再販ではなく独自の脅威インテリジェンスフィードを選ぶ理由

基本的な考え方

「脅威インテリジェンス」を販売する企業は数多くありますが、自ら生み出している企業は多くありません。防御に役立つフィードとノイズを生むだけのフィードの違いは、指標の数ではなく、その出所にあります。実際のインシデントから生まれた独自のフィードは、誰がなぜ攻撃しているのかを示します。再販フィードが提供するのは一覧表です。

フィードがない場合、または適切でない場合のコスト

汎用のフィードは、単独で古いことも多い指標でSIEMを埋めます。SOCは誤検知に追われ、本当のシグナルが見落とされます。コストはフィードの契約料だけではありません。アナリストの時間と、見逃した重要なアラートもコストです。「フィードがある」ことは、インテリジェンスがあることと同じではありません。

現場で観測したフィードが提供するもの

新しく、アトリビューションされたIOC（毎週34,000件超を検証）です。脅威アクターと業種に結び付けられ、対応したインシデントと直接調査から生み出されます。この違いがNebula Brokerのアトリビューションを可能にし、後にMandiantがそれを確認しました。起きたことを説明するのではなく、先を読むインテリジェンスです。

本当に必要になる場面と、まだ必要ない場面

フィードが本当に役立つのは、それを取り込んで対応できるSOCやSIEMがある場合、またはフィードを代わりに適用するMDRがある場合です。運用中の検知体制がまだない場合は、まず検知と対応の拠点（MDRまたはSOC）を整え、その上でフィードを活用します。使う人がいなければ、フィードはただのファイルです。率直に言えば、SOCを持たない小規模な企業にとっては、フィードを購入するよりも、アイデンティティとバックアップの保護を優先するほうが効果があります。