SOCツールはシグナルを生成する、脅威インテリジェンスはアクションの決定に役立ちます。
SOCチームにとって、脅威インテリジェンスの価値は、データストリームを追加することではなく、検知と対応のワークフロー全体にわたる具体的な意思決定を改善することです。どの動作が検知をトリガーするか、どの警告を優先するか、次にどこを調査するか、対応の範囲をどこまで広げるか、その後何を強化するかなどです。
そのため、脅威インテリジェンスは、受動的なフィードや時折の調査リソースとしてSOCから切り離されるべきではありません。適切に使用すれば、日常のセキュリティ運用の一部となり、検知ロジックを形成し、警告を強化し、調査をガイドし、脅威ハンティングをサポートし、SOCチームが適切なレベルの緊急度で行動できるようにします。
SOCチームがセキュリティに関する意思決定を改善するために脅威インテリジェンスを必要とする理由
最新のSOCは、迅速に検出して対応することが求められますが、アナリストはしばしば部分的な証拠に基づいて作業する必要があります。警告には、疑わしいドメイン、ファイルのハッシュ、プロセス、ログインID、脆弱な資産、またはブロックされた接続が表示される場合があります。このシグナルだけでは、アクティビティが孤立しているか、より広範な攻撃パターンの一部であるか、またはすぐにエスカレーションするほど緊急であるかを判断できない場合があります。
これにより、実際的な問題が生じます。アナリストは、技術的には疑わしいがリスクの低イベントに時間を費やします。深刻なアクティビティは、ルーチンアラートの中に埋もれてしまう可能性があります。関連するシグナルは個別に調査される可能性があります。検出ルールは、攻撃者が簡単に置き換えることができる指標に焦点を当てている可能性があります。対応の決定は、個々のアナリストの経験に過度に依存する可能性があります。
課題はアラートの量だけではなく、不確実性です。脅威インテリジェンスは、アクティブなキャンペーン、既知のインフラストラクチャ、マルウェアの挙動、悪用された脆弱性、攻撃者の手法、セクターのターゲット、および考えられる次のステップなど、外部の知識をSOCの意思決定に取り込むことで、その不確実性を軽減します。
脅威インテリジェンスがSOCワークフローをどのようにサポートするか
脅威インテリジェンスは、チームが次の5つの運用上の質問に答えるのに役立つ場合、 SOCの検知と対応を改善します。
- 何を検出すべきか？
- どのアラートが最も重要か？
- 次にどこを調査すべきか？
- どのように対応すべきか？
- その後、何を改善すべきか？
これらの質問が重要なのは、 SOCが単一の機能ではないからです。検出エンジニアリング、トリアージ、調査、脅威ハンティング、インシデント対応、継続的改善のすべてに、異なるタイプのインテリジェンスが必要です。
検知エンジニアは、Sigma、YARA、またはSuricataスタイルのロジック、マッピングされたテクニック、および最新のインジケーターを必要とする場合があります。ティア1アナリストは、アラートの迅速な強化と信頼度スコアリングを必要とする場合があります。脅威ハンターは、キャンペーンの詳細と攻撃者の行動を必要とする場合があります。インシデントレスポンダーは、関連するインジケーター、考えられる横方向の移動パス、および封じ込めガイダンスを必要とする場合があります。SOCSOCは、検知ギャップ、繰り返される攻撃パターン、および運用リスクのビューを必要とする場合があります。
脅威インテリジェンスの最も強力な使用は、単に「より多くのコンテキスト」ではなく、適切な意思決定ポイントに正確に提供されるインテリジェンスです。
脅威インテリジェンスを使用して検知エンジニアリングを改善する
検出は、アラートが発生する前に開始され、 SOCチームが現実世界の脅威アクティビティを検知ロジックに変換するのに役立ちます。キャンペーンが特定のセクターの組織を標的にしている場合、既知の初期アクセス方法を使用している場合、または特定の脆弱性を悪用している場合、 SOCはその知識を使用して検出を構築、調整、または検証できます。
これには、悪意のあるIPアドレス、ドメイン、URL、ハッシュなどの機械可読インジケーターが含まれます。脅威インテリジェンスには、検知ルール、マルウェアシグネチャ、脆弱性情報、コマンド＆コントロールパターン、MITRE ATT&CKなどのフレームワークにマッピングされた攻撃者の行動なども含まれます。
重要な違いは、脅威インテリジェンスが指標ベースおよび行動ベースの検知をサポートしている点です。
既知の悪意のある活動を迅速に特定するには、指標が役立ちますが、その運用上の価値はすぐに低下する可能性があります。攻撃者はインフラストラクチャをローテーションしたり、ドメインを変更したり、ハッシュを変更したり、ツールを変更したりできます。行動ベースの検知は、攻撃者がまだ行う必要があること（アクセス権の取得、資格情報の昇格、認証情報のダンプ、横方向の移動、永続性の確立、コマンド アンド コントロール インフラストラクチャとの通信、またはデータのステージング）に焦点を当てているため、回避するのが難しい場合が多いです。
ここで、戦術的インテリジェンスが特に役立ちます。検知チームが、攻撃者が以前に使用したアーティファクトだけでなく、攻撃者がどのように行動するかを理解するのに役立つからです。
たとえば、フィッシングドメインはすぐに消えるかもしれませんが、その後に続く侵害後の行動（疑わしい PowerShell の使用、認証情報へのアクセス、異常なリモート サービスの実行、または異常な認証パターン）は、より持続する可能性があります。脅威インテリジェンスは、 SOCチームがこれらのパターンに基づいて検出を構築するのに役立ちます。その結果、指標のリストが長くなるだけでなく、検知範囲が強化されます。
トリアージ中にSOCアラートの優先順位付けに脅威インテリジェンスを使用する
トリアージは、 SOC がアナリストの時間をどのように使うかを決定する段階です。すべてのアラートが同じ緊急度を必要とするわけではありません。不審なログインID、エンドポイント検知、またはネットワーク接続は、それがアクティブなキャンペーン、悪用された脆弱性、コマンド＆コントロールインフラストラクチャ、ランサムウェアの準備、または組織の業界を標的とすることが知られている脅威アクターに関連している場合、より深刻な問題となる可能性があります。
脅威インテリジェンスは、アナリストがより迅速に区別できるように支援します。たとえば、脆弱性アラートは、インテリジェンスがインターネットに接続されたシステムに対するアクティブな悪用を示している場合、より緊急になります。ドメインアラートは、ドメインが同様の組織を標的とする現在のフィッシングストラクチャにリンクされている場合、より深刻になります。エンドポイントイベントは、動作が既知の認証情報窃盗または横方向移動の手法と一致する場合、より迅速なエスカレーションが必要です。
ここでも、自動化されたエンリッチメントが重要になります。機械可読なインテリジェンスは、 SIEM、SOAR、EDR、XDR、 NGFW、 IDS/ IPS 、および脅威インテリジェンスプラットフォームが、評価、信頼度、ソース、キャンペーン、およびインジケーターの関係でアラートを強化できるように支援します。
適切に使用すれば、アナリストはルーチンノイズとより詳細な調査が必要なシグナルを区別できます。
不適切に使用すると、逆の効果をもたらす可能性があります。古くなった、重複した、または信頼度の低いインジケーターでいっぱいのフィードは、SOC検知を引き起こし、ワークロードを増加させる可能性があります。脅威インテリジェンスは、関連性があり、最新であり、アナリストが既に使用しているツールに統合されている場合にのみ、トリアージを改善します。
SOC調査と脅威ハンティングをガイドするための脅威インテリジェンスの使用
アラートが調査になると、質問が変わります。分析官はもはや、何かが疑わしいかどうかを知るだけでなく、他に何が関連している可能性があるかを知る必要がある。
ファイルは既知のマルウェアファミリーにリンクされていますか?ドメインは現在のキャンペーンに登場していますか?インフラストラクチャはまだアクティブですか?その動作はランサムウェアのステージング、アカウントの乗っ取り、Web エクスプロイト、または APT アクティビティに似ていますか?環境全体で検索すべき関連指標はありますか?
脅威インテリジェンスは、調査が孤立した証拠から作業仮説へと進むのに役立ちます。
人間が読みやすいインテリジェンスは、ここでは特に重要です。キャンペーン レポート、マルウェア分析、サンドボックス、ファイルの類似性、帰属、デジタル フットプリント インテリジェンス、およびアナリストの調査は、調査官が攻撃の可能性のある経路を理解するのに役立ちます。
これは脅威ハンティングもサポートします。ハンターは「疑わしいものすべて」を広く検索するのではなく、関連するキャンペーン、セクター、脆弱性、または攻撃者の手法に関連付けられた特定の動作を検索できます。
たとえば、インテリジェンスによって脅威アクターが露出したリモート アクセスを介して産業組織を標的にしていることが示された場合、ハンターは異常な認証パターン、疑わしい管理ツールの使用、関連するインフラストラクチャ、およびアクセス後の動作を検索できます。ランサムウェアグループが暗号化前にデータステージングを行うという情報が得られた場合、攻撃者は圧縮活動、異常な圧縮ファイル作成、大規模な内部転送、機密ファイル共有へのアクセスなどを探知することができます。
調査は、脅威インテリジェンスはアナリストの判断に取って代わるものではありませんが、アナリストが次にどこを調査すべきかを判断するのに役立ちます。
脅威インテリジェンスを使用してインシデント対応の範囲と速度を向上させる
最も難しい対応の決定は、多くの場合、範囲に関する問題です。SOCは疑わしいドメイン、 IP アドレス、またはURLへのアクセスをブロックすべきでしょうか、それともインシデント対応にエスカレーションすべきでしょうか。1 つのコンピューターを隔離すべきでしょうか、それともチームは複数のシステムにわたる関連する侵害を調査すべきでしょうか。資格情報をリセットすべきでしょうか。脆弱なシステムを緊急にパッチ適用すべきでしょうか。法務、リスク、または経営陣に通知すべきでしょうか。
脅威インテリジェンスは、深刻な活動への反応が不十分であることと、低シグナルへの反応が過剰であることという 2 つのよくある間違いをチームが回避するのに役立ちます。
インテリジェンスが観測された活動をランサムウェアの導入にリンクしている場合、対応チームは影響を受けるシステムを隔離し、認証情報の盗難を調査し、横方向の移動を確認し、バックアップインフラストラクチャを保護する必要があるかもしれません。ドメインの信頼性が低く、アクティブなインフラストラクチャに関連付けられていない場合は、より慎重な対応が適切かもしれません。
脅威インテリジェンスは、対応プレイブックを改善することもできます。一般的なマルウェアプレイブックでは、アナリストにコンピューターを隔離し、証拠を収集し、インジケーターをブロックするように指示することができます。これらはすべて十分に役立ちます。しかし、脅威情報に基づいた対策マニュアルはより具体的です。どのアーティファクトを捜索すべきか、次にどのシステムが標的になる可能性があるか、どのような永続化手法が用いられる可能性が高いか、どの資格情報が危険にさらされる可能性があるか、そしてどのような封じ込め対策が推奨されるか、といった点です。
これは、スピードが重要なインシデントの際に特に役立ちます。アナリストは、あらゆる可能性をゼロから調査する時間がないため、適切かつ迅速に行動するのに役立つインテリジェンスが必要です。
脅威インテリジェンスが時間の経過とともにSOCの成熟度をどのように強化するか
脅威インテリジェンスは、ライブアラートやインシデントの際に役立つだけでなく、 SOCチームが運用モデルを改善するのにも役立ちます。
調査後、インテリジェンスは、どの検出が機能したか、どのシグナルが見逃されたか、どの制御を強化する必要があるかをチームが特定するのに役立ちます。インシデントに既存の分析でカバーされていない手法が関係していた場合、検知エンジニアリングによってギャップを埋めることができます。アナリストがキャンペーンを理解するのに苦労した場合、インテリジェンス要件を洗練できます。対応が一貫していなかった場合、プレイブックを更新できます。
これにより評価ループが作成されます。
- 脅威インテリジェンスは検出に情報を提供します。
- 検出はアラートを生成する。
- アラートは調査につながります。
- 調査はギャップを明らかにします。
これらのギャップは、インテリジェンス要件、検知ロジック、および対応プロセスを改善します。そして、これは時間の経過とともにSOCの精度を高め、死角を減らし、検知範囲を改善し、机上演習を指導し、敵対者のエミュレーションを支援し、経営陣に運用リスクをより明確に把握させることを可能にする。
SOCコンサルティング、侵害評価、インシデント対応準備、脅威ハンティング トレーニングは、インテリジェンスの価値を強化する上でも役立ちます。ツールは重要ですが、プロセス、スキル、専門家のガイダンスによって、インテリジェンスが結果を変えるかどうかが決まります。
SOC 運用で脅威インテリジェンスが失敗する一般的な理由
脅威インテリジェンスは、意思決定支援機能ではなく、収集作業として扱われると失敗します。
一般的な問題には、次のものがあります。
- アナリストやエンドポイント コントロールに到達する前にノイズを生成する、フィルタリングが不十分なフィード
- 古いインジケーター
- 明確なインテリジェンス要件がない
- SIEM、SOAR、EDR、XDR、またはケース管理ワークフローとの統合が限定的
- 攻撃者の行動ではなく、インジケーターに過度に依存している
- 研究者には役立つがアナリストには使用できないレポート
- SOC の発見とインテリジェンスの優先順位の間に評価ループがない
- インテリジェンスを検出、ハンティング、プレイブック、または対応アクションに変換する明確な担当者がいない
問題は情報の欠如ではなく、情報と使用の間のギャップです。SOCはすべての可能なインジケーターを必要とするわけではありませんが、環境に関連し、意思決定の時点で利用可能で、アナリストが行動するのに十分な信頼性のあるインテリジェンスが必要です。
成熟したSOCにおける運用化された脅威インテリジェンス
成熟したSOCは、さまざまな形態の脅威インテリジェンスを活用します。
機械可読なインテリジェンスは、自動化とツール統合をサポートします。SIEM、 SIEM、EDR、XDR、 NGFW、 IDS/ IPS 、脅威インテリジェンスプラットフォームに、アラートを強化し、ブロックをサポートし、初期トリアージを迅速化できるインジケーター、ルール、構造化データを提供します。
人間可読なインテリジェンスは、アナリストの判断をサポートします。キャンペーン、マルウェア、攻撃者の行動、インフラストラクチャ、属性、セクターターゲティング、および考えられる次のステップを説明します。
機械可読および人間可読なインテリジェンスに加えて、専門家のサポートは複雑な質問への対応に役立ちます。これには、アナリストアクセス、インシデントサポート、脅威ハンティングガイダンス、 SOC成熟度作業、またはセキュリティ運用にインテリジェンスをどのように統合するかについての戦略的アドバイスが含まれる場合があります。
目標は、単にインテリジェンスライブラリを大きくするのではなく、 SOCワークフロー全体でインテリジェンスを利用できるようにすることです。
つまり、要件を定義し、インテリジェンスをツールに統合し、関連するアクティビティを検出にマッピングし、より詳細な分析で調査をサポートし、教訓をSOCの改善にフィードバックする必要があります。
SOCに必要なSOCを提供することで、関連する脅威をより早く検出し、アラートの優先順位を迅速に設定し、正確に対応できるようになります。Kaspersky Threat Intelligence が、企業のセキュリティチームが脅威データを実用的なアクションに変換するのにどのように役立つかをご覧ください
