サイバー脅威インテリジェンス

サイバー脅威インテリジェンス（CTI ）は、潜在的または既存のサイバー脅威に関するデータの構造化された収集、分析、配信に焦点を当てたサイバーセキュリティのサブフィールドです。^{[1] [2]}脅威アクターの行動、戦術、悪用される脆弱性を理解することで、組織はサイバー攻撃を予測、防止、対応するために必要な洞察を得ることができます。 ^{[3] [4] [5]}サイバー脅威インテリジェンスのソースには、オープンソースインテリジェンス、ソーシャルメディアインテリジェンス、ヒューマンインテリジェンス、テクニカルインテリジェンス、デバイスログファイル、フォレンジックによって取得されたデータまたはインターネットトラフィックからのインテリジェンス、ディープウェブとダークウェブから得られたデータが含まれます。

近年、脅威インテリジェンスは、企業がより積極的にアプローチし、どの脅威がビジネスにとって最大のリスクであるかを判断することを可能にするため、企業のサイバーセキュリティ戦略の重要な部分となっています。これにより、企業はより積極的に前線に立ち、積極的に脆弱性を見つけ、ハッキングが発生する前にそれを防止します。^[6] IBMの推定によると、企業がハッキングされる最も一般的な方法は脅威の悪用によるものであるため（すべての攻撃の47％）、この方法は近年重要性を増しています。^[7]

近年、COVID-19のパンデミックや在宅勤務者の増加により、脅威に対する脆弱性が高まっており、企業のデータはより脆弱になっています。一方で脅威が増加し、脅威インテリジェンスに求められる高度化が進んでいることから、多くの企業が近年、脅威インテリジェンス活動をマネージドセキュリティプロバイダー（MSSP）にアウトソーシングすることを選んでいます。^[8]

サイバー脅威インテリジェンスの開発プロセスは、インテリジェンスサイクルと呼ばれる循環的で継続的なプロセスであり、5つのフェーズで構成されています^{[9] [10] [11] [12]。}インテリジェンスチームが実行し、リーダーシップに関連性のある便利なインテリジェンスを提供して、危険と不確実性を軽減します^{[11] 。}

5つの段階とは、1)計画と指示、2)収集、3)処理、4)分析、5)普及である。^{[9] [10] [11] [12]}

計画と指示では、インテリジェンス製品の顧客が特定のトピックまたは目的に関する情報を要求します。次に、クライアントから指示されると、2 番目のフェーズである収集が開始されます。このフェーズでは、完成したインテリジェンス製品を作成するために必要な生の情報にアクセスします。情報はインテリジェンスではないため、変換する必要があり、処理フェーズと分析フェーズを経る必要があります。処理 (または分析前フェーズ) では、生の情報がフィルター処理され、一連の技術 (復号化、言語翻訳、データ削減など) によって分析用に準備されます。分析フェーズでは、整理された情報がインテリジェンスに変換されます。最後に、配布フェーズでは、新しく選択された脅威インテリジェンスがさまざまなユーザーに送信され、使用されます。^{[10] [12]}

サイバー脅威インテリジェンスには、カテゴリ化されていないが包括的な3つのクラスがあります。^[4] 1)戦術的、2)運用的、3)戦略的。^{[4] [9] [12] [13] [14]}これらのクラスは、包括的な脅威評価を構築するための基礎となります。^[9]

• 戦術的：通常、脅威アクターの特定に役立てるために使用されます。侵害の指標（ IPアドレス、インターネットドメイン、ハッシュなど）が使用され、サイバー犯罪者が使用する戦術、技術、手順（TTP）の分析が深まり始めています。戦術レベルで生成された洞察は、セキュリティチームが今後の攻撃を予測し、できるだけ早い段階で攻撃を特定するのに役立ちます。^{[4] [9] [11] [12] [14]}
• 運用: これは脅威インテリジェンスの最も技術的なレベルです。攻撃、動機、脅威アクターの能力、個々のキャンペーンに関する具体的で具体的な詳細を共有します。このレベルの脅威インテリジェンスの専門家が提供する洞察には、新たな脅威の性質、意図、タイミングが含まれます。このタイプの情報は入手が難しく、ほとんどの場合、社内チームがアクセスできない奥深く目立たない Web フォーラムを通じて収集されます。セキュリティおよび攻撃対応チームが、このタイプの運用インテリジェンスを使用します。^{[4] [9] [12] [14]}
• 戦略的: 通常は非技術者向けに、サイバー脅威に関連する一般的なリスクに関する情報を提供します。目標は、ホワイトペーパーやレポートの形で、ビジネスに対する現在のリスクと予測される将来のリスクの詳細な分析、および脅威の潜在的な影響を提供し、リーダーが対応の優先順位を決定できるようにすることです。^{[4] [9] [12] [14]}

サイバー脅威インテリジェンスには、次のような多くの利点があります。

• 組織、機関、その他の団体に、積極的かつ強固なサイバーセキュリティ体制を構築し、全体的なリスク管理とサイバーセキュリティのポリシーと対応を強化する能力を与えます。^[15]
• サイバー攻撃後に単に反応するのではなく、予測する積極的なサイバーセキュリティの姿勢を推進します。^[6]
• 進行中の攻撃や潜在的な脅威に関するコンテキストと洞察を提供し、意思決定を支援します。^[9]
• データ侵害による機密情報の漏洩を防ぎ、データ損失を防ぎます。^[14]
• コストを削減する。データ侵害はコストがかかるため、データ侵害のリスクを軽減することでコストを節約できます。^[14]
• これは、将来の攻撃から保護するためのセキュリティ対策を実施する方法について、機関を支援し、指示を提供します。^[14]
• サイバーセキュリティ実践コミュニティとシステム関係者間で知識、スキル、経験を共有できるようにします。^[14]
• これにより、リスクや脅威だけでなく、配信メカニズム、インフラストラクチャ全体の侵害の指標、潜在的な特定の行為者や動機をより簡単に、より適切に特定できるようになります。^[16]
• これらの段階中および段階前に攻撃を検出するのに役立ちます。^[16]
• 攻撃の各段階で実行されたアクションの指標を提供します。^[16]
• 情報技術プラットフォームと運用技術プラットフォームの両方に向けられた脅威の表面、攻撃ベクトル、悪意のあるアクティビティを伝えます。
• 成功したサイバー攻撃と失敗したサイバー攻撃の両方の証拠を事実に基づいて保存するリポジトリとして機能します。
• コンピュータ緊急対応チームとインシデント対応グループに指標を提供します。

情報やデータが脅威インテリジェンスとみなされるためには、3つの重要な要素が存在する必要があります。^[12]

• 証拠に基づく：あらゆるインテリジェンス製品が有用であるためには、まず適切な証拠収集方法を通じて入手されなければなりません。^[17]マルウェア分析などの他のプロセスを通じて、脅威インテリジェンスが生成されます。
• 実用性：脅威インテリジェンスがセキュリティイベントの結果にプラスの影響を与えるためには、何らかの実用性が必要です。インテリジェンスは、特定の行動や方法について、コンテキストとデータの観点から明確にする必要があります。^[18]
• 実行可能: アクションは情報やデータを脅威インテリジェンスから切り離す重要な要素です。インテリジェンスはアクションを推進する必要があります。^[19]

サイバー脅威には、コンピュータ、ストレージデバイス、ソフトウェアネットワーク、クラウドベースのリポジトリの使用が伴います。サイバー攻撃の前、最中、または後に、攻撃者と被害者の間の情報技術、運用技術、デバイス、ネットワーク、コンピュータに関する技術情報を収集、保存、分析できます。ただし、攻撃の背後にいる人物、その動機、または攻撃の最終的なスポンサーを特定すること（アトリビューション）は、攻撃者が検出を回避したり、アナリストを誤解させて誤った結論を導き出したりするために欺瞞的な戦術を使用する可能性があるため、困難な場合があります。^[20]脅威インテリジェンスにおける複数の取り組み^{[ 22] [23] [24]では、これらの問題に対処するために敵の}TTP を理解することを重視しています。^[25]

^{最近では、}サイバー攻撃の犯人を特定するサイバー脅威インテリジェンス分析レポートが公的機関や民間組織から数多く発表されている。これには、MandiantのAPT1およびAPT28レポート、 ^{[26] [27]} US CERTのAPT29レポート、^[28] SymantecのDragonfly、Waterbug Group、Seedwormレポートなどがある。^{[29] [30] [31]}

2015年に米国政府はサイバーセキュリティ情報共有法という形で立法 を行い、政府と民間組織の間でCTI指標を共有することを奨励した。この法律は、米国連邦政府に4つのCTI目標を促進し推進することを義務付けた。^[32]

1. 「連邦政府が保有する機密指定および機密解除されたサイバー脅威指標を民間団体、非連邦政府機関、または州政府、部族政府、または地方政府と共有すること」
2. 「非機密指標の一般への公開」
3. 「悪影響を防止または軽減するためにサイバーセキュリティの脅威にさらされている組織と情報を共有する」
4. 中小企業が直面する課題に配慮したサイバーセキュリティのベストプラクティスの共有。

2016年に、米国政府機関である国立標準技術研究所（NIST）は、サイバー脅威情報共有の必要性と実施の枠組みをさらに概説した出版物（NIST SP 800-150）を発行しました。^[33]

• サイバーインテリジェンス共有および保護法
• サービス拒否攻撃
• 侵害の兆候
• マルウェア
• マルウェア分析
• ランサムウェア
• ゼロデイ（コンピューティング）

• Boris Giannetto - Pierluigi Paganini (2020)。サイバーインテリジェンス活動におけるコミュニケーションの習得：簡潔なユーザーガイド。サイバーディフェンスマガジン。
• アンカ・ディニク、「ニコラエ・バルチェスク」陸軍士官学校、ルーマニア、シビウ、国家安全保障に対するサイバー脅威。関与する特定の機能とアクター - Bulletin Ştiinţific No 2(38)/2014
• ゼロデイ：核サイバーサボタージュ、BBC Four - ルールのない世界、サイバー戦争の世界で繰り広げられる戦争を描いたドキュメンタリースリラー。コンピューターから侵入する能力から「ワーム」として知られる自己複製型コンピューターマルウェア、Stuxnetの物語を語る。
• 脅威インテリジェンスとは何ですか? - 脅威インテリジェンスの定義に関するコンテキストを提供し、議論に加わるブログ投稿。
• 脅威ハンティングの説明 - サイバー脅威インテリジェンスを説明する短い記事。
• サイバー脅威インテリジェンス - サイバー脅威インテリジェンスとは何ですか? - 初心者向けの決定版ガイド。