脅威インテリジェンス活用入門

セキュリティ対策の多くは「守り方」の話です。しかし、守りを効果的にするには、まず「誰が、何を、どのように狙っているのか」を知る必要があります。

その答えを与えてくれるのが、脅威インテリジェンス（Threat Intelligence、以下TI）です。本記事では、TIの基本から、企業での具体的な活用シーン、導入時につまずきやすいポイントまでを解説します。

脅威インテリジェンスとは

脅威インテリジェンスとは、サイバー攻撃に関するさまざまなデータを収集・分析し、自社の守りの判断に使える形にした知見のことです。

ポイントは、単なる「情報」ではないという点です。不審なIPアドレスの一覧があっても、それが自社にどう関係し、何をすべきかが分からなければ、判断には使えません。

段階	例	判断への使いやすさ
データ	ログの一行、IPアドレス、ファイルハッシュ	そのままでは使えない
情報	「このIPアドレスは攻撃に使われたことがある」	事実は分かるが、自社への意味は不明
インテリジェンス	「自社の業界を狙う攻撃グループが、このIPアドレスを使い、VPN機器の脆弱性を悪用している。該当機器の確認と通信の遮断を優先すべき」	何をすべきかが分かる

インテリジェンスの価値は、量ではなく
「判断と行動につながるかどうか」で決まります。

4つの種類と、それぞれの「使い手」

TIは一般に、扱う時間軸と具体性によって4つに分類されます。重要なのは、種類ごとに使う人と使い方が異なることです。

上に行くほど長期的・抽象的、下に行くほど短期的・具体的な情報になります

経営層には業界の脅威動向やリスクの全体像（戦略的）、SOCには検知に使える攻撃手口や痕跡（戦術的・技術的）が必要です。同じ「TI」でも、届ける相手に合わせて形を変えることが、活用の第一歩です。

なぜ今、脅威インテリジェンスが必要なのか

攻撃のスピードが上がっている

脆弱性が公表されてから実際に悪用されるまでの時間は、短くなる傾向にあると指摘されています。すべての脆弱性に同時に対応することは難しいため、「実際に悪用されているか」「自社を狙う攻撃者が使っているか」という視点で、優先順位をつける必要があります。

守るべき範囲が広がっている

クラウドやリモートアクセス、取引先とのシステム連携など、攻撃の入口は年々増えています。限られた人員と予算で守るためには、「どこから手をつけるべきか」を示す根拠が欠かせません。

経営としての取り組みが求められている

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」でも、情報共有活動への参加を通じて攻撃情報を入手し、有効に活用することが、経営者が指示すべき事項の一つとして挙げられています。TIは、現場のツールであると同時に、経営判断の材料でもあります。

企業での活用シーン

TIは単独で使うものではなく、既存のセキュリティ運用に組み込むことで力を発揮します。代表的な活用シーンは次のとおりです。

a.アラートのトリアージ検知したアラートを既知の攻撃情報と照らし合わせ、本当に対応すべきものを素早く見極める

b.脆弱性対応の優先順位付け実際に悪用が確認されている脆弱性や、自社業界を狙う攻撃で使われている脆弱性から対応する

c.脅威ハンティング攻撃者の手口（TTP）をもとに仮説を立て、まだ検知されていない侵入の痕跡を能動的に探す

d.インシデント対応・侵害調査見つかった痕跡を攻撃者の手口と結びつけ、侵入経路や影響範囲、次に狙われる場所を推定する

e.レッドチーム演習実在の攻撃者の手口を再現し、自社の検知・対応力が通用するかを確かめる

f.経営への報告業界の脅威動向と自社のリスクを結びつけ、投資や体制づくりの判断材料にする

IOCだけに頼らない ― 攻撃者の「手口」に目を向ける

TIというと、不正なIPアドレスやドメインの一覧（IOC）を思い浮かべる方も多いかもしれません。IOCはすぐに使える便利な情報ですが、攻撃者にとって変更しやすいという弱点があります。

この考え方を示したのが、セキュリティ研究者のDavid Bianco氏が提唱した「痛みのピラミッド（Pyramid of Pain）」です。ピラミッドの上にある情報ほど、防御側がそれを押さえたときに攻撃者が受ける「痛み」が大きくなります。

TTP

ツール

ネットワーク・ホストの痕跡

ドメイン名

IPアドレス

ファイルハッシュ

攻撃者にとって
変えにくい
＝効果が大きい攻撃者にとって
変えやすい
＝効果が限定的

David Bianco氏「Pyramid of Pain」をもとに作成

IPアドレスやハッシュ値は、攻撃者が簡単に変えられます。一方、攻撃者の手口（TTP）は簡単には変えられません。MITRE ATT&CKなどのフレームワークで手口を整理し、検知ルールや脅威ハンティングに反映することで、形を変えて繰り返される攻撃にも強い守りをつくることができます。

つまずきやすいポイントと、始め方

PITFALL 1集めるだけで終わる

フィードやレポートを購読しても、誰がどう使うかが決まっていないと活用されない

PITFALL 2情報が多すぎる

無関係な情報まで取り込むと、アラートが増え、かえって現場の負担になる

PITFALL 3自社と結びつかない

一般的な脅威情報のままでは、自社のどのシステムが危ないのか判断できない

こうしたつまずきを避けるには、TIを「サイクル」として回すことが有効です。

一般的なインテリジェンス・サイクル

まずはこの3ステップから

守るべきものと、知りたいことを決める重要なシステムや情報資産を洗い出し、「自社の業界を狙う攻撃者は誰か」「どの脆弱性が悪用されているか」など、答えを得たい問い（PIR：優先インテリジェンス要求）を定めます。
既存の運用に組み込むSOCの監視やEDR、脆弱性管理のプロセスに接続し、「情報が届いたら誰が何をするか」を決めておきます。
小さく始めて、振り返るすべてを一度に整えようとせず、役に立った情報・使われなかった情報を振り返りながら、範囲を広げていきます。

自社だけでの分析が難しい場合は、TIを日々の監視や調査に活用している外部の専門家と組むことも、現実的な選択肢です。