1. はじめに

第一回のコラムでは、「脅威インテリジェンスという言葉は聞いたことあるが、実態はよくわからない・・・」という方を対象に、脅威インテリジェンスの概要（用語の説明）、脅威インテリジェンスのメリット、活用のサイクルについてご紹介しました。第二回となる本稿では、筆者がインシデント対応に従事する観点から、活用のサイクルについて深堀していきます。

2. 前回のおさらい

本題に入る前に、前回の内容を簡単に振り返ります。前回、脅威インテリジェンスとは、「脅威について人がわかりやすく分析・蓄積し、これらによって敵を知ることができる情報」と説明しました。この脅威インテリジェンスは、マシンリーダブルなIoC（Indicator of Compromise）を中心とした情報を核にし、体系立てた整理や人間による分析を経て得られるヒューマンリーダブルな情報です（下図参照）。一般的に、ヒューマンリーダブル寄りの情報になるほど、効率的に脅威の調査ができる情報となります。

一方で、脅威インテリジェンスの収集や活用は、目的を誤ると使い物にならなかったり無駄なリソースを費やしたりすることにもつながります。したがって、組織において活用目的を定めてそれに応じた活用サイクルを回す必要が出てきます。

3. インシデント対応に従事する観点での活用サイクル

3.1. ①目標選定：どのように活用するか？

どのように脅威インテリジェンスを活用するのかは、組織ごとに異なります。何の目的で、どのように脅威インテリジェンスを活用するのかを定めておくことが必要です。簡単な例を下記に示します。

以降は、上記の「対応フェーズ」での活用を例にとりながら説明を進めます。

3.2. ②収集：どのような脅威インテリジェンスを入手するか？

＜①目標選定＞に沿うIoCを集めていきます。対応フェーズでの活用においては、調査の糸口となるよう広く多数のIoCを収集しつつ、極力脅威を特徴づける情報が含まれるものを取得すると効果的です。下記に、参考となる情報元や情報の選定基準を記載します。

我々CSIRTのメンバーは、IoCが調査の糸口となるよう、数量を重視（複数のFeedから多数のIoCを取得）しています。統計的にIoCの母数が増えることや、機械的に検知/提供された（人による分析が行われない）IoCも取得することになり、精度（誤検知率）は若干悪くなりますが、調査では人によるIoCの精査も併せて行うため、調査結果の精度には影響しません。
※通信遮断など機械的にIoCを活用する場合は、精度や鮮度を重視するのが良いでしょう。真に遮断すべきIoCを機器に設定することで誤検知を減らし、システム的/人的リソースの減少にもつながります。

3.3. ③処理：どうやって脅威インテリジェンスをため込むか？

＜②収集＞で集めたIoCを整形したり、データベースに蓄積したりする作業です。IoCの活用目的や量によって専用のツールを使うのが良いでしょう。

→ExcelやCSVファイルを蓄積媒体とし、人/専用のスクリプトで記入していきます。しかし、下記のような高度な使い方にはあまり適していません。

→このようなユースケースの場合は、脅威インテリジェンスを集める専用のツール「TIP（Threat Intelligence Platform）」を用いるのが良いでしょう。指定したFeedから定期的なIoCの収集機能や、WebUIやAPIを用いた検索機能、特定のIoCのみの抽出機能や他機器との連携プラグインなどが備わっているものがほとんどです。有名どころではオープンソースのMISPや有償のEclecticIQ Platform（以降、EIQ）などのツールがあります。
当社CSIRTでは、2013年より独自システムによるIoCの収集/蓄積を行っており、昨今ではMISPとEIQも併用しています。

収集・共有に特化したTIP。APIが充実しており、独自処理の追加や機器との連携が充実。

分析に特化したTIP。アナリストによる分析結果の記入や関連情報のグラフ化機能などが充実。

3.4. ④分析：情報の整理や追加情報の付与

IoCのようなマシンリーダブルな情報だけでは、仮にログ等で該当しても、「何の脅威か」はわかりません。分析作業は、IoCに情報を付加しヒューマンリーダブルな情報（脅威情報や脅威インテリジェンス）に近づける作業です。
対応フェーズでの活用においては、IoCとして入手した悪性な通信先に対して、「マルウェアA」というタグを付与したり、マルウェアAの検体ハッシュ値を通信先の関連IoCとしてグルーピングしたり、マルウェア解析などから得た攻撃者や攻撃手法などをIoCにコメントとして記入したりします。
この作業は、言い換えれば「脅威に関するレポート」を作成するようなイメージです。基本的には人が実施する作業であり、時間と手間はかかりますが、ログ調査や端末フォレンジックなどを効率的に進められるようになります。
MISPやEIQなどのTIPでは、このような作業を支える機能が標準搭載されています（下図参照）。

MISPにおける分析作業の例

EclecticIQ Platformにおける分析作業の例

3.5. ⑤利用：端末調査や通信遮断

収集/分析したIoCを実際に利用していきます。対応フェーズでの活用において最も典型的な利用例は、端末のマルウェア感染有無調査が挙げられます。

まずは調査の糸口として、ネットワーク機器、Proxyサーバーなどのログから特定期間内の通信先一覧を抽出し、これをTIP内に蓄積した多数のIoCと照合させることで、悪性な通信先へのアクセスがあったかの確認に利用できます。また、IDS/IPS等のセキュリティ機器で悪性な通信を検知した場合は、その検知結果をTIPで検索することにより、IDS/IPSでの検知結果の悪性度合いを第三者的に測るという使い方もできます。
＜④分析＞で悪性な通信先と関連するIoCとの紐づけができている場合は、通信先からマルウェアのハッシュ値やマルウェア名などの追加情報も手に入れることが可能です。これにより、端末のハッシュ値や、マルウェア名や攻撃手法などから端末のアプリケーション実行履歴など、他の観点を用いた調査にもつながります。

なお、合致したIoCは通信遮断にも利用できます。ただし、「合致したものを何でもかんでも遮断すればよい」というわけではありません。下記のようなケースにより遮断の効果が得られない可能性が考えられるため、必ず人の目による精査や他のセキュリティ機器での検知結果を参考にしながら、遮断を行います。

3.6. ⑥フィードバック：各作業の改善

＜⑤利用＞の結果を元に、各作業の改善を行っていきます。下記に一例を示します。

4. まとめ

本稿では、脅威インテリジェンスの活用サイクルについて深堀しました。調査で用いるためのIoCをどのように収集し、どのように利用しているか、皆さんの参考になれば幸いです。