目次
脅威インテリジェンスサービスとは？
脅威インテリジェンス・サービスは、潜在的なサイバー脅威に関するデータを収集・分析する。これらのサービスは、攻撃から保護するための洞察と侵害の指標（IOC）を組織に提供します。複数のソースからの情報を利用することで、脅威の状況を詳細に把握します。
このインテリジェンスによって、組織はセキュリティ・リソースの優先順位を決め、新たな脅威により効果的に対応することができる。主な目標は、サイバー敵の戦術、技術、手順を理解することで、サイバー敵の一歩先を行くことです。
複雑化するサイバー脅威にはソリューションが必要です。脅威インテリジェンス・サービスは、タイムリーで適切かつ実用的な情報を提供することで、企業が進化する脅威に対応できるよう支援します。これらのサービスは、外部の脅威を監視し、傾向を分析し、潜在的なセキュリティ・インシデントを予測する上で不可欠です。
これは、サイバー脅威インテリジェンスに関する一連の記事の一部である。
クラウドベースの利点と課題脅威インテリジェンス
クラウドベースの脅威インテリジェンスは、オンプレミスのソリューションと比較して、拡張性、迅速な展開、容易な統合を提供します。企業は、クラウドプラットフォームを通じて配信されるリアルタイムのアップデートにより、手動で操作することなく最新の脅威データにアクセスできるというメリットを享受できます。また、これらのサービスはコラボレーションもサポートしており、異なる環境や地域間で脅威データを共有し、相関させることができます。
もう一つの重要な利点は、インフラストラクチャーのオーバーヘッドの削減である。クラウドサービスを利用すれば、専用のハードウェアやメンテナンスが不要になるため、小規模な組織でも脅威インテリジェンスを利用しやすくなる。さらに、多くのプロバイダーは、データ分析と脅威予測を改善する機械学習機能を提供している。
しかし、クラウドベースのソリューションには新たな課題がある。特に、機密性の高い脅威データが外部に保存または処理される場合、データのプライバシーと管理は大きな懸念事項となる。また、サードパーティのプロバイダーに依存することで、検知メカニズムのカスタマイズや可視性が制限される可能性もある。
レイテンシーと可用性は、特に需要の高い時間帯や停電時にパフォーマンスに影響を与える可能性があります。また、クラウドベースの脅威インテリジェンス・サービスを利用する際には、規制基準へのコンプライアンスを評価する必要がある。
関連コンテンツ脅威インテリジェンス・プロバイダーのガイドを読む（近日公開予定）
脅威インテリジェンス機能を備えた注目すべき脅威検知およびレスポンス・ソリューション
1.エクサビーム
Exabeamは、ログ管理、高度な分析、自動応答を統合するために設計された、クラウド提供の SIEM およびセキュリティ運用プラットフォームです。行動分析と柔軟な統合を組み合わせることで、組織が生の脅威データを実用的な洞察に変換できるよう支援します。 は、商用およびオープンソースの脅威Exabeamインテリジェンスサービスの両方をサポートし、セキュリティチームがSOC内で複数のソースからのインテリジェンスを運用できるようにします。
一般的な特徴
- 行動ベースの分析：UEBA（User and Entity Behavior Analytics）を使用して、ユーザー、デバイス、アプリケーションのアクティビティをベースライン化し、内部脅威やクレデンシャルの不正使用を示す可能性のある異常を浮き彫りにします。
- 調査の自動化：スマートタイムライン™ を構築し、異種のセキュリティイベントを単一のインシデントビューに関連付けることで、アナリストの作業負荷を軽減し、対応を迅速化します。
- 柔軟なデプロイメント：弾力的なスケーリングが可能なSaaSとして利用できるため、オンプレミスのインフラなしで大量のイベントを簡単に処理できます。
- エージェントによるAIサポート：Exabeam AIを搭載したエージェントのシステムであるNovaは、検知エンジニアリング、自然言語による脅威ハンティング、エグゼクティブレベルのレポーティングを自動化します。
脅威インテリジェンス機能：
- フィードの取り込み：APIやSTIX/ TAXIIなどの標準を通じて、商用プロバイダー、オープンソースコミュニティ、政府ソースからの脅威インテリジェンスの取り込みをサポートします。
- IOC相関：インポートされたインジケータ（IP、ドメイン、ハッシュ、URL）を内部ログ、エンドポイントデータ、ユーザーアクティビティと自動的に比較し、脅威が環境内で活動しているかどうかを検証します。
- リスクベースの優先順位付け外部IOCとExabeamの行動リスク・スコアリングを統合し、アナリストが影響を引き起こす可能性が最も高い脅威に集中できるようにします。
- 自動化されたレスポンス：SOARワークフローと統合され、Exabeam、悪意のあるIPをブロックしたり、侵害されたアカウントを隔離したり、脅威のコンテキストでアラートを強化したりするプレイブックをトリガーすることができます。
- パートナーシップ・エコシステム：Recorded Future、Cisco Talos、Mandiantなどの大手脅威情報サービスプロバイダーと連携し、MISPのようなオープンソースプラットフォームもサポートしています。
Exabeamは、外部の脅威インテリジェンス・サービスと内部の行動分析を橋渡しすることで、脅威データが単に取り込まれるだけでなく、コンテキスト化されることを保証します。このアプローチにより、誤検知が減少し、調査が迅速化され、SOCチームがより迅速かつ正確にサイバー脅威に対応できるようになります。
2.クラウドストライク ファルコンX
CrowdStrike Falcon Xは、エンドポイントプロテクションと統合してインシデント分析を自動化し、対応を迅速化するクラウド型脅威インテリジェンスソリューションです。Falcon Xは、脅威の自動調査、マルウェア分析、および専門家が生成したインテリジェンスを単一のプラットフォームに統合し、予測的なセキュリティにアクセスできるように設計されています。
一般的な特徴
- クラウドネイティブな統合：統合されたスケーラブルなプラットフォームで、エンドポイント保護と脅威インテリジェンスを提供します。
- インシデント分析の自動化：AIを使用してコンテキストと推奨事項を生成し、調査時間を短縮します。
- 行動ベースの検出エンドポイント、アイデンティティ、クラウド環境全体の脅威を特定します。
- 24時間365日の脅威ハンティング：Falcon Adversary OverWatchを使用して、回避可能な脅威を検索します。
- AI主導の洞察：機械学習と人間が検証した脅威インテリジェンスにより、SOCのワークフローを改善します。
脅威インテリジェンス機能：
- 脅威インテリジェンスのキュレーションFalcon Adversary Intelligenceを通じて、IOC、敵対者のプロファイル、マルウェアデータを提供。
- ダークウェブの監視組織を標的としたクレデンシャルの暴露、なりすまし、詐欺キャンペーンを検出します。
- MITRE ATT&CK mapping:構造化された分析のために、脅威データを戦術とテクニックに整合させる。
- 検出ルールライブラリ：すぐに使えるハンティング・ライブラリと構築済みの検出ルールが含まれています。
- クロスドメイン相関：エンドポイント、ID、クラウド、SIEMソースにまたがる脅威データを統合します。
- 専門家による脅威サポートカウンター・アドヴァーサリー・オペレーション・サービスを通じて、カスタム・ブリーフとアナリストのコラボレーションを提供。
Source: CrowdStrike
3.マイクロソフトセンチネル
Microsoft Sentinelは、クラウドネイティブなSIEM（セキュリティ情報・イベント管理）およびSOAR（セキュリティオーケストレーション、自動化、レスポンス）プラットフォームであり、大規模なセキュリティデータの集約と分析を行うように設計されています。統合された脅威インテリジェンス機能により、企業は社内外のさまざまなソースから脅威データを取り込み、管理し、運用することができます。
一般的な特徴
- スケールでのデータ集約：複数のデータソースからログとアラートを単一のワークスペースに取り込みます。
- 自動応答：プレイブックを使用して、インシデントのワークフローと修復タスクをトリガーする。
- ビルトイン分析：既知のパターンとインジケータを使用して脅威を検出するために、事前に設定されたルールテンプレートを提供します。
- マイクロソフトエコシステムとの統合：Defender XDRやその他のマイクロソフトツールと連携し、検出と対応を改善します。
- スケーラブルなアーキテクチャ：大容量環境向けに動的なリソース割り当てが可能なクラウドで運用。
脅威インテリジェンス機能：
- マルチソース インジェスト: Defender脅威インテリジェンス、STIX/TAXII、カスタム API、サードパーティの TIP を介して脅威インテリジェンスをインポートします。
- 構造化データ管理：STIXオブジェクトを使用して、指標、アクター、技術、関係を表現する。
- 取り込みルールのカスタマイズノイズを減らし、有効性を高めるために、受信する脅威データをフィルタリングし、変更します。
- 脅威コンテキストの強化：IPとドメインのインジケータにGeoLocationとWhoIsデータを追加します。
- 関係モデリング：リレーションシップ・ビルダーを使用して、IOCを脅威行為者、被害者、攻撃パターンに関連付けます。
- ビルトイン分析統合：インポートした指標をログデータと照合し、アラートとインシデントをトリガーします。
- ワークブックの可視化カスタマイズ可能な対話型ダッシュボードにより、脅威インテリジェンスに関する洞察を表示します。
Source: Microsoft
クラウドベース脅威インテリジェンスサービス
4.記録された未来
Recorded Futureは、人工知能を使用して脅威データの収集、分析、配信を大規模に自動化する脅威インテリジェンス・プラットフォームです。オープンソース、ダークウェブ、技術遠隔測定、顧客データからの洞察を統合し、外部脅威の状況を一元的に把握することができます。
主な特徴は以下の通り：
- 自動化されたリアルタイムのインテリジェンス：何百万ものソースから継続的にデータを収集し、分析します。
- 対象範囲：ダークウェブ、オープンウェブ、テクニカル・ソース、顧客テレメトリなど、さまざまな脅威データを活用。
- インテグレーション：SIEM、SOAR、ITSMなどのツールと100以上のインテグレーションを提供し、日々の業務にインテリジェンスを組み込みます。
- インテリジェンス・グラフ：脅威データを自動的にリンク・構造化し、敵対者、インフラ、ターゲット間のつながりを明らかにする。
- Recorded Future AI：脅威分析を自動化し、自然言語インターフェイスを通じてユーザーをサポートすることで、調査と対応を迅速化する。
5.ANY.RUN
ANY.RUNは、脅威インテリジェンスツールとしても機能するインタラクティブなマルウェア分析プラットフォームです。ANY.RUNは、コミュニティが提供する脅威データのサンドボックスセッションを提供することで、セキュリティチームが調査を加速することを可能にします。アナリストは、何百万ものマルウェア実行記録を検索し、侵害の指標（IOC）や攻撃者のテクニックに関する深いコンテキストを得ることができます。
主な特徴は以下の通り：
- 脅威インテリジェンスの検索：サンドボックスのリサーチセッションを横断的に検索し、マルウェアの挙動、IOC、TTPなど、関連する脅威データを見つけます。
- 迅速な結果: 6ヶ月間の履歴データにアクセスすることで、脅威のコンテキストを迅速に取得します。
- 脅威コンテキストのリッチ化：ハッシュ、IP、URL、レジストリキー、YARAルールを含む40以上のパラメータをサポートし、脅威の挙動と関係を明らかにします。
- サンプル分析：50万人以上のアナリストから提供される脅威インテリジェンスを活用し、新鮮なマルウェアサンプルを提供します。
- ディープサーチ機能：イベントフィールドを横断して詳細なクエリを実行し、関連する悪意のあるアクティビティやインフラストラクチャを特定します。
Source: ANY.RUN
6.Anomali ThreatStream
Anomali ThreatStream は脅威インテリジェンスプラットフォームであり、検知、分析、対応のために蓄積された脅威データの運用を可能にします。脅威インテリジェンスと内部テレメトリを関連付けることで、データを実用的な洞察に変換し、セキュリティチームが既知の脅威や新たな脅威を迅速に検出できるようにします。
主な特徴は以下の通り：
- グローバルな脅威インテリジェンスへのアクセス：大規模な脅威インテリジェンスリポジトリ内の数百の脅威フィードおよびエンリッチメントソースに接続します。
- パーソナライズされたダッシュボード：業界、地域、技術スタックに合わせてカスタマイズされたダッシュボードにより、脅威要因、TTP、脆弱性、キャンペーンをリアルタイムで可視化します。
- コンテキスト化されたインテリジェンス：マルウェア、敵対者、IOC、IOA、脆弱性に関するコンテキストを、重大度と信頼度によってランク付けして提供します。
- 高度な脅威モデリング：MITRE ATT&CK ®プロファイルを使用して攻撃シナリオを視覚化およびシミュレートし、カバレッジギャップを特定して事前防御を改善します。
- 自動化されたインテリジェンス相関：外部の脅威データを社内の脆弱性や資産にマッピングし、迅速な調査を実現します。
結論
脅威インテリジェンス・サービスは、サイバー脅威の先を行くために不可欠です。脅威データを継続的に収集、分析、文脈化することで、これらのサービスは、組織がより迅速かつスマートなセキュリティ上の意思決定を行えるようにします。リアルタイムで実用的な洞察を提供できるため、脅威の検出と対応能力が向上し、侵害のリスクが低減します。サイバー敵がますます巧妙化する中、脅威インテリジェンス・サービスの活用は、プロアクティブで強靭なサイバーセキュリティ戦略の重要な要素となります。
その他のサイバー脅威インテリジェンス