サイバー防御における脅威インテリジェンス（CTI）の役割
防御におけるCTIの役割は、攻撃者に関する知識を行動に変えることです。最新のIOC（侵害指標）で検知ルールを更新し、TTP（戦術・技術・手順）をもとに脅威ハンティングを進め、実際に悪用されている脆弱性を優先し、取締役会の意思決定に情報を提供します。保管しておくだけのレポートではありません。実際に活用されるインテリジェンスであり、防御を受け身から先手へと変えるものです。
知っているだけでは不十分：活用してこそ意味がある
受け身の防御と先手の防御の違いは、ツールの数ではありません。攻撃者についてどれだけ知っていて、それをどれだけ速く活用できるかです。サイバー脅威インテリジェンス（CTI）は、脅威アクターに関する知識を具体的な防御行動に変えるエンジンです。定義についてはCTIとはをご覧ください。
CTIが防御を支える4つの方法
CTIは4つの領域で機能します。検知を強化し（IOCをSIEM・EDR・ファイアウォールへ）、脅威ハンティングを導き（TTPをハンティングの仮説に）、脆弱性に優先順位をつけ（活動中の脅威アクターが実際に悪用しているものを優先）、リスクを意思決定の言葉で取締役会に伝えます。
説明するインテリジェンスから、使えるインテリジェンスへ
説明するだけのインテリジェンスは役に立ちません。重要なのは活用されるインテリジェンスです。脅威アクターのアトリビューションはすぐに検知ルールとなり、特定されたC2（コマンド&コントロール）インフラはブロック対象のIOCになります。こうしてCTIは、MDR（マネージド・ディテクション・アンド・レスポンス）を真にインテリジェンス主導のサービスにします。サービスについてはFortgaleのサイバー脅威インテリジェンスをご覧ください。
FortgaleによるNebula Brokerのアトリビューション（のちにMandiantがUNC4990として確認）は、学術的な分析にとどまりません。そのTTPとIOCは、お客様向けの検知ルールと脅威ハンティングのルールになります。説明するだけでなく、守るためのインテリジェンスです。
分析を読む（英語） →よくある質問
CTIは具体的に何に役立ちますか？
主に4つです。最新のIOCで検知を強化すること、TTPをもとに脅威ハンティングを進めること、実際に悪用されている脆弱性に優先順位をつけること、そしてリスクに関する取締役会の意思決定に情報を提供することです。単なるレポートではなく、実際に活用されるインテリジェンスです。
CTIでアラートのノイズは減りますか？
減ります。活動中の脅威アクターやキャンペーンに関する文脈があれば、重要なものとノイズを切り分け、アラートにアトリビューションと優先度を付加できます。誤検知が減り、判断が速くなります。
CTIと脅威ハンティングはどう関係しますか？
CTIはハンティングの仮説を提供します。脅威アクターについて観測されたTTPは、お客様のインフラに対する能動的なハンティングのクエリとなり、自動検知がまだ捉えていないものを見つけ出します。
すでにMDRを導入している場合でも、CTIは必要ですか？
CTIは、MDRを受け身ではなくインテリジェンス主導にするものです。インテリジェンスがなければMDRはアラートを追いかけるだけですが、CTIがあれば脅威アクターの動きを先回りできます。FortgaleのモデルではCTIはサービスに組み込まれています。MDRとはもご覧ください。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：FortgaleのCTIサービス
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。