュなど）をデータベース化し、これに基づいて迅速に検知・ブロックすることができます。ゼロデイ攻撃およびAPT攻撃を効果的に検知し、防御できる能力を提供します。
- 脅威情報を基にしたセキュリティポリシーの強化：脅威インテリジェンスは、企業が直面している実際の脅威を反映したセキュリティポリシーを策定するのに役立ちます。リスクベースのアプローチにより、セキュリティレベルを向上させることができます。
- リアルタイムの脅威分析：脅威インテリジェンスプラットフォームとツールは、リアルタイムでデータを分析し、脅威を検知して警告します。これにより、セキュリティチームは脅威に迅速に対応することができ、対応時間と被害を最小限に抑えることができます。
- 継続的な更新と学習：脅威インテリジェンスは継続的に新しい脅威を収集・分析し、セキュリティシステムを最新の状態に保ちます。これにより、ますます高度化するサイバー攻撃に対して柔軟に対応することができます。
結論
企業のデジタル変革が加速する中、国境を越えたサイバー脅威はより高度化、専門化されています。脅威インテリジェンスは、日々増加するサイバー脅威の中で企業が対応できるよう、最新のセキュリティ脅威データを提供することを目指しています。最新化された脅威インテリジェンスは、より高度なセキュリティソリューションに統合され、最終的に企業をサイバーセキュリティの脅威から保護します。
脅威インテリジェンス検索エンジン「Criminal IP」は、最新の脅威データの提供を目指します。悪意のあるIPアドレスやインターネット環境に公開したIoT機器、ドメイン情報やサイトコードの分析、最新の脆弱性情報と最近活動したハッキンググループ情報など、様々な脅威インテリジェンスを提供します。また、企業がサイバーセキュリティの脅威に先制的に対応し、効果的な脅威管理を行うことができるように、脅威インテリジェンスを統合した攻撃対象領域管理ソリューション「Criminal IP ASM」と決済詐欺やクレデンシャルスタッフィング攻撃に備えるための「Criminal IP FDS」、最新の脅威インテリジェンスをローカルサーバーにダウンロードできる「Criminal IP CTIDB」を提供します。脅威インテリジェンスを活用したCriminal IPのセキュリティソリューションにご興味がある方は、それぞれのソリューションをクリックしてください。
参考文献
MWR threat intelligence report（2015）
石川 朝久 . 『脅威インテリジェンスの教科書』（2022）
