脅威インテリジェンスとは何ですか？なぜ重要なのでしょうか？

脅威インテリジェンスが重要なのは、企業がすべての警告、脆弱性、または疑わしいイベントを等しく重要視するのに十分な時間、予算、または人員を常に持っているとは限らないからです。セキュリティチームは、どの脅威が自社のセクター、地域、テクノロジースタック、および露出プロファイルに関連しているかを知る必要があります。

これは、脅威活動がより協調的になり、地政学的、犯罪的、サプライチェーンのリスクから分離することがより困難になっているため、特に重要です。ENISAの2025年の脅威ランドスケープでは、脅威グループがツールとテクニックを再利用し、新しい攻撃モデルを導入し、脆弱性を悪用し、EUのデジタルインフラストラクチャの回復力を標的にするために協力していると指摘しています。

企業のセキュリティリーダーにとって、脅威インテリジェンスの価値は実用的です。脅威インテリジェンスは、次のような質問に答えるのに役立ちます。誰が私たちを標的にする可能性が高いか？彼らはどのようなテクニックを使用しているか？どの脆弱性が悪用されているか？どの指標を監視すべきか？どのインシデントをエスカレーションする必要があるか？どのコントロールを最初に改善すべきか？

脅威インテリジェンスとは何か？

脅威インテリジェンスとは、組織が攻撃を理解、検出、防止、または対応するために役立つ、既存または潜在的なサイバー脅威に関する分析された情報です。

脅威インテリジェンスは、生の脅威データ以上のものです。IPアドレス、ドメイン、ハッシュ値、CVEなどの指標は、検証、強化、優先順位付けされ、セキュリティ上の意思決定と結び付けられることで、インテリジェンスとなる。

例えば、生の指標では、ドメインがフィッシング活動に関連付けられていることがわかるかもしれません。脅威インテリジェンスは、そのドメインが現在のキャンペーンの一部であるかどうか、どの業界が標的になっているか、どのマルウェアや認証情報窃盗方法が関与しているか、インフラストラクチャがまだアクティブかどうか、活動がどのように展開する可能性があるか、どのシステムや制御が影響を受ける可能性があるか、防御側が検知、監視、または緩和に注力する必要がある場所を説明します。

優れた脅威インテリジェンスは、関連性があり、タイムリーで、正確で、実行可能です。単に既にノイズの多い環境に情報を追加するのではなく、セキュリティチームが意思決定や行動を起こすのに役立つはずです。

脅威インテリジェンスが企業にとって重要なのはなぜですか?

脅威インテリジェンスが重要なのは、企業のセキュリティチームにはコンテキストが必要だからです。コンテキストがなければ、チームは活動の重要性を理解せずに活動を検出したり、どの脆弱性が最も悪用される可能性が高いかを知らずに脆弱性にパッチを適用したり、既知のキャンペーンと一致するかどうかを知らずにアラートを調査したりする可能性があります。

現代の企業は、クラウドサービス、IDプラットフォーム、エンドポイント、メール、運用技術、サードパーティプロバイダー、分散ネットワークを横断して運用しています。この多様性によって攻撃対象領域が広がり、脅威インテリジェンスは、セキュリティチームがその攻撃対象領域のどの部分が攻撃者にとって最も魅力的か、そしてどの脅威が現在最も関連性が高いかを理解するのに役立ちます。

脅威インテリジェンスは、セキュリティリーダーがリスクに関する議論、インシデントへの備え、セキュリティ投資の意思決定に使用できる証拠を提供することで、ガバナンスとレジリエンス計画もサポートします。複数の地域、セクター、またはサプライヤーエコシステムにまたがって事業を展開する組織にとって、このコンテキストは、外部の脅威活動が運用上の優先事項にどのように影響するかをセキュリティチームが理解するのに役立ちます。

脅威インテリジェンスはどのような問題を解決しますか?

脅威インテリジェンスは、組織が限られたセキュリティリソースをより効果的に優先順位付けするのに役立ちます。

インテリジェンスがない場合、セキュリティチームは深刻度スコア、アラート量、またはコンプライアンス圧力のみに基づいて優先順位付けを行う可能性があります。これにより、深刻に見えるが悪用される可能性が低い問題に労力が費やされ、より関連性の高いリスクが見落とされたり、十分に対処されないままになる可能性があります。

脅威インテリジェンスは攻撃者のコンテキストを追加し、チームが現実世界の攻撃に最も関連性の高い資産、脆弱性、および手法を理解するのに役立ちます。

なぜこれが重要なのでしょうか?技術的な深刻度は現実世界のリスクと同じではないからです。隔離された内部システムの重大な脆弱性は、ランサムウェアグループによって積極的に悪用されているインターネットに接続された資産のスコアの低い脆弱性よりも緊急性が低い可能性があります。

脅威インテリジェンスは、資産管理、脆弱性スキャン、検知エンジニアリング、またはインシデント対応の必要性をなくすものではありません。これにより、それらの機能がより絞り込まれます。

脅威インテリジェンスの主な種類は何ですか？

脅威インテリジェンスの主な種類は、戦略的、運用的、戦術的、および技術的インテリジェンスです。これらのカテゴリが重要なのは、チームによって必要な技術的および運用上の詳細のレベルが異なるためです。ただし、これらのカテゴリは重複することがよくあります。戦略的レポートには、技術的指標、YARA ルール、シグマルール、またはその他の検知コンテンツが含まれる場合がありますが、技術的インテリジェンスは、戦略的、運用的、または戦術的なコンテキストに関連付けられると、より価値が高まります。

成熟した脅威インテリジェンスプログラムには通常、4種類すべてが必要ですが、すべてのチームが同じ形式でそれらを必要とするわけではありません。

戦略的脅威インテリジェンスとは何でしょうか？

戦略的脅威インテリジェンスは、ビジネス、セクター、地域、または地政学的な観点から、高レベルのサイバーリスクを説明します。これは、リーダーが特定の脅威がなぜ重要なのかを理解するのに役立ち、CISOやリスクチームが、運用、回復力、安全性、投資の優先順位、評価への潜在的な影響を評価するために必要なコンテキストを提供します。

たとえば、戦略的インテリジェンスは、ランサムウェアグループが医療システムをどのように標的にしているか、地政学的な緊張が重要インフラにどのように影響しているか、サイバー犯罪サービスがスキルの低い攻撃者にとってエントリ障壁をどのように下げているかを説明する可能性があります。

この種のインテリジェンスは、投資やガバナンスの決定を行う必要があるCISO、取締役会、リスク委員会、法務チーム、および経営幹部にとって有用です。セキュリティ戦略、予算計画、危機対策、サイバー保険の議論、または規制報告をサポートできます。

戦略的インテリジェンスは技術的な過負荷を避けるべきです。その役割は、すべての指標やマルウェアの亜種をリストすることではなく、何が変化しているか、なぜそれが重要なのか、組織が何をすべきかを説明することです。

根本的に、脅威インテリジェンスのビジネス上の価値は、技術的な脅威活動を企業リスクに結びつけることにある。

では、運用上の脅威インテリジェンスとは何だろうか？

運用上の脅威インテリジェンスは、特定のキャンペーン、攻撃者の目的、攻撃パターンを説明します。これは、高レベルの戦略的レポートと実践的な技術的指標の中間に位置します。

たとえば、運用上のインテリジェンスは、ヨーロッパの製造業者を標的としたランサムウェアキャンペーン、使用されている初期アクセス方法、関連するマルウェア、影響を受けたセクター、攻撃者の動機、推奨される防御策を説明する可能性があります。

この種のインテリジェンスは、 SOCリーダー、インシデント対応チーム、脅威ハンター、セキュリティ アーキテクトにとって有用です。これにより、環境に影響を与える可能性が最も高い脅威への準備ができます。

運用上のインテリジェンスは、インシデントが単発的なものか、より広範なキャンペーンの一部であるかをチームが判断するのにも役立ちます。疑わしいドメイン、マルウェアのサンプル、またはフィッシングの誘いが既知の攻撃者のインフラストラクチャと一致する場合、調査はより迅速に、より適切なコンテキストで進めることができます。

運用上のインテリジェンスは、最新のものである場合に最も価値があります。古いキャンペーン情報は、履歴分析には役立つかもしれませんが、防御側はインフラストラクチャ、ツール、およびテクニックが現在もアクティブであるかどうかを知る必要があります。

戦術的脅威インテリジェンスとは何ですか?

戦術的脅威インテリジェンスは、攻撃者がどのように行動するかを説明します。戦術、技術、手順（略してTTP）に焦点を当てます。戦術とは、初期アクセス、権限昇格、横方向移動など、攻撃者の目的です。技術とは、その目的を達成するために使用される方法です。手順とは、特定の攻撃者またはキャンペーンがその技術を使用する具体的な方法です。

MITRE ATT&CKは、現実世界の観察に基づく敵対者の戦術と技術のグローバルにアクセス可能な知識ベースを提供するため、ここで広く使用されています。MITREは、ATT&CKを民間部門、政府、サイバーセキュリティ製品コミュニティで使用される脅威モデルと方法論の基盤として説明しています。

戦術的インテリジェンスは、防御側がより優れた検出を作成するのに役立ちます。既知の指標をブロックするだけでなく、チームはインフラストラクチャが変更されても継続する可能性のある攻撃者の行動を探すことができます。

たとえば、フィッシングドメインはすぐに消えるかもしれませんが、攻撃者の侵害後の行動は継続する可能性があります。戦術的インテリジェンスは、セキュリティチームがこれをより早く検出するのに役立ちます。

技術的脅威インテリジェンスとは何ですか?

技術的な脅威インテリジェンスは、悪意のある活動や疑わしい動作を特定するのに役立つ、機械可読またはアナリスト可読な指標で構成されます。例としては、IPアドレス、ドメイン、URL、ファイルハッシュ、メール送信者データ、マルウェアの署名、 SSL証明書、レジストリキー、コマンド＆コントロールインフラストラクチャ、YARA、Sigma、または検知ルールなどが挙げられます。

テクニカルインテリジェンスは、SIEM、EDR、XDR、クラウドセキュリティ、ファイアウォール、メールセキュリティ制御、サンドボックスシステム、脅威インテリジェンスプラットフォームなど、様々なシステムで活用できます。TIPは、情報集約、情報充実、情報管理、そして必要なツールやチームへの情報配信によく利用されます。

しかし、技術的な情報には限界がある。指標はそれぞれ異なる速度で劣化し、古くなった指標は誤検知や運用上のノイズを引き起こしたり、もはや悪意のあるのないインフラストラクチャへのアクセスをブロックしたりする可能性があります。IPアドレスは頻繁に変更されるため、最も早く期限切れになることが多い。URLは比較的長く有効な場合もあるが、悪意のあるコンテンツはすぐに移動される可能性がある。ファイルハッシュは悪意のあるファイルと無期限に関連付けられる可能性があるが、攻撃者がそれらのファイルを使用しなくなると、その運用上の関連性は低下する。

脆弱性インテリジェンスとは何ですか？

脆弱性インテリジェンスは、組織が自社の環境に最も関連性の高いソフトウェアの欠陥と、悪用される可能性が最も高い欠陥を理解するのに役立ちます。

従来の脆弱性管理は、多くの場合、深刻度スコアリングから始まります。FIRSTが管理するCVSS（共通脆弱性評価システム）は、脆弱性の特性を把握し、組織が修復策を評価し優先順位付けするのに役立つ数値スコアを生成する方法を提供する。

深刻度は有用ですが、必ずしも悪用される可能性を示すものではありません。ここで、エクスプロイトインテリジェンスやEPSS（Exploit Prediction Scoring System）などのシステムが役立ちます。EPSSは、公開されたCVE（Common Vulnerabilities Exposure 識別子）が今後30日以内に実際に悪用される確率を推定するデータ駆動型の機械学習モデルです。

エンタープライズチームにとって、脆弱性インテリジェンスは、深刻度、悪用可能性、資産露出、ビジネス上の重要度、およびアクティブな脅威活動を組み合わせたものです。これにより、チームはまず重要なものにパッチを適用できます。

実際的な質問は単に「この脆弱性は重要か？」ではなく、「この脆弱性は悪用可能で、露出しており、私たちの環境に関連があり、現在攻撃者にとって魅力的か？」です。

業界固有の脅威インテリジェンスとは何ですか？

業界固有の脅威インテリジェンスは、金融、医療、エネルギー、製造、政府、通信、小売などの特定のセクターに最も関連のある脅威に焦点を当てています。

攻撃者はしばしば専門化しています。ランサムウェアグループは、システム停止によってプレッシャーがかかるため、医療機関を標的にする可能性がある。国家支援型の攻撃者は、戦略的なアクセスを目的として、エネルギー、通信、または行政機関を標的にする可能性がある。一方、詐欺グループは、収益化の道筋がより明確であるため、銀行、決済処理業者、または小売業者を標的にする可能性がある。

業界固有のインテリジェンスは、攻撃の可能性のある経路や攻撃者の目的を理解するのに役立ち、セクターレベルの協力、情報共有、規制への対応もサポートできます。

一般的なインテリジェンスにも価値はありますが、セクターのコンテキストによって、より実用的なものになります。

脅威インテリジェンスから恩恵を受けるのは誰ですか?

脅威インテリジェンスは、 SOCだけでなく、企業全体の多くのチームにメリットをもたらします

脅威インテリジェンスは、単一のツールやチーム内に留めておくのではなく、これらの機能全体で共有されることで、さらに価値が高まります。

脅威インテリジェンスは、CISOやセキュリティリーダーにどのように役立つのでしょうか？

CISOにとって、脅威インテリジェンスは、技術的な脅威活動をビジネスリスクに変換するのに役立ちます。予算、リスク許容度、回復力、セキュリティの優先順位について、より明確な意思決定を支援します。

CISOは、すべてのキャンペーンからすべてのセキュリティ侵害インジケーターを把握する必要はありません。組織にとって最も関連性の高い脅威はどれか、どの事業部門や地域が危険にさらされているか、どの制御が低か、攻撃が成功した場合の影響は何かを知る必要があります。

戦略的なインテリジェンスは、リーダーが取締役会や経営幹部に、弁護可能な形で説明するのにも役立ちます。脅威の状況は変化している」と言う代わりに、CISOは、現在どの攻撃者、セクター、手法、脆弱性が重要であり、その理由は何かを説明できます。

これは、企業のサイバーセキュリティは、多くの場合、インシデント発生後に評価されるため重要です。脅威インテリジェンスは、意思決定が推測ではなく証拠に基づいていたことを示すのに役立ちます。

また、回復力対策の優先順位付けにも役立ちます。情報分析によって、あるセクターがID侵害、リモートアクセスの漏洩、サプライヤーアクセスによって標的にされていることが判明した場合、投資はIDセキュリティ、外部暴露管理、サードパーティ監視へとシフトする可能性があります。

脅威インテリジェンスはSOCチームにどのように役立つのでしょうか？

脅威インテリジェンスは、 SOCチームがノイズを減らし、アラートを強化し、関連する攻撃者の行動を検出するのに役立ちます。

SOC は、エンドポイント、クラウド プラットフォーム、ID システム、メールゲートウェイ、ファイアウォール、 SIEMルールから数千のアラートを受信する可能性があります。すべてのアラートが同じ緊急度を必要とするわけではありません。脅威インテリジェンスは、アラートが既知の悪意のあるインフラストラクチャ、アクティブなキャンペーン、悪用された脆弱性、またはアクターの行動に関連しているかどうかをアナリストが理解するのに役立ちます。

MITRE ATT&CK はまた、既知の指標だけでなく、攻撃者の行動に基づいて検出を構築することをSOCチームに支援します。脅威インテリジェンスを構造化、比較、分析するための共通言語をアナリストに提供し、アラートを攻撃者の行動に、より再現可能な方法で関連付けるのに役立ちます。

脅威インテリジェンスは、検知エンジニアリングの改善にも役立ちます。既知の指標のみのルールを作成する代わりに、チームは疑わしい認証情報アクセス、異常な PowerShell の使用、異常なリモート サービス実行、コマンド アンド コントロール パターンなどの行動に基づいて検出を構築できます。

脅威インテリジェンスは、インシデント対応にどのように役立ちますか?

脅威インテリジェンスは、インシデント対応チームが何が起こったか、次に何が起こる可能性があるか、どこを調べる必要があるかを理解するのに役立ちます。

インシデント中、対応者は迅速な回答を必要とします。このマルウェアは既知のものですか?インフラストラクチャはアクティブですか?どのアクターまたはキャンペーンが関与している可能性がありますか?次に標的となるシステムは通常どれか？既知の永続化手法はあるのか？環境全体で探すべき関連指標はあるのか？

脅威インテリジェンスは、スコープ設定と封じ込めを迅速化できます。対応担当者が観測されたアクティビティを既知のプレイブックにリンクできれば、考えられる次のアクションを探すことができます。たとえば、認証情報のダンプ、横方向の移動、データのステージング、ランサムウェアウェアの導入などです。

また、インシデント後の改善もサポートします。封じ込め後、インテリジェンスは、どの制御が失敗したか、どの検出が欠落していたか、将来の演習でどの攻撃手法を対象とすべきかをチームが特定するのに役立ちます。

インシデント対応は、技術的な問題だけではありません。法務、コミュニケーション、リスク、および経営陣は、インシデントがより広範なキャンペーンまたは標的型活動の一部であるかどうかを理解する必要がある場合があります。脅威インテリジェンスは、これらの決定に強力なコンテキストを提供します。

脅威インテリジェンスは、脆弱性管理にどのように役立ちますか?

脅威インテリジェンスは、脆弱性管理チームが、エクスプロイト活動、攻撃者の関心、および資産の露出に基づいて修復の優先順位付けを行うのに役立ちます。

多くの企業には、数千もの既知の脆弱性があります。それらすべてにすぐにパッチを適用することは、特にレガシーシステム、運用技術、クラウドワークロード、およびビジネスクリティカルなアプリケーションを含む複雑な環境では、通常は非現実的です。

脅威インテリジェンスは、理論上の深刻度と実際の緊急度を区別するのに役立ちます。深刻度スコアが高脆弱性性であっても、それが露出されておらず、アクティブなキャンペーンで使用されておらず、重要な資産に存在しない場合は、最優先事項ではない可能性があります。深刻度が低い問題であっても、インターネットに接続されていて、悪用しやすく、ランサムウェア攻撃者に使用されている場合は、緊急を要する可能性があります。

ここで、脆弱性インテリジェンス、エクスプロイトインテリジェンス、資産コンテキスト、およびビジネス上の重要度が連携する必要があります。EPSSは悪用確率を推定するのに役立ち、CVSSは技術的な深刻度を表現するのに役立ちます。

最も強力な脆弱性プログラムは、「何が脆弱か？」と問うだけでなく、何が脆弱で、露出していて、悪用可能で、現在の攻撃者の行動に関連しているか？」と問います。

脅威インテリジェンスは、サードパーティおよびサプライチェーンのリスクをどのようにサポートしますか？

脅威インテリジェンスは、組織が自社の境界を超えたリスクを監視するのに役立ちます。これには、サプライヤー、マネージドサービスプロバイダー、クラウドプロバイダー、ソフトウェアベンダー、請負業者、露出した資格情報、漏洩したデータ、フィッシングドメイン、脆弱な外部インフラストラクチャが含まれます。

サプライチェーンのリスクは、企業が完全に制御できない組織に依存しているため、困難です。サプライヤーは、機密データを保有したり、リモートアクセスを管理したり、ソフトウェアのアップデートを提供したり、重要なサービスを運用したりする場合があります。

脅威インテリジェンスは、サプライヤーのドメインがなりすまされているかどうか、ベンダーに関連付けられた資格情報が犯罪市場に出回っているかどうか、テクノロジー プロバイダーが悪用された脆弱性の影響を受けているか、サードパーティ プラットフォームがキャンペーンの標的になっているかどうかを特定するのに役立ちます。

これは、サードパーティのリスク管理、契約、または監査に取って代わるものではありません。これらに現在の脅威のコンテキストを追加します。

NIS2 でカバーされているセクターの企業にとって、サプライヤーとエコシステムのリスクは特に重要です。サイバーセキュリティは、内部 IT 制御の問題だけでなく、セクター横断的な回復力の問題として扱われることが増えているためです。

脅威インテリジェンスのライフサイクルとは何ですか?

脅威インテリジェンスのライフサイクルは、インテリジェンスのニーズを定義し、データを収集し、分析し、調査結果を配布し、将来のインテリジェンス作業を改善するために使用されるプロセスです。

一般的なライフサイクルには、次の 6 つの段階があります。

1. 1. 方向2. 収集3. 処理4. 分析5. 配布フィードバック

脅威インテリジェンスは、特定の運用またはビジネス要件から始める必要があります。たとえば、 SOCリーダーは次のように尋ねるかもしれません。「製造環境で検出すべきランサムウェアウェアの手法は何ですか?CISOは「どのような地政学的脅威が当社の欧州事業に影響を与える可能性があるか？」と問いかけるかもしれません。脆弱性管理者は「今週、どの脆弱性をパッチすべきか？」と問いかけるかもしれません。

それぞれの問いには、異なる情報源、分析、そして成果物が必要です。ライフサイクルによって、インテリジェンスは量ではなく意思決定に焦点を当てた情報として維持されます。

方向性決定段階では何​​が起こりますか?

エンタープライズ プログラムでは、方向性決定段階では、組織が理解する必要があることと、インテリジェンスがどのように使用されるかを定義します。セキュリティ ベンダーの場合、プロセスは、収集できるデータ、保有する調査能力、およびインテリジェンス 製品がサポートするように設計されている対象者によっても形成されます。

これは、インテリジェンスが有用かどうかを決定するため、最も重要な段階です。脅威インテリジェンスを送ってください」のような曖昧な要件は、通常、ノイズを生み出します。公開されたリモート アクセスを使用してヨーロッパの製造業者を標的とするアクティブなランサムウェアグループを特定する」のような明確な要件は、焦点を絞ります。

方向性決定には、インテリジェンスを使用するチームが関与する必要があります。取締役会は、SOC アナリストとは異なるインテリジェンスを必要とします。脆弱性チームは、不正対策チームとは異なるインテリジェンスを必要とします。

優れたインテリジェンス要件は、意思決定と結びついています。パッチの優先順位付け、検知エンジニアリング、インシデントの準備、サプライヤーの監視、経営幹部への報告、またはセクター固有のリスク計画をサポートする場合があります。

この段階で、チームは、対象者、意思決定、期間、地域、セクター、テクノロジー スタック、および必要な出力形式を定義する場合があります。

収集と処理中に何が起こりますか?

収集では、内部および外部ソースから関連情報を収集します。処理によって、その情報は利用可能な形式に変換されます。

外部ソースには、商用脅威インテリジェンス、オープンソースレポート、セクター共有コミュニティ、CERTおよびCSIRTアドバイザリ、ダークウェブ監視、マルウェアリポジトリ、脆弱性定義データベース、フィッシングフィード、パブリックフレームワークなどが含まれます。

内部ソースには、 SIEMログ、EDRテレメトリ、ファイアウォールイベント、メールセキュリティデータ、インシデントレポート、脆弱性スキャン、資産インベントリ、クラウドログなどが含まれます。

処理には、重複排除、正規化、エンリッチメント、翻訳、タグ付け、スコアリング、標準形式への変換が含まれる場合があります。

脅威インテリジェンスはツールや組織間で移動する必要があることが多いため、標準が重要です。OASISは、サイバー脅威インテリジェンスの構造化モデリング、分析、共有をサポートするために、サイバー脅威インテリジェンス技術委員会の下でSTIXとTAXIIを開発しています。MISPは、サイバーセキュリティ指標と脅威情報を収集、保存、配布、共有するための広く使用されている別のオープンソースプラットフォームです。

処理がなければ、インテリジェンスは断片化、重複、または運用不可能になる可能性があります。

分析中に何が起こるのでしょうか？

分析は、処理されたデータをインテリジェンスに変換します。ここで、アナリストは関連性、信頼性、確信度、影響、推奨されるアクションを評価します。

分析によって、次のような疑問に答えることができます。

• この指標はまだ有効ですか？
• このキャンペーンは、当社の業界または地域に関連していますか？
• この活動は、どの攻撃者、マルウェアファミリー、または手法に似ていますか？
• どの資産が影響を受ける可能性がありますか？
• SOCは何を検知すべきですか？
• 脆弱性チームはまず何をパッチべきでしょうか？
• 経営陣は何を知っておくべきでしょうか？

優れた分析には信頼度レベルが含まれ、すべての結論が確実であるとは限りません。アナリストは、キャンペーンが既知の攻撃者に関連している可能性が高い、インフラストラクチャがマルウェアファミリーに関連している可能性がある、またはセクターが標的になっている可能性が高いと判断する場合があります。

セキュリティに関する意思決定には根本的に不確実性が伴い、脅威インテリジェンスは不確実性を無視するのではなく、不確実性を低減する必要があります。

分析は、人間の専門知識が依然として重要な部分でもあります。自動化によって大規模なデータを強化および相関付けできますが、アナリストは判断、コンテキスト、および運用上の解釈を提供します。

配信と評価の過程で何が起こるのでしょうか？

配信は、インテリジェンスを適切な人、ツール、またはワークフローに提供し、評価はそれが役立ったかどうかを示します。

経営陣、 SOCアナリスト、脆弱性マネージャー、およびアーキテクトはすべて、さまざまな形式と詳細レベルのインテリジェンスを必要とします。

脅威インテリジェンスは、作業が行われる場所で提供される必要があります。これには、 SIEM、XDR、EDR、SOAR、チケットシステム、脆弱性管理ツール、メールセキュリティ制御、ダッシュボード、レポート、または経営陣向けブリーフィングが含まれます。

フィードバックはループを閉じます。アナリストが提供する情報が広範すぎたり、遅すぎたり、使いにくすぎたりする場合は、プログラムを調整する必要があります。フィードが誤検知を引き起こす場合は、調整が必要です。レポートがインシデントの防止または検出に役立つ場合は、その価値を記録すべきです。

脅威インテリジェンスと脅威ハンティングの違いは何ですか?

脅威インテリジェンスと脅威ハンティングは関連していますが、同じではありません。

脅威インテリジェンスは、脅威、アクター、インフラストラクチャ、脆弱性、攻撃行動について既知または疑われることを説明します。脅威ハンティングは、環境内での侵害または攻撃者の活動の兆候を積極的に探すことです。

脅威インテリジェンスは脅威ハンティングの指針となります。たとえば、インテリジェンスによって、ランサムウェアウェアグループが特定の初期アクセス方法、永続化技術、またはコマンドラインパターンを使用していることが示される場合があります。脅威ハンターは、内部テレメトリを検索して、その行動の兆候を探すことができます。

脅威ハンティングは、新しいインテリジェンスを作成することもできます。ハンターがこれまで知られていなかったパターン、疑わしいインフラストラクチャ、または攻撃者の行動を発見した場合、その発見を分析、文書化し、検知チームまたはより広範なインテリジェンスコミュニティと共有することができます。

単純な違いは次のとおりです。脅威インテリジェンスは、チームが何を探すべきかを理解するのに役立ち、脅威ハンティングは、それが環境内で発生している、または発生した証拠を探します。

脅威インテリジェンスと脅威データの違いは何ですか?

脅威データは生の情報ですが、脅威インテリジェンスはコンテキスト、分析、意思決定の価値を追加します。

脅威データには、IPアドレス、ドメイン、ファイルハッシュ、マルウェアサンプル、脆弱性識別子、メールの痕跡、ログイベントなどが含まれます。これらのデータは有用ですが、チームが何をすべきかを自動的に教えてくれるわけではありません。

脅威インテリジェンスは、指標をキャンペーン、アクター、セクター、地域、手法、推奨アクションにリンクすることで、運用上のコンテキストを追加します。

これは重要な違いです。なぜなら、企業は脅威データに溺れる可能性があり、フィードが増えても必ずしもセキュリティが向上するとは限らないからです。場合によっては、ノイズ、誤検知、アナリストの作業負荷が増加します。

ここで、シンプルで実用的なテストがあります。その情報はセキュリティの意思決定やワークフローを改善できますか？脅威の検出、防止、調査、優先順位付け、説明に役立たない場合は、インテリジェンスではなくデータかもしれません。

脅威インテリジェンスとOSINTの違いは何ですか？

オープンソースインテリジェンス、またはOSINTは、公開されている情報源から得られる情報です。脅威インテリジェンスにはOSINTが含まれることがありますが、より広範です。

OSINTの情報源には、公開レポート、ブログ、アドバイザリ、コードリポジトリ、ドメインレコード、マルウェア分析、ソーシャルメディア、フォーラム、脆弱性開示、公開データセットなどがあります。これらの情報源は、特に内部テレメトリや専門家の分析と組み合わせると、価値が高まります。

脅威インテリジェンスには、商用データ、民間調査、マルウェアのテレメトリ、センサーネットワーク、クローズドコミュニティでの情報共有、インシデント対応の結果、ダークウェブの監視、顧客固有のデジタルフットプリントデータなども含まれる場合があります。

重要な違いは、OSINTは情報源の種類を説明するのに対し、脅威インテリジェンスは目的と出力を説明する点です。公開情報は、分析され、セキュリティ上の意思決定に適用されると、脅威インテリジェンスになります。

多くの組織にとって、最善のアプローチは公開か非公開かという問題ではなく、複数の情報源を組み合わせ、検証し、適切なワークフローで使用することです。

脅威インテリジェンスを実用的なものにするにはどうすればよいでしょうか？

脅威インテリジェンスは、特定の意思決定やセキュリティワークフローをサポートする場合に実用的になります。

実用的なインテリジェンスには通常、次の5つの特性があります。

1. 関連性：組織のセクター、地域、資産、またはリスクプロファイルに適用される
2. 適時性：行動がまだ有効なうちに提供される
3. 正確性：検証され、情報源が明確に示されている
4. コンテキスト：単なる指標ではなく、意味を説明する
5. 使いやすさ：人またはツールによって適用できる。

たとえば、「ランサムウェアグループが活動している」は曖昧すぎます。「このランサムウェアグループは、公開されたVPNアプライアンスを介してヨーロッパの物流会社を標的にしており、特定のCVEを悪用していることが確認されている」の方が実用的です。これにより、チームは何をチェックし、どこを探し、どのリスクに緊急の注意が必要かを把握できます。

実行可能性はフォーマットにも左右されます。CISOはSIEMから異なる出力を必要とし、 SOC アナリストは迅速な調査に必要な十分なコンテキストを必要とし、ファイアウォールは構造化された指標を必要とし、取締役会は影響と選択肢を必要とします。

効果的な脅威インテリジェンスは、ワークフローと意思決定に具体化されます。

企業は脅威インテリジェンスの情報源をどのように評価すべきでしょうか？

企業は、関連性、網羅性、正確性、鮮度、透明性、統合性、運用適合性に基づいて脅威インテリジェンスの情報源を評価する必要があります。

多くの組織は、特にフィードに関しては、複数の情報源からのインテリジェンスを使用しています。これは、単一のサプライヤーがすべての攻撃者、地域、セクター、マルウェアファミリー、脆弱性、インフラストラクチャセットを完全に網羅していないためです。目標は、すべてを1つの情報源に依存することではなく、アナリストを圧倒することなく網羅性を向上させる方法で情報源を組み合わせることです。関連性が最優先です。組織の地理的範囲、セクター、またはテクノロジースタックに影響を与えない脅威に焦点を当てたフィードは、価値が限られます。網羅性には、APT、ランサムウェア、フィッシング、ICS、クラウドの脅威、マルウェア、脆弱性、デジタルフットプリントの露出など、組織が関心を持つ脅威領域を含める必要があります。

正確性と鮮度は重要です。古いまたは検証が不十分な指標は、誤検知やアナリストの時間の浪費につながる可能性があるためです。透明性の高い情報源と信頼度レベルは、チームがインテリジェンスにどれだけの重みを与えるべきかを理解するのに役立ちます。

統合も重要です。SIEM、XDR、EDR、SOAR、脆弱性管理、インシデント対応のワークフローで使用できない情報は、活用されないままになる可能性があります。

最後に、チームは人間の専門知識を評価する必要があります。自動フィードは便利ですが、複雑な質問には、特に標的型攻撃、地政学的リスク、産業環境、インシデントサポートの場合、アナリストの解釈が必要になることがよくあります。

脅威インテリジェンスプログラムを弱体化させる一般的な間違いは何ですか?

脅威インテリジェンスプログラムは、意思決定ではなく量に焦点を当てると失敗することがよくあります。

• 最初の間違いは、インテリジェンス要件、検証プロセス、または運用ワークフローを定義せずにフィードを追加することです。組織は複数のフィードを必要とする場合がありますが、各ソースには明確な目的、測定可能な価値、検知、調査、または優先順位付けへの明確な経路が必要です。
• 2番目の間違いは、インジケーターをプログラム全体として扱うことです。インジケーターは便利ですが、インテリジェンスの1つのレイヤーにすぎません。チームは、キャンペーンのコンテキスト、TTP、脆弱性インテリジェンス、戦略的レポート、およびセクター固有の洞察も必要とします。
• 3番目の間違いは、インテリジェンスをワークフローに統合しないことです。PDFレポートはリーダーにとって役立つかもしれませんが、 SOCチームはツールとプロセスの中にインテリジェンスを必要とします。
• 4番目の間違いは、価値を測定しないことです。チームは、インテリジェンスが検知を改善するか、調査時間を短縮するか、パッチの優先順位付けを改善するか、インシデント対応をサポートするか、または経営上の意思決定に役立つかを追跡する必要があります。
• 5つ目の間違いは、評価を無視することです。脅威インテリジェンスは、組織のリスク、資産、優先事項の変化に合わせて進化していくべきです。

成熟した脅威インテリジェンス プログラムには何が含まれるべきでしょうか?

成熟した脅威インテリジェンス プログラムには、明確な要件、信頼できる情報源、熟練した分析、ワークフローの統合、測定可能な成果が含まれるべきです。

最低限、企業は誰がどのような目的で脅威インテリジェンスを使用するかを定義する必要があります。一般的な利用者には、CISO、 SOCチーム、インシデント対応担当者、脆弱性対策チーム、脅威ハンター、セキュリティ アーキテクト、不正対策チーム、リスク リーダーなどが含まれます。

成熟したプログラムでは、内部テレメトリと外部の脅威の可視性を組み合わせます。内部テレメトリは環境の可視性を提供し、外部インテリジェンスは攻撃者のコンテキストを提供します。この組み合わせは、どちらか一方の情報源だけよりも強力です。

成熟したプログラムでは、適切な場合には構造化されたフレームワークと標準も使用します。MITRE ATT&CK は攻撃者の行動を整理するのに役立ち、STIX と TAXII は構造化された交換をサポートし、MISP は共有とコミュニティ ワークフローをサポートします。

目標はすべてを収集することではなく、適切なインテリジェンスを適切なワークフローに適切なタイミングで提供することです。

AI は脅威インテリジェンスにどのように影響しますか?

AI は脅威インテリジェンスに 2 つの方法で影響します。防御側がより多くのデータを処理できるようにし、攻撃者が悪意のあるアクティビティを拡張できるように

• 防御側にとって、AIは情報収集、相関分析、要約、大規模な脅威分析を加速させることができます。AIは、アナリストが手作業では確認が難しい大規模なデータセット全体にわたるパターンを特定するのに役立ちます。しかし、AIは脅威アナリストや人間の判断に取って代わるものではありません。

• 攻撃者にとって、AIはフィッシング、翻訳、偵察、なりすまし、自動化を支援することができます。ユーロポールは、AIが犯罪グループによる多言語メッセージの作成、リアルななりすまし、検知を困難にする自動化プロセスに役立つ可能性があると警告しています。

AIは人間の分析と運用判断の必要性をなくすものではありません。脅威インテリジェンスは依然として情報源の評価、信頼性の評価、コンテキスト、判断に依存しています。AIは分析を加速できますが、インテリジェンスの意味と使用方法を決定するには人間の専門知識が必要です。

脅威インテリジェンスにおけるAIの実用的な価値は、スピードと規模です。リスクは、十分な検証なしに自動化された結論を過信することです。

企業は脅威インテリジェンスで最初に何をすべきでしょうか？

企業はツールではなく、インテリジェンスの要件から始めるべきです。実用的な出発点は、次の5つの質問を定義することです。

1. どの脅威アクターまたはキャンペーンが当社のセクターと地域に関連していますか？
2. 当社の環境のどの脆弱性が実際に悪用されていますか？
3. 当社のSOCはどの攻撃者の手法を検出できる必要がありますか？
4. どの外部露出がリスクを高めていますか？
5. 経営陣はどの脅威の傾向を理解する必要がありますか？

これらの質問が明確になったら、チームは必要な情報源、ワークフロー、出力をマッピングできます。これにより、プログラムが互いに関連性のないフィードやレポートの集合体になるのを防ぐことができます。

組織は、インテリジェンスがどこで使用されるかを特定する必要があります。たとえば、 SIEMのアラート強化、XDR の検知エンジニアリング、脆弱性管理のパッチ優先順位付け、CISO 向けのエグゼクティブ レポート、リスク チーム向けのサプライヤー モニタリングなどです。

小規模から始めるのは問題ありません。誰も使用しない大規模なプログラムよりも、1 つの意思決定を改善する集中的なインテリジェンス ワークフローの方が価値があります。

要点

脅威インテリジェンスは、企業がどの脅威が重要か、なぜ重要なのか、そしてそれらにどう対処すべきかを理解するのに役立ちます。その価値は、より多くのデータを収集することではなく、脅威データを意思決定に変換することにあります。

CISO にとっては、リスクベースの計画とエグゼクティブ コミュニケーションをサポートします。SOC チームにとっては、アラートのトリアージ、検知、および対応を改善します。脆弱性チームにとっては、修復の優先順位付けに役立ちます。インシデント対応者にとっては、調査と封じ込めを迅速化します。SOCチームにとっては、サプライヤー、業界、および規制上の懸念に最新の脅威コンテキストを追加します。

最も効果的なプログラムは、集中的で、最新で、運用されています。インテリジェンス要件を定義し、内部および外部ソースを組み合わせ、有用な場合は構造化されたフレームワークを使用し、意思決定が行われるワークフローにインテリジェンスを提供します。

脅威インテリジェンスは単独の制御手段ではなく、他のセキュリティ機能をより正確にする意思決定支援機能です。

---

脅威の検知、調査、脆弱性の優先順位付け、および企業リスクに関する意思決定を支援するKaspersky Threat Intelligenceをぜひご活用ください。

参考資料および関連文献

• ENISA 脅威ランドスケープ 2025: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025
• 欧州委員会: NIS2 指令: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• MITRE ATT&CK、検知と脅威インテリジェンスのユースケースを含む: https://attack.mitre.org/
• OASIS サイバー脅威インテリジェンス技術委員会: STIX と TAXII。( OASIS Open )
• MISP オープンソース脅威インテリジェンスプラットフォーム: https://www.misp-project.org/
• FIRST エクスプロイト予測スコアリングシステム: https://www.first.org/epss/
• Kaspersky Threat Intelligence: kaspersky.com

脅威インテリジェンス FAQ

簡単に言うと、脅威インテリジェンスとは何ですか?

脅威インテリジェンスとは、分析され、セキュリティの意思決定に役立つようにされたサイバー脅威に関する情報です。脅威インテリジェンスは、組織が誰から攻撃を受ける可能性があるか、攻撃がどのように機能するか、どの指標を監視すべきか、どのリスクを優先すべきかを理解するのに役立ちます。

脅威インテリジェンスには 4 つの種類があります。

主な 4 つの種類は、戦略的、運用的、戦術的、および技術的な脅威インテリジェンスで、それぞれ異なるセキュリティおよびビジネス機能向けに設計されています。

脅威インテリジェンスは、大企業にのみ役立ちますか。

いいえ。小規模な組織も、特にマネージド サービス、業界共有グループ、セキュリティ ツール、信頼できるアドバイザリを通じて、脅威インテリジェンスを利用できます。重要なのは関連性です。少量の焦点を絞ったインテリジェンスは、大量の一般的なデータよりもはるかに役立ちます。

脅威フィードは脅威インテリジェンスと同じですか。

いいえ。脅威フィードは生の指標または脅威データを提供しますが、脅威インテリジェンスはコンテキスト、分析、および関連性を追加します。

脅威インテリジェンスはランサムウェアからの保護にどのように役立ちますか?

脅威インテリジェンスは、ランサムウェアグループ、初期アクセス方法、悪用された脆弱性、被害者セクター、マルウェアインフラストラクチャ、および一般的な侵害後の動作を特定し、チームが検知を改善し、パッチの優先順位を付け、インシデント対応アクションを準備するのに役立ちます。

脅威インテリジェンスは脆弱性の優先順位付けにどのように役立ちますか?

脅威インテリジェンスは、深刻度だけでなく、アクティブな悪用、露出、および攻撃者の関心に基づいて脆弱性の優先順位付けをチームが行うのに役立ちます。

MITRE ATT&CK とは何ですか?また、脅威インテリジェンスと MITRE ATT&CK の関係は何ですか?

MITRE ATT&CK は、攻撃者の戦術と技術の構造化された知識ベースを提供します。脅威インテリジェンスチームはこれを使用して、攻撃者の行動を一貫して説明し、キャンペーンをマッピングし、検知エンジニアリングをサポートします。

脅威と脅威ハンティングの違いは何ですか?

脅威インテリジェンスは関連する脅威と攻撃者の行動を説明しますが、脅威ハンティングは環境内で侵害の兆候を積極的に検索します。

企業内の脅威インテリジェンスは誰が所有していますか?

所有権は組織によって異なります。SOC （SOC）が管理している場合もあれば、専任の脅威インテリジェンスチーム、インシデント対応チーム、セキュリティ運用チーム、またはCISO（最高情報セキュリティ責任者）が管理している場合もあります。重要なのは、インテリジェンスがそれを利用するチームと連携していることです。

脅威インテリジェンスはどのように評価すべきでしょうか？

有効な指標としては、調査時間の短縮、検知範囲の拡大、脆弱性の優先順位付けの改善、インシデント範囲の迅速な特定、誤検知の減少、経営陣への報告の改善、そしてインテリジェンスがセキュリティに関する意思決定に影響を与えたという証拠などが挙げられます。