サイバー脅威インテリジェンス（CTI）とは
サイバー脅威インテリジェンス（CTI）とは、誰が、どのような手法とインフラで攻撃しているのかといった脅威情報を収集・分析し、文脈を与えることで、攻撃を先読みして阻止するための取り組みです。成果は、機械で読み取れるIOC、脅威アクターのプロファイル、業種別のアドバイザリとして提供されます。価値を左右するのは、実際のインシデントから生まれる独自のインテリジェンスか、単に再販されたフィードかという違いです。
情報から先読みへ
サイバー脅威インテリジェンスは、脅威に関する生のデータを活用できる知見に変えます。「どこかにマルウェアがある」ではなく、「この脅威アクターが、これらの手法で、お客様の業種を狙っています。ブロックすべき指標はこちらです」という形です。これが、事後に対応するか、先読みして備えるかの違いです。
3つのレベル
CTIは、戦略（取締役会向け：動向とリスク）、運用（SOC向け：キャンペーンとTTP）、技術（ツール向け：IOC）の3つに分かれます。優れたCTIは、この3つすべてを、それぞれ適切な相手に届けます。
再販ではなく、独自のインテリジェンス
本当の価値は一次情報源から生まれます。実際に対応したインシデント、脅威アクターの直接の調査、犯罪者のアンダーグラウンドの監視です。だからこそ、Nebula Brokerのように、後にグローバルなベンダーが確認したアトリビューションが可能になります。
CTIの3つのレベル
| レベル | 対象 | 例 |
|---|---|---|
| 戦略 | 取締役会、CISO | 動向、業種別の脅威アクター、事業リスク |
| 運用 | SOC、脅威ハンター | 進行中のキャンペーン、TTP、C2（コマンド&コントロール）インフラ |
| 技術 | SIEM、EDR | IOC：IPアドレス、ドメイン、ハッシュ、YARA |
Fortgaleは、イタリアの脅威アクターNebula Brokerを最初に特定しました（2023年）。その後、Mandiant（Google）がUNC4990として同じアクターを確認しています。再販ではない、独自のインテリジェンスです。
分析を読む（英語） →よくある質問
IOCとTTPとは何ですか？
IOC（Indicators of Compromise、侵害の痕跡）は、IPアドレス、ドメイン、ハッシュ、URLなど、観測可能な技術データです。TTP（Tactics, Techniques and Procedures、戦術・技術・手順）は、攻撃者がどのように活動するかを示すもので、MITRE ATT&CKに対応付けられます。IOCは「何を探すか」を、TTPは「攻撃者がどう動くか」を示します。
自社で生成するCTIと商用フィードの違いは何ですか？
多くのベンダーは、第三者から集約したフィードを再販しています。自社で生成するCTIは、対応したインシデント、脅威アクターの調査、ディープウェブ・ダークウェブ監視といった一次情報源から独自のインテリジェンスを生み出します。そのため、文脈が豊富で、すぐに活用できます。
CTIは大企業だけのものですか？
いいえ。中堅企業でも、どの脅威アクターが自社の業種を狙っているかを把握し、自社の環境に適用できるIOCを受け取ることには大きな価値があります。CTIは、SOCやMDRに組み込む形でも、単独のサービスとしても利用できます。
CTIは防御にどのように活用されますか？
IOCはSIEM、EDR、ファイアウォールに自動で取り込まれ、既知の脅威をブロックします。TTPは脅威ハンティングの指針になります。業種別のアドバイザリは、ある脅威アクターが特定の業種に対するキャンペーンを準備している段階で、事前に警告します。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：FortgaleのCTIサービス
関連リソース： MDRとは · 防御におけるCTIの役割
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。