目次
サイバー脅威インテリジェンスとは？
サイバー脅威インテリジェンス（CTI）とは、組織のデジタル資産に脅威をもたらす潜在的または現在の攻撃に関する情報を収集、分析、発信することである。CTIの目的は、組織内の意思決定者に、サイバー脅威の防止、検知、対応に必要なツールと情報を提供することである。これには、サイバー敵の戦術、技術、手順（TTP）を理解し、リスクを軽減することが含まれる。
CTIは、脅威が出現した際にその特定と対応を支援し、組織が事前対策を講じることを可能にします。さまざまなソースからのデータを活用することで、CTI は攻撃を予測し、その起源と動機を理解し、防御策を計画するのに役立ちます。組織は、CTI からの洞察を利用して、セキュリティ態勢とインシデント対応戦略を調整することができます。
これは、情報セキュリティに関する一連の記事の一部である。
サイバー脅威の進化
サイバーセキュリティの黎明期には、脅威は金銭的あるいは政治的な動機というよりは、偶発的あるいは探索的なものが主であった。1967年のウェア・レポートは、ユーザー、ハードウェア、ソフトウェアに関連するコンピュータ・システムの脆弱性を特定し、脅威を偶発的な情報漏洩、意図的な侵入、能動的な侵入に分類した。1970年代には、インサイダー詐欺、クリーパーのようなコンピュータウイルス、恐喝目的のデータ窃盗など、最初のサイバー犯罪が出現した。
インターネットが拡大するにつれ、サイバー脅威はより洗練され、標的を絞るようになった。犯罪グループは、金銭的利益のために悪意のあるソフトウェアを活用し始め、ランサムウェア、フィッシング詐欺、バンキング型トロイの木馬の台頭を招きました。電子商取引とオンライン・バンキングの成長は、攻撃者がユーザーの認証情報や財務データを悪用する新たな機会を生み出しました。その焦点は、個々のシステムから、金銭的な動機に基づく大規模なキャンペーンへと移りました。
近年、サイバー脅威は地政学的な様相を呈している。国家主体や高度持続的脅威（APT）は現在、サイバー攻撃をスパイ活動、破壊工作、政治的影響力のツールとして利用している。これらのキャンペーンは、ゼロデイ脆弱性や高度なマルウェアを悪用して、政府機関、重要インフラ、多国籍企業などの価値の高いターゲットに侵入することがよくあります。
ハクティビスト集団や内部脅威も出現し、脅威の状況に複雑さを加えている。モノのインターネット（IoT）デバイスやクラウドコンピューティングの普及は新たな脆弱性をもたらし、分散型サービス妨害（DDoS）キャンペーンやサプライチェーンの侵害といった大規模な攻撃を可能にしている。
サイバーの種類脅威インテリジェンス
1.戦略的インテリジェンス
戦略的インテリジェンスは、より広範なセキュリティ情勢に関する洞察を提供し、上級管理職が長期的な敵対的動機と将来の潜在的脅威を理解するのに役立つ。これには、サイバー脅威に影響を与える地政学的、経済的、社会的要因の分析が含まれます。組織は戦略的インテリジェンスを利用して、サイバーセキュリティ戦略をビジネス目標に整合させます。
戦略的インテリジェンスは、将来の脅威に備え、組織が十分な情報に基づいた意思決定を行う上で極めて重要である。長期的なパターンと行為者の動機を理解することで、組織は潜在的な攻撃を予測し、それに応じてセキュリティの優先順位を調整することができます。このインテリジェンスは、リスク管理、セキュリティ・インフラへの投資、ポリシーの策定に役立ちます。
2.戦術的インテリジェンス
戦術的インテリジェンスは、脅威に関連する直接的な行動と侵害の指標（IOC）に焦点を当てる。これは、セキュリティ・オペレーション・チームがアクティブな脅威を迅速に認識し、対応するために使用されます。これには、IPアドレス、ドメイン名、ハッシュ、ファイルパスなど、悪意のある活動の指標となることがわかっているデータが含まれます。
この種のインテリジェンスは、検知と対応に不可欠です。これにより、セキュリティ・チームは脅威のパターンを特定し、悪意のある活動を阻止するための迅速な行動を取ることができます。タイムリーな戦術的インテリジェンスは、組織が被害を軽減し、攻撃者がシステム内に滞留する時間を短縮するのに役立ちます。
3.テクニカル・インテリジェンス
テクニカル・インテリジェンスには、サイバー行為者がシステムへの侵入や操作に使用するメカニズムに関する詳細な情報が含まれる。これには、ソフトウェアおよびハードウェア環境内のマルウェア、エクスプロイト、脆弱性の分析が含まれる。このような技術的な詳細を理解することで、組織はサイバー脅威を検知、予防、無力化できるようになります。
詳細なテクニカル・インテリジェンスは、防御メカニズムの開発や組織のセキュリティ態勢の改善に役立ちます。テクニカル・インテリジェンスは、セキュリティ専門家がマルウェアのシグネチャを認識し、マルウェアがどのように動作するかを理解するのに役立ち、マルウェアの防御を可能にします。テクニカル・インテリジェンスは、パッチ管理や脆弱性緩和戦略にも役立ちます。
4.オペレーション・インテリジェンス
オペレーショナル・インテリジェンスは、敵対者の短期的な戦術とキャンペーンに集中する。脅威行為者の目的、キャンペーン、手順に関するコンテキスト情報を提供します。このインテリジェンスは迅速な意思決定をサポートし、活動中の脅威に関する実用的な洞察を提供することで、インシデント対応能力を向上させます。
組織にとって、オペレーショナル・インテリジェンスは、脅威がどのように発生し、なぜ発生しているのかを理解する上で極めて重要である。現在の敵のキャンペーンを洞察することで、組織は脅威を無力化するためのリソースとオペレーションに優先順位をつけることができる。このインテリジェンスは、セキュリティ対策の改善や迅速な対応計画の策定に反映され、全体的なサイバーセキュリティの回復力を向上させます。
関連コンテンツガイドを読む脅威ハンティングと脅威インテリジェンス
エキスパートからのアドバイス
スティーブ・ムーアは、Exabeamのバイスプレジデント兼チーフ・セキュリティ・ストラテジストで、脅威検知のためのソリューションの推進を支援し、セキュリティ・プログラムの推進や侵害対応について顧客にアドバイスを行っています。The New CISO Podcast」のホストであり、Forbes Tech Councilのメンバー、ExabeamのTEN18の共同創設者でもあります。
私の経験から、Cyber脅威インテリジェンス（CTI）プログラムをよりよく実施し、強化するためのヒントを紹介します：
- 業界に特化した脅威インテリジェンスの活用：業界に特化した脅威インテリジェンスソースを活用する（例：金融業界ならFS-ISAC、医療業界ならH-ISAC）。業界に特化したインテリジェンスは、その業界に関連する脅威要因、脆弱性、攻撃手法に関する洞察を提供する。
- CTIと欺瞞技術の組み合わせ：CTIの知見を欺瞞ツール（ハニーポットやおとりシステムなど）に統合することで、脅威の発見と検知を強化します。CTIから得た脅威行為者の戦術を使用して、攻撃者をおびき寄せる実環境をシミュレートし、高度な検知を可能にします。
- ワークフローにおけるMITRE ATT&CKマッピングの運用化：IOC と敵の TTP の静的なマッピングを超えて、MITRE ATT&CKにマッピングする。このフレームワークをセキュリティのプレイブックで使用して、敵の行動をシミュレートし、防御をテストすることで、より強力なプロアクティブな脅威対応を可能にする。
- 敵対者プロファイルデータベースの構築：脅威行為者のプロファイルを一元化したデータベースを構築し、その動機や戦術、過去のキャンペーンを詳述する。このデータベースをCTIの調査結果で継続的に更新することで、脅威者の動きを予測し、防御を改善します。
- CTIをサードパーティのリスク管理と統合：CTIを使用して、サードパーティのベンダーやサプライチェーンがもたらすリスクを監視します。ベンダーのエコシステム内の脆弱性、違反、侵害に関するインテリジェンスを収集し、潜在的な間接的脅威に積極的に対処します。
脅威インテリジェンスライフサイクル
ここでは、CTIのプロセスの概要を説明する。
1.計画と方向性
プランニングとディレクションは、目標を定義し、組織のインテリジェンス・ニーズを確立することに重点を置く。この段階では、組織の優先事項とリスク選好度に基づき、脅威インテリジェンス活動の明確な目標を設定する。計画を成功させることで、インテリジェンス活動がビジネス上の目標やセキュリティ上のニーズと整合するようになります。
効果的なプランニングには、潜在的な脅威を確実にカバーするために、複数の利害関係者からの意見が含まれる。また、どの資産を最も保護する必要があるかを判断するためのリスク評価も含まれる。
2.収集方法
収集方法の段階では、特定されたインテリジェンス・ニーズに対応するため、さまざまな情報源からデータを収集する。情報源には、内部ログ、外部データベース、オープンソースインテリジェンス（OSINT）、ヒューマンインテリジェンス（HUMINT）、ダークウェブモニタリングなどがある。その目的は、脅威分析と意思決定に役立つ、適切で実用的なデータを収集することです。
包括的な脅威像を構築するためには、多様な収集方法が不可欠である。これによって組織は多様な情報インプットを収集し、潜在的な脅威を幅広くカバーすることができる。徹底した収集戦略は、新たな脅威を検知し対応する組織の能力を向上させる。
3.加工と分析
処理と分析では、生データを実用的なインテリジェンスに変換する。この段階には、効果的に分析できるようにデータをフィルタリング、分類、文脈化することが含まれる。機械学習を含む高度な分析ツールや技術は、パターンを特定し、潜在的な脅威や脆弱性に対する洞察を生み出すために使用される。
分析段階は、インテリジェンスデータの重要性を判断し、潜在的な影響に従って脅威の優先順位を決定する上で非常に重要です。収集したデータを実用的な洞察に変換することで、組織は脅威の検知と緩和戦略を改善することができます。適切な分析は、脅威のランドスケープに対する理解を深め、敵の行動を予測するのに役立ちます。
4.普及とフィードバック
普及とフィードバックにより、分析したインテリジェンスが適切な利害関係者に届くようにする。この段階では、インテリジェンス・レポートと洞察を意思決定者とセキュリティ・チームに配布し、情報に基づいた行動を可能にする。継続的なフィードバック・メカニズムにより、インテリジェンス・プロセスが継続的に改善され、新たな脅威や組織の変化に適応できるようにする。
特定された脅威に対してタイムリーな防御措置を講じるには、効果的な情報発信が不可欠である。洞察力を組織全体で共有することで、さまざまなチームが業務を調整し、全体的なセキュリティ態勢を向上させることができる。利害関係者からのフィードバックは、将来のインテリジェンス活動を改良し、妥当性を確保するのに役立ちます。
サイバー犯罪を効果的に活用するための5つのベストプラクティス脅威インテリジェンス
組織は、サイバー脅威インテリジェンスのベストプラクティスを実施することで、セキュリティを向上させることができる。
1.関連する脅威データソースの選択
適切なデータソースを選択することは、実用的なインテリジェンスを生成する上で非常に重要です。組織は、内部ソース（ログ、セキュリティイベントなど）と、脅威インテリジェンスフィード、業界別ISAC、ダークウェブモニタリングなどの外部ソースを組み合わせて活用する必要があります。自社のリスクプロファイルに合致したソースを選択することで、企業は自社の脅威に最も関連するインテリジェンスに集中することができます。
また、データソースの信頼性と適時性を評価することも重要です。自動化されたツールは、ノイズや偽陽性をフィルタリングし、インテリジェンスチームが高品質で信頼性の高い脅威データを確実に利用できるようにします。ソースを十分に精査することで、脅威の検知と対応の精度が向上します。
2.分析用構造データ
生の脅威データは構造化されていないことが多く、圧倒されます。構造化されたインテリジェンスの共有に STIX/TAXII を使用するなど、データ形式を標準化することで、セキュリティ・チームは効率的に情報を分析し、関連付けることができます。脅威インテリジェンスを戦術、技術、手順（TTP）などのカテゴリーに整理することで、意味のある洞察を導き出しやすくなります。
セキュリティ情報・イベント管理（SIEM）システムと脅威インテリジェンス・プラットフォーム（TIP）は、データを集約して正規化することができるため、アナリストは大規模なデータセットを手作業で選別するよりも、トレンドの特定に集中することができます。
3.分析ツールの活用
最新のCTIプログラムは、膨大なデータから洞察を引き出す高度な分析ツールに依存しています。機械学習と人工知能は、パターン、異常、およびこれまで知られていなかった脅威を特定することで、検出を向上させることができます。これらのツールは予測分析を可能にし、組織がリスクが顕在化する前にリスクを予測し、軽減するのに役立ちます。
相関エンジンや脅威インテリジェンス・プラットフォーム（TIP）は、インテリジェンスを既存のセキュリ ティ対策にマッピングするのに役立つ。MITRE ATT&CKのようなフレームワークと統合することで、組織は敵の行動を理解し、実際の攻撃シナリオをシミュレートして防御を改善することができます。
4.インテリジェンスをセキュリティ・オペレーションに組み込む
脅威インテリジェンスは分離されたままではなく、セキュリティ・ワークフローに統合する必要があります。セキュリティ・チームは、CTIの洞察をファイアウォール、エンドポイント検出・対応（EDR）ツール、セキュリティ・オーケストレーション・自動化・対応（SOAR）プラットフォームに送り込み、脅威の検出とブロックを自動化する必要があります。
定期的な脅威ブリーフィングと、チーム（SOC、インシデント対応、リスク管理）間でのインテリジェンスの共有により、インテリジェンスが実用的であることが保証されます。また、CTI をセキュリティ・プレイブックに組み込むことで、防御策を現実の脅威に合わせることができ、対応効率が向上します。
5.継続的な更新と改良
脅威インテリジェンスは動的であり、時代遅れのインテリジェンス・プログラムは有効性を失う。組織は、過去のインシデントを見直し、敵のプロファイルを更新し、セキュリティ運用からのフィードバックを取り入れることによって、インテリジェンス・プロセスを継続的に改善する必要があります。インテリジェンス要件を定期的に見直すことで、進化する脅威との整合性が確保されます。
新しいインテリジェンス・フィードに登録し、脅威共有コミュニティに参加し、自動化を活用してリアルタイムのアップデートを行うことで、関連性を維持することができます。継続的に改善する文化を醸成することで、組織は敵の一歩先を行くことができ、サイバー耐性を高めることができる。
Exabeamプラットフォームの機能：SIEM、UEBA、SOAR、内部脅威、コンプライアンス、TDIR
Exabeam Fusion Enterprise Edition Incident Responderは、AIと自動化をセキュリティ・オペレーション・ワークフローに適用することで、サイバー脅威と戦うための総合的なアプローチを実現し、最も効果的な脅威の検知、調査、対応（TDIR）を提供します：
- AIによる検知は、ユーザーやエンティティの正常な行動を学習し、コンテキストを考慮したリスクスコアリングで脅威の優先順位をつけることで、リスクの高い脅威をピンポイントで検知します。
- 自動化された調査により、セキュリティ・オペレーションが簡素化され、異種データを相関させて脅威のタイムラインを作成することができます。
- プレイブックは、ワークフローを文書化し、アクティビティを標準化することで、調査と対応を迅速化します。
- 可視化は、最も戦略的な成果とデータおよび検出のギャップを埋めるためのフレームワークに対してカバレッジをマッピングします。
- STIX/TAXIIの統合により、セキュリティチームは外部ソースから構造化された脅威インテリジェンスをシームレスに取り込み、関連付けることができます。
これらの機能により、Exabeamはセキュリティ・オペレーション・チームがより迅速、正確かつ一貫性のあるTDIRを実現できるよう支援します。
その他のサイバー脅威インテリジェンス
