ASMサービスやサイバーセキュリティ対策、情報漏洩リスクの軽減支援、脅威インテリジェンスなど、さまざまなニーズに応じたサービスをご提供。

脅威インテリジェンスとは、企業や組織が自社の情報セキュリティを守るために利用する情報収集・分析サービスです。
脅威インテリジェンスの基礎知識から、実際にどのように活用されるのか、また事例を交えてご説明します。

脅威インテリジェンスとは、サイバー攻撃や情報漏えいなどのリスクを未然に防ぐために、攻撃者や攻撃方法、攻撃の標的となる可能性のある組織や企業など、さまざまな情報を収集し、分析することで得られる情報を指します。

脅威インテリジェンスには、様々な種類があります。以下に代表的な3種類について解説します。

オープンソースインテリジェンス

オープンソースインテリジェンスとは、オープンソース情報を収集・分析することで得られる情報のことです。オープンソース情報とは、公開されたウェブサイト、SNS、ブログ、フォーラム、掲示板、オンラインニュースサイトなど、誰でもアクセスできる情報のことです。オープンソースインテリジェンスは、リサーチコストが低いことが特徴であり、セキュリティ対策やビジネス戦略に活用されます。

サイバーインテリジェンス

サイバーインテリジェンスとは、サイバー攻撃の情報収集・分析を行うことで得られる情報のことです。サイバー攻撃の手法やツール、攻撃者の動向などを収集・分析し、サイバーセキュリティ対策を行うために活用されます。サイバーインテリジェンスは、自社に対する攻撃に備えるだけでなく、他社や業界全体の攻撃傾向を把握するためにも活用されます。

テクニカルインテリジェンス

テクニカルインテリジェンスとは、ハードウェアやソフトウェア、通信プロトコルなどの技術的な情報を収集・分析することで得られる情報のことです。ハッキングツールやマルウェア、脆弱性情報などを収集・分析し、セキュリティ対策を行うために活用されます。テクニカルインテリジェンスは、サイバー攻撃者がどのような技術を使って攻撃を仕掛けてくるのかを把握し、それに対して対策を講じることができるようになります。

以上が、脅威インテリジェンスの代表的な3種類です。それぞれの特徴や違いを理解することで、より効果的なセキュリティ対策やビジネス戦略の立案に活用することができるでしょう。

脅威インテリジェンスは、セキュリティ対策やビジネス戦略の立案に活用されます。以下に、その代表的な活用方法をいくつか紹介します。

脅威情報の収集・分析

脅威インテリジェンスを活用する最も基本的な方法は、脅威情報の収集・分析です。自社や業界全体に対する脅威情報を収集・分析することで、攻撃者の手口や動向、攻撃に使用されるツールや脆弱性などを把握することができます。その情報を元に、脅威に対する対策を講じることができます。

セキュリティ監視・検知

脅威インテリジェンスは、セキュリティ監視・検知にも活用されます。脅威情報を元に、サイバー攻撃を検知するシステムを構築することで、早期に攻撃を発見し、対策を講じることができます。また、脅威情報を元に、セキュリティシステムの設定を調整することで、未然に攻撃を防止することもできます。

リスク評価・予測

脅威インテリジェンスは、リスク評価・予測にも活用されます。脅威情報を元に、自社や業界全体に対するリスク評価を行い、脅威に対する優先順位付けを行うことができます。また、脅威情報を元に、将来的な攻撃傾向やリスクを予測し、対策を講じることができます。

ビジネス戦略の立案

脅威インテリジェンスは、ビジネス戦略の立案にも活用されます。競合他社の脅威情報を収集・分析し、その情報を元に、自社の強みや弱みを把握することができます。また、新たなビジネスチャンスやビジネスモデルを発見することもできます。

以上が、脅威インテリジェンスの代表的な活用方法です。それぞれの方法を組み合わせることで、より効果的な脅威対策やビジネス戦略を立案することができます。例えば、脅威情報の収集・分析を行い、それを元にセキュリティ監視・検知システムを構築することで、サイバー攻撃を早期に発見し、対策を講じることができます。また、脅威情報を元にリスク評価・予測を行い、その情報を元にビジネス戦略を立案することもできます。

ただし、脅威インテリジェンスを活用する際には、情報の正確性や適切な解釈が重要です。誤った情報や解釈に基づいた対策や戦略は、逆にリスクを高めることになります。また、情報収集や分析には多大な時間やコストがかかるため、適切なリソース配分が必要です。

脅威インテリジェンスの活用方法は多岐にわたりますが、それぞれの方法を適切に組み合わせ、情報の正確性や解釈に注意しながら、効果的な脅威対策やビジネス戦略を立案することが求められます。

実際に脅威インテリジェンスが活用されている事例をいくつか紹介します。

マルウェアによる攻撃を未然に防止

ある企業では、脅威インテリジェンスを活用し、社内ネットワーク内に侵入するマルウェアを未然に防止することに成功しました。脅威インテリジェンスにより、攻撃者が使用しているツールや攻撃方法を把握し、それに対応するセキュリティ対策を行うことで、被害を未然に防ぐことができました。

攻撃者の特定と逮捕

ある組織では、脅威インテリジェンスを活用し、サイバー攻撃を行った攻撃者を特定し、逮捕に至ることができました。脅威インテリジェンスにより、攻撃者が使用しているIPアドレスや攻撃手法を特定し、それをもとに警察に情報を提供し、捜査に協力することで、攻撃者を逮捕することができました。

事業戦略の立案に活用

ある企業では、脅威インテリジェンスを活用し、事業戦略の立案に活用しました。脅威インテリジェンスにより、業界全体で発生しているセキュリティ上の脅威や、顧客や取引先のセキュリティ上の懸念事項などを把握し、それをもとに事業戦略を策定することで、リスクマネジメントを実施することができました。

脅威インテリジェンスを導入するためには、以下のポイントが必要となります。

目的の明確化

脅威インテリジェンスを導入する目的を明確にすることが必要です。例えば、サイバー攻撃対策、情報漏洩対策、ビジネス戦略の立案など、目的に応じた情報収集や分析方法が異なります。

リソースの確保

脅威インテリジェンスを実施するには、専門の人材やツール、システムが必要となります。そのため、必要なリソースの確保や投資を計画する必要があります。

情報収集の方法の検討

脅威インテリジェンスを行うには、情報収集の方法を検討する必要があります。情報収集には、インターネット上のオープンソース情報や、情報交換プラットフォームの利用、脅威アクターのモニタリングなどがあります。

情報分析の方法の検討

収集した情報を正確に分析することが重要です。情報分析には、機械学習や人工知能を活用した自動化ツール、専門家による手動分析、情報を可視化するツールなどがあります。

プロセスの設計

情報収集から分析、そして活用までのプロセスを設計することが必要です。このプロセスを明確にし、適切に実施することで、脅威インテリジェンスをより効果的に活用することができます。

脅威インテリジェンスを導入するには、目的の明確化、リソースの確保、情報収集・分析の方法の検討、プロセスの設計が必要となります。これらを適切に実施することで、効果的な脅威対策やビジネス戦略の立案が可能となります。

脅威インテリジェンスは、上記で述べた「マルウェアによる攻撃を未然に防止する」「攻撃者の特定・逮捕する」などの活用事例から分かるように、セキュリティ対策に非常に有効です。そのため、企業では脅威インテリジェンスの活用が進んでいます。実際に、企業はどのように取り組んでいるのか気になる方もいるでしょう。脅威インテリジェンスの活用が進む企業が取り組んでいるポイントは、以下の通りです。

・収集する情報の明確化
・報告形式の構造化
・プロセスの構築

下記で、それぞれのポイントついて詳しく解説します。

収集する情報の明確化

情報収集を行う前に、収集する情報の明確化を行います。脅威インテリジェンスは多種多様な情報を大量に集めなければならないため、情報収集することが大きな負担となります。負担を軽減するためには、収集する情報や情報源を明確化しておくことが重要です。明確化する際には、Strategic、Operational、Tacticalの3つに分類すると良いでしょう。3つの特徴は以下をご覧ください。

・Strategic…サイバーセキュリティ戦略の立案に対して利用される情報
・Operational…リスク評価やインシデント対応に利用される情報
・Tactical…セキュリティ機器に反映することで、攻撃の検知・ブロックに対して利用される情報

上記のように分けると、情報の明確化ができる上に、収集した後の分析につながりやすくなります。

報告形式の構造化

脅威インテリジェンスは、社内で内容を共有することも忘れてはいけません。また、共有する際にはチームごとに必要となる報告の粒度や内容は変わるでしょう。これらを踏まえて、社内で脅威インテリジェンスを共有する時の報告形式の構造化を行い、必要となる情報が伝わる報告内容にすることが求められます。

報告形式の構造化とは、事実と洞察をはっきりと分離して記載することです。事実と洞察を分離すると、以下の効果を得られます。

・次のアクションにつながりやすい
・情報が誤っている場合、すぐに気付ける

事実と洞察の分離により、情報を受け取った人は情報を提供した人が期待する行動をしっかりと把握できます。また、誤った洞察がされている時には、すぐに気付けることも大きなメリットとなります。

プロセスの構築

脅威インテリジェンスを利用する際の一連の活動について、プロセスを構築する必要もあります。例えば、社内で共有したら、具体的にアクションを起こさなければ最大限の効果を発揮できません。活用が進む企業では、3つに分類した情報の粒度ごとに情報収集と処理のプロセスを定義して、さらに細かな情報の種類ごとに詳細な手順の作成を行っています。情報を得て、具体的なアクションにつなげられるように、プロセスの構築にも取り組みましょう。

脅威インテリジェンスでは、6つのステップで構成されたライフサイクルが用いられています。インテリジェンスサイクルを用いることで、リソースの最適化や最新の脅威に効果的な対応が可能になります。また、6つのステップで構成されたライフサイクルは、継続的な改善のために役立ちます。脅威インテリジェンスの6つのステップは、以下の通りです。

1.プランニング

まずはデータを収集する前に、目標と目的を設定します。この時点で、それぞれの目標を達成するために、どのように脅威インテリジェンスを実行するのかも決めておきます。また、組織に対するサイバー侵害の影響や、組織で保護する必要がある部分を理解して、潜在的な優先順位を明確にします。

2.収集

次に、ステップ1で設定した目標と目的のためのデータを収集します。大きな脅威イベントを見逃す、または誤検知に惑わされることを防ぐためには、データの質・量が大切です。データベース監査やログ、ファイル、ファイアウォールなど複数のソースからデータを取得することで、脅威のシステム侵入があったのかを確認します。この収集のステップは、組織が継続的に攻撃されているのかを確認するために、侵害前に実行することも、侵害された後のインシデント対応の最中に実行することもできます。

3.処理

ステップ2で収集したデータは、組織が使える形式に変える必要があります。通常、処理段階ではセキュリティ情報やイベント管理（SIEM）などソフトウェアを使って行われます。また、人工知能（AI）もデータからノイズを除去するために効果的です。

4.分析

組織が使える形式に処理したら、次にそのデータを分析します。このステップでは、SIEMやその他の分析ソフトウェアを活用してデータを確認することにより、侵害が生じたのかを判断します。

5.発信

分析が行われたら、組織内のさまざまな関係者に広めます。組織内のチームのニーズはそれぞれ違うので、効果的に広めるためには、それぞれのチームが必要とするインテリジェンスや、形式、頻度を確認しておく必要があります。

6.フィードバック

情報を共有できた後に、脅威を特定するライフサイクルと手順を見直します。そして、全ての目標が達成されたのか、計画は効果的に実行されたのかをチェックします。

脅威インテリジェンスは、セキュリティを必要とする方なら誰でもメリットがあるものですが、特に事業を運営する組織では大きなメリットがあります。脅威インテリジェンスは組織がサイバー攻撃によるリスクと、そのリスク軽減に必要な手順を理解するために効果的です。以下で、脅威インテリジェンスのメリットを紹介するので、セキュリティ対策サービスの利用を検討している方はご参考ください。

さまざまな脅威を予測して対策できる

脅威インテリジェンスを使えば、マルウェアやフィッシングなどのさまざまな脅威を予測・対策できます。日々進化しているサイバー攻撃を、全て対応するのは大変難しいことです。しかし、脅威インテリジェンスの場合、リアルタイムで脅威情報を収集して、分析することができるため、新たな攻撃手法を予測して、事前に効果的な対策を用意できます。

被害を最小限に抑えられる

上記のように、脅威インテリジェンスではリアルタイムで情報収集・分析できます。これにより、サイバー攻撃が発生したことが分かったら即座に対応できるので、サイバー攻撃による被害を最小限に抑えられます。脅威インテリジェンスの効果的な活用ができれば、企業の運用が停止する時間を短くして、財産的損失も防げるでしょう。

攻撃者と攻撃手法の特定が可能

サイバー攻撃者は、常に新たな脆弱性を見つけて、進化させた攻撃方法によって組織に被害をもたらそうとしています。そのため、攻撃者と攻撃手法を特定できれば被害を予防するために非常に役立つでしょう。脅威インテリジェンスの分析によって、攻撃者は誰なのかを特定して、攻撃者による攻撃パターンを分析・対処することが可能です。これを行うことで、特定の攻撃者と攻撃手法に対して強化できるため、それまでよりも強固なセキュリティを実現できます。

コスト削減ができる

データ侵害によるデータ漏えいには、大きなコストがかかってしまいます。データ漏えいによるコストは、法定費用や罰金などだけではなく、インシデント後の回復費用も含まれています。そのため、脅威インテリジェンスを使い、データ侵害のリスクを抑えられることで、コスト削減につながるでしょう。

組織内で包括的な情報共有ができる

脅威インテリジェンスを活用できれば、組織全体で包括的な情報共有ができるようになります。それぞれのチームに必要な情報を共有することで、組織全体のセキュリティ強化が可能です。

脅威情報を集める際には、前もって活用方法やどのような脅威情報を収集するのかを決めておくことが大切です。なぜなら、脅威情報はさまざまある上に、分析対象となる企業やシステムで必要な情報が変わるためです。また、サイバー脅威インテリジェンスの情報源は、以下のように区分されています。

・ヒューマンインテリジェンス
・シグナルインテリジェンス
・オープンソースインテリジェンス
・ファイナンシャルインテリジェンス
・マーケットインテリジェンス

セキュリティの担当者は、上記の脅威情報のソースをうまく組み合わせて、現在から将来に至るサイバー脅威の性質や範囲、動機、リスクなど全体像の把握を行います。区分については、以下をご覧ください。

ヒューマンインテリジェンス（HUMINT）

これは、人間から直接、もしくは間接的に収集されたセキュリティ情報のことです。諜報活動や監視によって得た情報もこれに含まれます。

シグナルインテリジェンス（SIGINT）

人間、もしくは機械（ELINT）の間でのメッセージを傍受することで得た脅威情報のことです。

オープンソースインテリジェンス（OSINT）

公的報告書などの一般的に入手できる情報源のことです。例えば、ニュースや金融（FININT）、共有サイバーセキュリティ情報などがあります。

ファイナンシャルインテリジェンス（FININT）

金融から得られる情報のことです。金銭的なインセンティブを知ることは、特定の攻撃をするに至る動機とリソースを見つけるために重要です。

マーケットインテリジェンス（MARKINT）

攻撃者と潜在的ターゲットの市場を知っていれば、攻撃者の動機や攻撃方法を理解するために役立ちます。

このような情報源を使い、企業などは情報収集しています。脆弱性情報やフィッシングサイトの情報など、これまでに存在する情報を脅威情報として活用します。一般公開されている情報収集で代表的なものは、OSINT（Open Source Intelligence）の情報収集です。また、情報源となる企業では、ディープウェブやダークウェブ、ハッカーコミュニティなどから情報収集を行うところも存在します。それぞれの企業が持つ独自の技術によって、このようなサイトの情報を収集して、適切な言語に翻訳したり、ハッカー集団の目的・方法などを調査したりします。その結果を脅威インテリジェンスの情報として提供します。

脅威インテリジェンスが重要であると考えられているのは、脅威インテリジェンスの活用によって以下のようなことが実現できるためです。

・事後対応ではなく、事前の予想、対策によって攻撃を防げる
・データ損失を防げる
・組織内で対策を共有できる

脅威インテリジェンスを取り入れることで、サイバー攻撃が起こってから対応するのではなく、事前の予想・対策によって攻撃を防げます。サイバー攻撃を効果的に防ぐためには、セキュリティの脆弱性や攻撃方法などを正しく理解していることが大切です。脅威インテリジェンスを活用することでサイバー攻撃を防げるようになるため、大きな損失を防げるでしょう。

また、適切なCTIプログラムを使えば、サイバー脅威を発見して、データ侵害によって発生する機密情報の公開を避けられます。脅威インテリジェンスを活用する場合、サイバー攻撃に対する対策を組織内で共有できるため、組織内全体でセキュリティレベルを強化することも可能です。

このように、脅威インテリジェンスは組織のセキュリティにさまざまな貢献ができるため、活用することが重要と考えられています。サイバーセキュリティ対策がしたいという方は、脅威インテリジェンスを取り入れることをおすすめします。インフォシールド合同会社ではサイバー攻撃の対策ができるさまざまなシステム・サービスをご提供しているので、気になる方はお気軽にご相談ください。