脅威インテリジェンス.

脅威インテリジェンスは、攻撃者・その動機・能力・インフラに関する情報を、体系的に収集・加工・分析・配信する取り組みです。マルウェア検体、IP、ドメイン、漏洩した認証情報、ダークウェブの動向、脆弱性レポートといった生データに、コンテキスト・信頼度・関連するオーディエンスを付与することで、行動可能なインテリジェンスへと変換します。多くのプログラムは何らかの形でインテリジェンスサイクル(要求管理・収集・加工・分析・配信・フィードバック)を運用し、その成果を生のフィードではなく具体的な意思決定に結び付けています。

有用な優先順位付けのモデルが、David Bianco の Pyramid of Pain(苦痛のピラミッド、2013 年)です。指標は、攻撃者がそれを変更する際にどれだけ痛手を被るかによって順位付けされます。ハッシュ値と IP アドレスは最下層(容易にローテーション可能)にあり、続いてドメイン名、ホストおよびネットワークのアーティファクト、ツール、そして頂点に TTP——攻撃者が容易には捨てられない振る舞い——が位置します。TTP のレベル(MITRE ATT&CK にマッピング)で検知することは、使い捨ての IP をブロックするよりもはるかに大きなコストを攻撃者に強います。組織は、構造化されたフォーマットとフィード——STIX/TAXII、MISP、ベンダーレポート、業界 ISAC——を通じてインテリジェンスを交換し、SIEM や EDR の検知エンリッチメント、パッチ適用の指針(例えば CISA KEV の項目を露出資産と突き合わせる)、経営層のリスク判断に役立てます。インテリジェンスは通常、オーディエンスと時間軸によって戦略・作戦(運用)・戦術の各レベルに分類されます。この分野の価値は、指標の量ではなく、関連性・適時性・正確性に依存します。

flowchart LR
  A[要求管理<br/>インテリジェンス要求] --> B[収集<br/>feeds、OSINT、ダークウェブ]
  B --> C[加工<br/>正規化、重複排除]
  C --> D[分析<br/>コンテキスト、帰属、ATT&CK]
  D --> E[配信<br/>STIX/TAXII、TIP、レポート]
  E --> F[利用者<br/>SIEM、EDR、IR、経営層]
  F --> A