脅威インテリジェンス（CTI）の活用とサイバーインテリジェンス運用

背景と概要

サイバー攻撃の手口が洗練・多様化する中、自社システムから出力されるログ（過去の出来事）だけを監視する受動的な防御だけでは、高度な標的型攻撃を防ぐことが困難になっています。

これに対し、外部のサイバー空間（ダークウェブ、攻撃者のインフラ動向、他社の被害事例など）から収集された脅威情報を分析し、自社の防御体制へ先回りで反映させる受動から能動へのシフト「サイバー脅威インテリジェンス（CTI: Cyber Threat Intelligence）」の活用が注目されています。

脅威インテリジェンス（CTI）の3つのレベル

CTIは活用する対象や目的に応じて、主に3つの階層に分類されます。

1. 戦術的インテリジェンス（Tactical CTI）：IoC情報の活用

攻撃者が使用しているIPアドレス、悪質なドメイン名、マルウェアのハッシュ値（IoC: Indicators of Compromise）などの情報です。SIEMやファイアウォールへ自動登録し、即座の検知・遮断に利用します。

2. 技術的インテリジェンス（Technical CTI）：TTPsの理解

攻撃者が利用する具体的手法やツール、手順（TTPs: Tactics, Techniques, and Procedures）に関する情報です。MITRE ATT&CKフレームワーク等を活用し、自社の監視ルール（EDRの検知ロジック等）を強化します。

3. 戦略的インテリジェンス（Strategic CTI）：経営判断支援

自社の属する業界（金融、製造、医療等）や地域を狙うハッカー集団の動向、地政学的リスク、攻撃の背景についてのハイレベルな分析情報です。経営陣がセキュリティ予算や投資優先度を決定する判断材料となります。

CTI導入時における「情報過多」の壁

単に外部から流れてくる大量のIoCフィードをセキュリティ機器に読み込ませるだけでは、自社に関係のない不必要なアラートが爆発的に増え（ノイズ）、運用の現場が混乱する「インテリジェンス過多」の失敗に陥るリスクがあります。

効果的なCTI運用のためのポイント

「自社に関係のある情報」へのフィルタリングと、自動化（STIX/TAXII）が鍵となります。

1. 自社の資産情報（インベントリ）との突合

自社で利用しているOS、Webサーバー、ライブラリ、クラウド構成と関連する脅威情報のみを抽出して優先対応する仕組みを構築します。

2. STIX/TAXII規格による機械処理の自動化

脅威情報を記述する標準規格（STIX）と配信プロトコル（TAXII）に対応したSOARやTIP（Threat Intelligence Platform）を活用し、脅威データの収集から防御機器への反映までを自動化します。