目次
脅威インテリジェンスソリューションとは？
脅威インテリジェンス・ソリューションは、サイバー脅威をプロアクティブに特定、評価、緩和するための知識とツールを組織に提供します。これらのソリューションには、潜在的なリスクと脆弱性を理解するために、さまざまなソースからデータを収集、分析、解釈することが含まれます。脅威インテリジェンスを活用することで、組織はセキュリティ態勢を改善し、攻撃の影響を軽減し、サイバーセキュリティの全体的な防御力を向上させることができます。
脅威インテリジェンス・ソリューションには、以下のような重要なコンポーネントがある：
- データ収集と集約：脅威インテリジェンス・ソリューションは、オープンソースインテリジェンス（OSINT）、ダークウェブ監視、脅威フィード、社内セキュリティシステムなど、多様なソースからデータを収集する。
- 分析と強化：収集したデータを分析し、強化することで、文脈を提供し、パターンを特定し、脅威の潜在的な影響を評価する。
- 脅威の検知と対応：脅威インテリジェンスは、潜在的な攻撃を検知し、悪意のある行為者を特定し、リスクを軽減するためのプロアクティブな対応を可能にします。
- 脆弱性管理：脅威インテリジェンスは脆弱性管理プロセスに情報を提供し、組織が潜在的な影響に基づいて脆弱性の優先順位付けと修復を行えるよう支援します。
- インシデントレスポンス：脅威インテリジェンスは、インシデントレスポンスに貴重な洞察を提供し、セキュリティ侵害の迅速かつ効果的な修復を可能にします。
- 攻撃対象領域の管理：脅威インテリジェンス・ソリューションは、攻撃対象領域の特定と管理を支援し、潜在的な脆弱性と暴露ポイントを最小限に抑えます。
脅威インテリジェンスの主な利点は以下の通りである：
- インシデントレスポンスの強化：迅速かつ効果的なインシデントレスポンスのための貴重な洞察を提供します。
- プロアクティブな脅威検知:脅威が重大な被害をもたらす前に、企業が脅威を特定し、対応できるようにする。
- 攻撃のリスクと影響の軽減：脅威を理解し軽減することで、組織はサイバー攻撃の潜在的な影響を最小限に抑えることができる。
- セキュリティ態勢の強化：脅威インテリジェンスは、脆弱性に対処し、防御を改善することで、組織全体のセキュリティ態勢を強化するのに役立ちます。
- より良い意思決定：セキュリティ投資やリソース配分に関して、十分な情報に基づいた意思決定が可能になる。
これは、サイバー脅威インテリジェンスに関する一連の記事の一部である。
脅威インテリジェンスソリューションの主な構成要素
データ収集と集計
脅威インテリジェンス・ソリューションは、複数の外部および内部ソースからデータを収集し、脅威の状況を包括的に把握します。外部ソースには、オープンソースインテリジェンス（OSINT）、商用脅威フィード、ダークウェブフォーラム、ソーシャルメディアなどがあります。
内部ソースには、ファイアウォール、侵入検知システム（IDS）、エンドポイント検知応答（EDR）ツールからのログが含まれる。これらのソリューションは、自動クローラ、API、統合コネクタを使用して、大量のデータをリアルタイムで収集する。データの正規化と重複排除プロセスにより、収集された情報は関連性が高く、冗長性がなく、分析に適した状態になります。
分析と濃縮
データが収集されると、脅威インテリジェンス・ソリューションは分析を適用してノイズをフィルタリングし、関連する脅威指標をハイライトします。機械学習モデルと相関エンジンは、IPアドレス、マルウェアのシグネチャ、攻撃者の行動など、異なるデータポイント間のパターンと関係の特定を支援します。
エンリッチメントには、生の脅威インジケータにコンテキスト情報を追加することが含まれます。これには、地理的位置情報、攻撃起因の詳細、過去の活動、既知の脅威アクターへのリンクなどが含まれます。リッチ化されたデータは、セキュリティチームに潜在的な脅威とその重要性をより明確に理解させます。
脅威検知対応
脅威インテリジェンス・プラットフォームは、セキュリティ情報・イベント管理（SIEM）システムやエンドポイント・セキュリティ・ツールと統合し、リアルタイムの脅威検知を可能にする。脅威インテリジェンス・プラットフォームは、侵害の指標（IOC）や脅威シグネチャを提供し、悪意のある活動が発生した場合にその特定を支援します。
対応については、これらのソリューションは、プレイブック、自動化された対応アクション、およびセキュリティオーケストレーション、自動化、対応（SOAR）プラットフォームとの統合を提供する。これにより企業は、多くの場合、手動による介入を最小限に抑えながら、脅威を迅速に封じ込め、緩和することができます。
脆弱性管理
脅威インテリジェンスは、どの脆弱性が実際に悪用されているかについての洞察を提供することで、脆弱性管理を強化します。これにより、組織は、理論的な深刻度スコアだけでなく、現実の脅威データに基づいてパッチ適用作業の優先順位付けを行うことができます。
脅威インテリジェンスを脆弱性スキャナや管理ツールと統合することで、組織は脆弱性と現在の脅威要因の活動を対応付けることができます。このリスクベースのアプローチにより、リソースを最も重要なエクスポージャーへの対処に最初に集中させることができます。
インシデント対応
インシデント発生時、脅威インテリジェンスは、対応担当者が攻撃の範囲と性質を迅速に理解するためのコンテキストデータを提供します。これには、既知の攻撃者の手口、関連するマルウェア、一般的な指標に関する情報が含まれます。
インシデント発生後、脅威インテリジェンスは、観測された指標を既知の脅威キャンペーンに関連付けることで、フォレンジック分析をサポートします。これにより、防御を改善し、類似のインシデントを特定し、将来的に迅速に軽減することができます。
アタック・サーフェス・マネジメント
脅威インテリジェンス・プラットフォームは、シャドーIT、忘れ去られたドメイン、露出したサービスなど、インターネットに面したすべての資産を発見し、監視するのに役立ちます。この可視性は、敵が悪用する可能性のある攻撃ベクトルを減らすために不可欠です。
外部攻撃サーフェスを継続的に監視することで、これらのソリューションは、リスクを増大させる可能性のある新たな脆弱性、設定ミス、漏えいした認証情報をセキュリティチームに警告します。これにより、タイムリーな修正が可能になり、暴露の機会を減らすことができます。
関連コンテンツ脅威インテリジェンスツールのガイドを読む（近日公開予定）
脅威検知およびレスポンス・プラットフォーム 機能脅威インテリジェンス
1.エクサビーム
Exabeamは、ユーザーとエンティティの行動分析（UEBA）、SIEM、SOAR、脅威の検出、調査、対応（TDIR）を統合したセキュリティ・オペレーション・プラットフォームで、完全なプラットフォームとして、または既存のSIEMを補強して、脅威インテリジェンス・ワークフローを強化します。静的なルールだけに依存するのではなく、 、オンプレミス、クラウド、SaaS環境からのログ全体の異常を特定するために、行動分析と自動化されたイベントタイムラインを適用します。このアプローチは、潜在的な脅威に対するコンテキストを提供し、セキュリティチームが最も重要なインシデントに集中できるようにします。Exabeam
その脅威インテリジェンスの価値は、内部テレメトリと外部指標をどのように相関させ、従来のSIEMが見過ごす可能性のある漏洩した認証情報、横の動き、内部の脅威を表面化させるかにある。このプラットフォームは、自動トリアージによってアラートの疲労を軽減し、高度に専門化されたスタッフを必要とせずに迅速な調査機能を提供することで知られています。
主な差別化要因は以下の通り：
- ルールベースのシステムをバイパスする脅威を検出するための行動分析とスマートタイムライン。
- 手作業による調査時間を短縮し、複数の情報源からの情報を統合する統合TDIRワークフロー。
- 多様な脅威フィードを取り込み、既存のセキュリティツール全体でインテリジェンスを利用できるオープンな統合モデル。
Exabeamは、SOC内で脅威インテリジェンスを運用し、検知と対応の効率を向上させながら、単一焦点のXDRやルールベースのSIEMソリューションでよく見られるロックインやデータのサイロ化を回避しようとする組織向けに設計されています。
2.Rapid7 脅威コマンド
Rapid7 Threat Commandは、サーフェスウェブ、ディープウェブ、ダークウェブにおける脅威を検知、分析、対応する外部脅威インテリジェンスソリューションです。継続的にリスクを監視し、既存の防御と統合することで、脅威データを自動化されたセキュリティアクションに変換することができます。
一般的な特徴
- 外部脅威の監視：ソーシャルメディア、フォーラム、マーケットプレイスなど、さまざまな外部ソースを継続的に監視し、新たなリスクを特定する。
- アラートとテイクダウンの自動化：悪意のあるコンテンツや不正なコンテンツに対してアラートを送信し、テイクダウンを要求するプロセスを自動化します。
- 統合ダッシュボード：脅威データの閲覧、アラートの管理、レスポンスアクションの起動のためのコンソールを提供します。
- APIとSIEMの統合：既存のセキュリティツールとの統合をサポートし、データフローと自動エンリッチメントを可能にします。
脅威インテリジェンス機能：
- カスタマイズ可能なインテリジェンス・フィード：業種、地域、脅威の種類に応じて、脅威のフィードやアラートをカスタマイズできます。
- 脅威データのエンリッチメント：関連する指標や過去のアクティビティなど、コンテキストに基づいた脅威インテリジェンスをアラートに提供します。
- IOC検出：外部環境全体の侵害指標（IOC）を監視し、発見された情報を内部資産と照合します。
- アタック・サーフェス・マッピング：攻撃者の目に触れるデジタル資産をマッピングすることで、外部からの脅威を可視化します。
Source: Rapid7
3.サイブルビジョン
Cyble Visionは、AIネイティブの脅威インテリジェンスおよびデジタルリスク保護プラットフォームであり、組織の外部脅威状況を統合的に把握することができます。侵害前、侵害中、侵害後という侵害ライフサイクル全体をカバーすることを目的としており、複数のリスクベクターにわたって脅威の検出、攻撃対象領域の管理、監視を可能にします。
一般的な特徴
- AIによる脅威検知：人工知能と機械学習モデルを使用して、サーフェスウェブ、ディープウェブ、ダークウェブ全体の脅威を特定します。
- 統合脅威ダッシュボード：脅威の監視、インシデントの管理、修復アクションの追跡を一枚のガラスで実現します。
- 攻撃対象領域の管理：組織の露出した資産を継続的にスキャンしてマップ化し、脆弱性や設定ミスを特定する。
- サードパーティリスクモニタリング：ベンダー、パートナー、サプライチェーン事業体に関連するリスクを追跡する。
脅威インテリジェンス機能：
- ダークウェブ監視：ダークウェブのフォーラム、マーケットプレイス、隠れた情報源を監視し、組織データや計画中の攻撃に関する言及を探ります。
- データ漏えいの検知：漏えいした認証情報、漏えいした記録、または組織に関連する機密データの暴露に関するアラート。
- 脅威行為者のプロファイリング：脅威行為者、その戦術、過去の活動に関するインテリジェンスを提供します。
カスタム脅威アラート：指定したキーワード、ブランド名、業界固有のリスクパラメータに基づく脅威アラートを可能にします。
専用脅威インテリジェンスソリューション
4.スレットコネクト
ThreatConnectは脅威インテリジェンス運用（TI Ops）プラットフォームであり、組織がサイバー脅威インテリジェンスを一元化、強化、活用できるよう支援します。従来の脅威インテリジェンス・プラットフォーム（TIP）とは異なり、チーム全体でインテリジェンスを運用し、検知、優先順位付け、対応のワークフローを改善します。
主な特徴は以下の通り：
- 統合脅威インテリジェンス・ライブラリ幅広い脅威データソースを単一のリポジトリに取り込み、正規化、スコアリングします。
- AIを活用した脅威分析：CAL™とATT&CKに基づく分析により、充実した洞察と行動コンテキストを提供します。
- 組み込みとローコードによる自動化：カスタマイズ可能なプレイブックと自動インテルエンリッチメントにより、アナリストのワークフローを簡素化します。
- 可視化ツール：ATT&CK VisualizerやThreat Graphなどのツールをサポートし、関係性や攻撃者の戦術を探ることができます。
- インテリジェンス要件管理：チームが情報ニーズを文書化し、追跡し、実行できるようにする。
Source: ThreatConnect
5.MISP
MISP（Malware Information Sharing Platform & Threat Sharing）は、脅威データの収集、共有、分析を簡素化するために設計されたオープンソースの脅威インテリジェンスプラットフォームです。組織が侵害の指標（IOC）を構造化し、関連付けることで、自動検出、分析の簡素化、組織横断的なコラボレーションを可能にします。
主な特徴は以下の通り：
- 自動相関エンジン：ファジーハッシュやCIDRマッチングなどの手法を用いて、イベント、属性、キャンペーン間のリンクを特定します。
- 自動データ処理：IDS、SIEM、その他のツールとの統合のために、STIXやOpenIOCのようなフォーマットでのIOCの自動エクスポートをサポートします。
- 脅威管理の簡素化脅威データの迅速な作成、編集、相関が可能なインターフェースにより、使いやすさを追求。
- 脅威の共同共有信頼できるパートナーやコミュニティとの安全な共有を可能にし、MISPインスタンス間の双方向同期をサポートします。
- 柔軟なデータモデル：原子指標から完全なインシデントレポートまで、脅威インテリジェンスの詳細な記述をサポートします。
Source: MISP
6.記録された未来
Recorded Futureは、AIを活用した脅威インテリジェンス・プラットフォームで、企業が脅威を検出、理解、緩和できるよう支援します。Intelligence Cloud上に構築され、データ収集からアクションまでのインテリジェンス・ライフサイクルを自動化し、デジタル脅威の状況全体にわたってコンテキストに基づいた洞察を提供します。
主な特徴は以下の通り：
- ネットワーク・インテリジェンス100万を超えるC2サーバーと上位100のマルウェアファミリーを追跡し、悪意のあるインフラに関するアラートを提供します。
- インテリジェンスグラフ：インターネット全体から収集したデータを使用して、敵対者、インフラ、脅威の活動を継続的にマップし、分析します。
- 自動化されたインテリジェンス：AIを使用して、インターネット規模での脅威の検出と分析を自動化する。
- 脅威のカバレッジオープンウェブ、ダークウェブ、テクニカルフィード、顧客テレメトリを組み合わせて、脅威の活動を可視化します。
- Recorded Future AI：分析を自動化し、チームが自然言語クエリを通じてインテリジェンスと対話できるようにすることで、脅威の緩和を加速。
7.オープンCTI
OpenCTI(Open Cyber脅威インテリジェンス)は、技術的なサイバー脅威データと非技術的なサイバー脅威データを管理、分析、視覚化するための脅威インテリジェンスプラットフォームです。これにより、アナリストは、レポートや脅威フィードなどの元のソースへのトレーサビリティを維持しながら、オブザーバブル、TTP、アトリビューション、被害者を使用して知識を構造化できます。
主な特徴は以下の通り：
- オープンで拡張可能なプラットフォーム：ユーザーはカスタムデータセットを構築・統合し、コネクタを開発し、ニーズに合わせてプラットフォームをカスタマイズすることができます。
- 構造化された脅威データ管理技術的（IOC、TTP）および文脈的（脅威行為者の属性、標的、確信度）なインテリジェンスをナレッジベースに格納します。
- 関係マッピングと推論：既存のデータから新しいリンクを自動的に推論し、コンテキストを改善し、脅威の理解をサポートします。
- MITRE ATT&CK統合：より詳細な分析のために、脅威の行動を にマッピングするための専用コネクタが含まれています。MITRE ATT&CK フレームワーク
- 柔軟なデータのインポート/エクスポート：CSVやSTIX 2バンドルのような標準フォーマットをサポートし、APIやコネクタを介して統合することができます。
Source: OpenCTI
8.ANY.RUN
ANY.RUNはマルウェア・サンドボックスと脅威インテリジェンス・プラットフォームであり、セキュリティチームが大規模に脅威を調査することを可能にします。アナリストは、常に更新されるサンドボックス・セッションのデータセットからIOCを検索し、関連付けることができます。
主な特徴は以下の通り：
- TTP 実装例: サンドボックス環境でマルウェアによって実行される MITRE ATT\&CK テクニックの実際の例を示します。
- 脅威の高速検索：180日分の調査データのクエリをサポート。
- コンテキストに基づく脅威の強化：ハッシュ、IP、ドメイン、レジストリキー、YARAルール、TTPなどの指標と、リンクされたサンドボックスセッションの情報を取得するのに役立ちます。
- 現実世界の脅威データ：50万人以上のアナリストによるコミュニティ主導のインテリジェンスを含みます。
- 検索機能：40以上の検索パラメータをサポートし、マルウェアの動作、イベント、関連するインジケータを絞り込んだり、調査を広げたりすることができます。
Source: ANY.RUN
正しい脅威インテリジェンスソリューションの選択
脅威インテリジェンス・ソリューションを評価する際の主な検討事項を以下に示す。
1.目的を明確にする
脅威インテリジェンス・ソリューションを選択する前に、組織のセキュリティ目標を明確に定義することが極めて重要である。主なニーズが、外部脅威の検知なのか、内部インシデントデータの充実化なのか、脆弱性の優先順位付けの改善なのか、対応ワークフローの改善なのかを特定する。ユースケースは、必要とされるインテリジェンスの種類（戦術的、運用的、戦略的）に影響します。
組織の規模、業種、規制上の義務、セキュリティ運用の成熟度を考慮する。例えば、金融機関であれば詐欺の指標やダークウェブの監視を優先し、製造業であればサプライチェーンの脅威に注力する。このような目的を明確にすることで、プラットフォーム機能とセキュリティ成果の整合性を確保することができる。
2.データ品質、情報源を評価する。
脅威インテリジェンスの有用性は、収集するデータの質、範囲、適時性に結びついている。ソリューションが広範かつ多様なソースから情報を収集しているかどうかを評価する：OSINT、政府フィード、ダークウェブ・フォーラム、マルウェア・リポジトリ、業界固有の脅威交換などです。広範であれば、より広範な脅威を検知することができ、関連性があれば、データがリスクプロファイルに適合していることを確認することができます。
また、プラットフォームが生データをどのようにフィルタリングし、スコアリングし、エンリッチしているかも重要である。信頼度評価、文脈に応じたタグ付け、履歴相関などの機能を確認します。誤検知を最小限に抑え、充実した重複排除インテリジェンスを提供するプラットフォームによって、セキュリティ・チームはより迅速かつ確信を持って行動できるようになり、意思決定が改善され、アラートに対する疲労が軽減されます。
3.統合能力の評価
脅威インテリジェンス・ソリューションは、既存のセキュリティ・エコシステムと統合する必要がある。これには、SIEM、SOARプラットフォーム、ファイアウォール、エンドポイント保護システム、ケース管理ツールなどが含まれる。ツール間でデータを自動的にプッシュ／プルできる機能は、手作業を減らし、対応時間を短縮し、チームが効率的に行動を調整するのに役立ちます。
STIX/TAXIIのような業界標準のサポートや、API、SDK、組み込みコネクタの可用性を評価する。効果的な統合により、脅威指標が既存のワークフロー内で可視化され、実行可能になります。これができなければ、インテリジェンスはサイロ化されたまま活用されず、投資対効果は限定的なものになります。
4.レポートとアラート機能の分析
脅威の検知と対応には、タイムリーで実用的なアラートが不可欠です。強力な脅威インテリジェンス・プラットフォームは、指標属性、脅威行為者のプロファイル、攻撃のタイムラインなど、豊富なコンテキストを備えたリアルタイムのアラートをサポートする必要があります。アラートは、重大度、資産への影響、脅威の種類ごとにカスタマイズ可能であるべきで、ノイズを減らし、チームが重要な問題に集中できるようにします。
レポートツールも同様に重要である。トレンド分析、攻撃のタイムライン、エグゼクティブ・ダッシュボードなどの機能を探しましょう。レポートは、技術者と非技術者の両方をサポートし、アナリストには詳細を、リーダーには要約を提供する必要があります。エクスポート・オプションやコンプライアンスに沿ったテンプレートは、監査や文書化の要件を簡素化します。
5.拡張性とカスタマイズ性の確保
組織は時とともに変化するものであり、脅威インテリジェンス・ソリューションは組織とともに成長できなければなりません。拡張性とは、パフォーマンスを犠牲にすることなく、より大量のデータ、より多くのユーザー、新しいデータソース、進化する脅威の種類に対応できることを意味します。これは、多国籍企業やデジタルフットプリントを拡大する企業にとって特に重要です。
カスタマイズにより、プラットフォームが運用上のニーズに適応できるようになります。リスクスコアリングモデルの設定、ダッシュボードのカスタマイズ、ワークフロー自動化の定義など、柔軟なソリューションはインテリジェンスを脅威の状況に合わせるのに役立ちます。ユーザー・ロール、カスタム・タグ付け、モジュール式のデプロイメントをサポートするプラットフォームにより、セキュリティ・チームは俊敏性を保つことができます。
その他のサイバー脅威インテリジェンス
