脅威インテリジェンスとは？

運用的脅威インテリジェンス

運用的脅威インテリジェンスから、アクターのとる手法について知見を得ることができ、潜在的なリスクが明らかになります。 このインテリジェンスは、より有意義な検知、インシデント対応、ハンティングプログラムを可能にします。戦術的脅威インテリジェンスが既知の脅威に関するコンテキストをアナリストに提供するのに対し、運用的脅威インテリジェンスではより接近した調査からまったく新しい脅威を発見します。

このようなインテリジェンスは、フォレンジック調査やインシデント対応でよく用いられ、一般的に次のような項目が含まれます。

• 特定の脅威グループが用いるツール（ユーティリティ、バックドアファミリー、共通インフラストラクチャ）
• 特定の脅威グループが用いる戦術、技術、手順（TTP）（ステージングディレクトリ、ファイルの命名規則、ポート、プロトコル、よく使うファイル形式）
• 新しいTTP（新しい持続化手法、脆弱性攻撃、フィッシングスキーム）

インシデント対応の観点から考えてみましょう。あなたが今、侵入イベントに対応しているとしたら、特定の攻撃アクターがどのように権限昇格、ラテラルムーブメント、データ盗難を行っているのか知りたいと思うはずです。あるいは、未知の悪質なアクティビティをハンティングしているとしたら、特定のアクターの挙動を観察することからハンティングを始めたいと考えるはずです。いかなるシナリオでも、「自社環境内でこのアクターを探すにはどうすればよいか」という問いに答える必要があります。

運用的脅威インテリジェンスの用途

運用的脅威インテリジェンスとは、既知の攻撃の詳細を精査することで得られる知識です。アナリストは戦術的な IOC と結果を組み合わせることにより、アクターの手法について全体像をしっかりと把握して運用的なインテリジェンスを引き出すことができます。これにより、将来の攻撃とインシデントに備えてインシデント対応計画や対応技術を強化することなどにより、防御に関するさまざまな目標を達成できるようになります。

また、アナリストは能動的な検知プログラム（「ハンティングプログラム」）を導入・増強することにより、従来のセキュリティテクノロジーをバイパスした疑わしいファイルやアクティビティを特定できます。さらに、IOC に依存しない検知手法を確立し、脅威をより幅広くよりタイムリーにカバーすることも可能です。

運用的脅威インテリジェンスの例

戦略的脅威インテリジェンス

戦略的脅威インテリジェンスは、脅威と攻撃の大局的な変化を時系列で示します。 戦略的脅威インテリジェンスにより、ヒストリカルトレンド、動機、攻撃の背後に潜む人間の属性を特定できます。攻撃者の人物像と動機を把握できれば、今後のオペレーションや戦術についても手掛かりを得られます。このようなことから、戦略的インテリジェンスは最も効果的な防御手段を決めるための確実な出発点となります。

戦略的脅威インテリジェンスには、次のようなトピック分野の情報が含まれます。

• 侵入や情報漏えいの属性
• アクターグループのトレンド
• 業種別および地域別の標的トレンド
• サイバー攻撃と地政学的衝突やイベントとの関連付け（南シナ海、アラブの春、ロシア・ウクライナ問題）
• 侵害、マルウェア、情報の盗難に関するグローバルな統計
• 主要な攻撃者 TTP の経時的な変化

戦略的脅威インテリジェンスの用途

戦略的脅威インテリジェンスでは大量の知識が基盤となります。これには、既知のサイバー攻撃からの運用的脅威インテリジェンスと戦術的脅威インテリジェンスを集積したデータに基づく専門家の意見や知見が含まれます。このようなインテリジェンスは、予算の根拠を提示することや情報に基づいて投資判断を適切に行うことが求められる CISO や経営幹部などのリーダー層にとって特に有益です。戦略的脅威インテリジェンスには、次のような用途があります。

• リスクの高い脅威アクター、関連性のあるリスクシナリオ、公衆向けのテクノロジー領域や地下の犯罪組織における脅威への露出に関する経営幹部への情報提供
• テクノロジーサプライチェーン全体の包括的なリスク分析とレビューの実施
• どの商業ベンチャー、ベンダー、パートナー企業、テクノロジー製品が自社のエンタープライズ環境に対するリスクを増大するか、軽減するかの把握

戦略的脅威インテリジェンスの例