脅威インテリジェンスプラットフォーム

脅威インテリジェンス プラットフォーム (TIP)は、組織が複数のソースからリアルタイムで脅威 データを集約、相関、分析して防御措置をサポートするのに役立つ新しいテクノロジ分野です。TIP は、さまざまな内部および外部リソース (システム ログや脅威インテリジェンス フィードなど) によって生成されるデータの増加に対応し、セキュリティ チームが組織に関連する脅威を特定できるように進化してきました。複数のソースと形式から脅威データをインポートし、そのデータを相関させてから、組織の既存のセキュリティ システムまたはチケット システムにエクスポートすることにより、TIP はプロアクティブな脅威管理と緩和を自動化します。真の TIP は、外部の開発者、特にプラットフォームのユーザーがプログラムできるシステムであるという点で、一般的なエンタープライズ セキュリティ製品とは異なります。TIP は、API を使用してデータを収集し、構成分析、Whois情報、逆 IP ルックアップ、Web サイト コンテンツ分析、ネーム サーバー、SSL 証明書を生成することもできます。

企業セキュリティに対する従来のアプローチでは、セキュリティ チームがさまざまなプロセスとツールを使用して、インシデント対応、ネットワーク防御、脅威分析を実施します。これらのチーム間の統合と脅威データの共有は、多くの場合、電子メール、スプレッドシート、またはポータル チケット システムに依存する手動プロセスです。このアプローチは、チームと企業が成長し、脅威とイベントの数が増えても拡張できません。攻撃元は分、時間、日ごとに変化するため、拡張性と効率性は困難です。たとえば、大規模なセキュリティ オペレーション センター(SOC) で使用されるツールは、エンドポイントやネットワークのアラートからログ イベントまで、1 日に数億件のイベントを生成するため、トリアージのために管理可能な数の疑わしいイベントにフィルター処理することが困難です。

脅威インテリジェンス プラットフォームは、脅威アクターの存在を検出し、攻撃をブロックして対処したり、インフラストラクチャを劣化させたりすることで、組織が敵に対して優位に立つことを可能にします。脅威インテリジェンスを使用すると、企業や政府機関は、自社の環境に最も有用で関連性の高い脅威のソースとデータを特定し、不要な商用脅威フィードに関連するコストを削減できる可能性があります。^[1]

脅威インテリジェンスの戦術的な使用例には、セキュリティ計画、監視と検出、インシデント対応、脅威の発見と脅威の評価などがあります。また、TIP は、細かく選別され、関連性が高く、幅広いソースから収集された脅威インテリジェンスを生成するため、 SIEM、侵入検知、その他のセキュリティ ツールに、よりスマートなプラクティスを組み込むことができます。

TIP の利点は、他の利害関係者やコミュニティと脅威情報を共有できることです。敵対者は通常、フォーラムやプラットフォーム間で活動を調整します。TIP は共通の生息地を提供し、セキュリティ チームが信頼できるサークル内で脅威情報を共有し、セキュリティおよびインテリジェンスの専門家と連携し、調整された対策を実施するためのガイダンスを受け取ることを可能にします。フル機能の TIP により、セキュリティ アナリストは、信頼できるコミュニティからデータを集約しながら、インシデント対応、セキュリティ運用、リスク管理チームとこれらの戦術的および戦略的活動を同時に調整できます。^[2]

脅威インテリジェンスプラットフォーム^{[3]は、組織がインテリジェンス主導のセキュリティアプローチを実装できるようにするいくつかの主要な機能領域[4]}で構成されています。これらの段階は、脅威の検出、管理、分析、防御プロセスを合理化し、完了まで追跡する自動化されたワークフローによってサポートされています。

• 収集 – TIP は、CSV、STIX、XML、JSON、IODEK、OpenIOC、電子メール、その他のさまざまなフィードを含む複数のソースから複数のデータ形式を収集して集約します。この点で、TIP はSIEMプラットフォームとは異なります。SIEM は複数の TI フィードを処理できますが、アドホック インポートや、分析に定期的に必要な非構造化形式の分析にはあまり適していません。TIP の有効性は、選択したソースの品質、深さ、幅、適時性によって大きく左右されます。ほとんどの TIP は、主要な商用およびオープン ソースのインテリジェンスソースへの統合を提供します。
• 相関 – TIP を使用すると、組織はデータを自動的に分析、相関、ピボットできるため、特定の攻撃の犯人、理由、方法に関する実用的な情報を取得し、ブロック対策を導入できます。これらの処理フィードの自動化は非常に重要です。
• 強化とコンテキスト化 – 脅威に関する強化されたコンテキストを構築するには、TIP が自動的に強化するか、脅威インテリジェンス アナリストがサードパーティの脅威分析アプリケーションを使用して脅威データを強化できるようにする必要があります。これにより、SOC チームとIRチームは、特定の脅威アクター、その能力、およびそのインフラストラクチャに関するデータを可能な限り多く取得し、脅威に適切に対処できるようになります。TIP は通常、収集したデータを、IP の位置情報、ASN ネットワーク、IP やドメインのブロックリストなどのソースからのさまざまな情報で強化します。
• 分析 – TIP は、脅威インジケーターの内容とそれらの関係を自動的に分析し、収集されたデータから、有用で関連性が高く、タイムリーな脅威インテリジェンスを生成します。この分析により、脅威アクターの戦術、テクニック、手順 (TTP) を特定できます。さらに、視覚化機能により、複雑な関係を描写し、ユーザーが方向転換してより詳細で微妙な関係を明らかにすることができます。TIP フレームワーク内で実証済みの分析方法は、侵入分析のダイヤモンド モデルです。^[5]ダイヤモンド モデルを使用すると、チームは敵の活動を明確に把握し、全体的な対応をより効果的に通知できます。このプロセスにより、チームはデータを精査してコンテキストに配置し、効果的なアクション プランを作成できます。たとえば、脅威インテリジェンス アナリストは、フィッシング メールの関係モデリングを実行して、誰が送信したか、誰がメールを受信したか、メールが登録されているドメイン、そのドメインに解決される IP アドレスなどを特定できます。ここからアナリストはさらに方向転換して、同じ DNS リゾルバーを使用する他のドメイン、それに接続しようとする内部ホスト、および試行された他のホスト/ドメイン名要求を明らかにすることができます。ダイヤモンドモデルは、サイバーキルチェーン®アプローチ（ロッキードマーティン^[6]に帰属）とは異なります。このアプローチでは、防御側はチェーンの1つのリンクを破壊するだけで攻撃を阻止できると理論化されています。ただし、攻撃のすべての段階が防御側に明らかであるわけではありません。攻撃者が被害者のWebサイトを閲覧している場合は偵察段階を検出できる可能性がありますが、兵器化段階は隠されたままです。ただし、ダイヤモンドモデルは、攻撃者（TTPと動機）を理解することに重点を置いています。一連のイベントを見る代わりに、モデルは機能間の関係を見て、防御側が脅威をよりよく理解できるようにします。これにより、より効果的な全体的な対応が保証されます。^[7]組織は、執拗な脅威をモグラ叩きするのではなく、どのように動作するかを把握し、それらの事実に直接対処するための手順を踏むことができます。
• 統合 – 統合はTIPの重要な要件です。プラットフォームからのデータは、組織が使用するセキュリティツールや製品に戻す方法を見つける必要があります。フル機能のTIPは、フィードなどから収集および分析された情報の流れを可能にし、クリーンアップされたデータをSIEM、内部チケットシステム、ファイアウォール、侵入検知システムなどの他のネットワークツールに配布および統合します。さらに、APIを使用すると、ユーザーが直接関与することなくアクションを自動化できます。^[8]
• 行動 – 成熟した脅威インテリジェンス プラットフォームの導入では、対応処理も行われます。組み込みのワークフローとプロセスにより、セキュリティ チーム内および情報共有分析センター(ISAC) や情報共有分析組織 (ISAO) などのより広範なコミュニティ内でのコラボレーションが加速され、チームは行動計画の策定、緩和計画、実行を制御できます。このレベルのコミュニティ参加は、高度な脅威インテリジェンス プラットフォームがなければ実現できません。強力な TIP により、これらのコミュニティは、セキュリティ プロフェッショナルのゲームを継続的に変えるために使用できるツールとアプリケーションを作成できます。このモデルでは、アナリストと開発者は、アプリケーションを自由に共有し、アプリケーションを選択および変更し、プラグ アンド プレイ アクティビティを通じてソリューション開発を加速します。さらに、脅威インテリジェンスを戦略的に活用して、必要なネットワークおよびセキュリティ アーキテクチャの変更を通知し、セキュリティ チームを最適化することもできます。
• コラボレーション - 脅威インテリジェンス プラットフォームでは、社内外の関係者とのコラボレーションも可能になります。

脅威インテリジェンス プラットフォームは、オンプレミス、専用クラウド、またはパブリッククラウドにソフトウェアまたはアプライアンス (物理または仮想) として導入でき、コミュニティのコラボレーションを強化できます。

• 脅威インテリジェンス プラットフォーム: 多忙なセキュリティ運用チームにとっての次の「必須」、Tim Wilson、Dark Reading、2015 年 6 月 2 日
• オープンソースの脅威インテリジェンスソース: Abuse.ch、MalcOde