サイバー脅威インテリジェンスにおけるObservables、Indicators、Infrastructureの定義

以前の記事では、Threat ActorsとIntrusion Setsの違いを探り、STIXやOpenCTIのような構造化された脅威インテリジェンスフレームワークにおける両者の異なる役割を明確にしました。その基礎の上に、本記事ではサイバーセキュリティにおけるもう一つの重要な区別、Observables、Indicators、Infrastructureに焦点を当てます。これらの用語はしばしば同じ意味で使われますが、脅威インテリジェンスにおいて異なるコンポーネントを表し、それぞれがサイバー脅威の検出、分析、軽減において独自の役割を果たしています。

本記事は、これらの違いを明確にし、それらがどのように相互接続しているかを説明し、脅威インテリジェンスモデルにおける適切な使用についてのガイダンスを提供することを目的としています。

用語の定義

Observables

Observablesは、システムやネットワーク内の生のデータポイントまたは測定可能なイベントです。以下で見られるように、Observables単体では必ずしも悪意のある動作を示すものではなく、組織に関連する正当なIPやドメインなどの項目を含むことがあります。しかし、Observablesはアナリストがネットワークで発生している活動を理解するのに役立つ情報の断片として機能し、さらなる分析の基盤となります。

例としては次のものがあります:

• IPアドレス: ネットワーク上のデバイスに割り当てられる数値識別子で、静的または動的です。
• • 例: 192.168.1.1 は、ネットワークログで見つけることができるObservableである一般的なローカルIPアドレスです。
• ドメイン名: IPアドレスにマッピングされる人間が読めるアドレスで、オンラインサービスへのアクセスに使用されます。
• • 例: example.com は、DNSクエリで見られるドメインです。
• ファイルハッシュ: アルゴリズム(例:MD5、SHA-256、SHA-1)によって生成される、特定のファイルを表す一意の識別子。
• • 例: 61e2f9029baf7ce21d8de2eddea55405f20ed5db26ecbdaea42404ca28a08d7c は、AnyDesk.exeを表すSHA-256ハッシュで、良性または悪意のある目的で使用される可能性があります。
• レジストリキー値: Windowsシステムのレジストリの構成設定で、マルウェアによって永続性のために変更されることが多く、変更を監視できます
• • 例: **レジストリキー:**HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
  • レジストリ値:
  • • 名前: MaliciousApp
    • タイプ: REG_SZ (文字列)
    • データ: C:\Users\Public\malicious.exe
• ネットワークトラフィック: コマンド&コントロール(C2)通信、エクスプロイト、データ流出などに関連する活動など、ネットワーク通信で観察されるパターン
• • 例: GET /malicious/path HTTP/1.1 は、疑わしいHTTPリクエストパターンの例です。

図1: OpenCTIで追跡されるObservableタイプ

Indicators

Indicators、またはIndicators of Compromise (IOCs)は、潜在的な脅威を示すためにコンテキストで強化されたObservablesです。Indicatorには通常、Observableが脅威となり得る条件を定義するパターンやロジックが含まれています。

OpenCTIの範囲では、Indicatorは検索パターンによって定義される検出オブジェクトの形で提供され、STIX、Sigma、YARAなどのさまざまな形式で表現できます。パターンに加えて、Indicatorsには、有効期間、関連するキルチェーンフェーズ、実行可能な属性(「revoked」ステータスなど)など、検出のコンテキストを強化する補足情報が含まれることがよくあります。Indicatorsの目的は、上記のようなObservablesを悪意のある活動にリンクし、セキュリティチームがサイバー脅威をより効率的に検出して対応できるように実行可能なインテリジェンスを提供することです。

図2: OpenCTIで追跡されるIndicatorパターンタイプ

例としては次のものがあります:

• コマンド&コントロールに使用されることが知られているIPアドレスを含むSTIX 2.1パターン。

図3: 悪意のあるIPに対するStix 2.1ルールのIndicatorパターン

• コマンドラインインターフェースからの新しい管理者アカウントの作成を検出するSigmaルール。不正な管理者アカウントを作成しようとする試みを示します。

図4: 疑わしい管理者アカウント作成に対するSigmaルールのIndicatorパターン

• Base64エンコードされたPowerShellコマンドの実行を検出するSuricataルール。脅威アクターが難読化のためによく使用します。

図5: Base64エンコードされたPowerShell実行を検出するSuricataルールのIndicatorパターン

Infrastructure

一般的に、Infrastructureとは、脅威アクターが悪意のある活動を実行するために利用するリソース、ツール、サービスを指します。Observablesと同様に、Infrastructure自体は本質的に悪意のあるものではなく、ターゲット環境内のリソースなど、幅広いリソースを包含できます。しかし、サイバー攻撃のコンテキストで言及される場合、Infrastructureは通常、敵対者が作戦を実行するために使用する資産を意味します。

攻撃者のInfrastructureを理解することは、アトリビューションとプロアクティブな脅威ハンティングに不可欠です。それは、脅威アクターが悪意のある作戦を促進するために使用する基本的なフレームワーク、方法、ツールを明らかにするからです。

例としては次のものがあります:

• コマンド&コントロール(C2)サーバー: 攻撃者が侵害されたシステムとの通信を維持し、コマンドを発行し、データを流出させるために使用するサーバーに関連するドメインとIP。
• • 例: 74.178.90.36:443 は、リモート管理用のC2パネルをホストしているIPアドレスとポートです。
• フィッシングインフラストラクチャ: 被害者を欺いて認証情報や金融データなどの機密情報を漏らさせるために使用されるウェブサイト、メール、資産。
• • 例: login-microsoft-security[.]com は、認証情報を窃取するための偽のMicrosoftログインページです。
• マルウェア配布インフラストラクチャ: ドライブバイダウンロードやマルウェア配信のための悪意のあるペイロードをホストしているウェブサイトまたはサーバー。
• • 例: malicious-download[.]xyz/malware.exe は、ペイロード配信サーバーの例です。
• 匿名化サービス: 攻撃者が自分のアイデンティティと場所を隠すために使用するVirtual Private Networks (VPN)やThe Onion Router (TOR)などのサービス。
• • 例: TOR出口ノードIP: 176.10.104.240 は、ブルートフォースログイン試行に使用されます。

主要な違い

Indicators、Observables、Infrastructureの違いと重複を示すベン図

実例

Observablesの実践

ある組織が、短期間に単一のIPアドレスから一連のログイン失敗を検出しました。IPアドレス単体はObservableであり、良性である場合も攻撃の一部である場合もあります。セキュリティチームは、レピュテーションソースをチェックしてこのデータを強化し、そのIPが以前のブルートフォース攻撃に関連していることを明らかにしました。この情報は、アナリストがIPをブロックするか、さらに調査するかを判断するのに役立ちます。

Indicatorsの実践

ある組織が、サイバー犯罪アクターによってWindowsレジストリが変更され、悪意のあるファイルがC2接続に使用するIPアドレスのリストを含む「HKLM\Software\TitanPlus」という名前のレジストリエントリが追加されたことを観察しました。セキュリティチームは、reg.exeを使用してC2 IPアドレスのリストを含む「HKLM\Software\TitanPlus」という名前のレジストリキーを作成するWindowsレジストリの変更をフラグするSTIX形式のIndicatorを作成し、将来のインシデントで類似の動作を検出するのに役立てます。

Infrastructureの実践

ある組織が、既知のランサムウェアグループに関連付けられたIPアドレスとの通信を検出しました。オープンソースツールを使用して敵対者のInfrastructureをマッピングすることで、セキュリティチームは攻撃者に関連する追加のドメインとIPを特定し、攻撃がエスカレートする前に関連する悪意のあるトラフィックをブロックできるようにしました。

実用的な応用

検出と監視

セキュリティチームは、潜在的な脅威を特定するためにObservablesを収集して分析します。たとえば、異常なIPアドレスや予期しないHTTPリクエストのネットワークトラフィックを監視することで、疑わしい活動を明らかにできます。Indicatorsは、既知の悪意のあるシグネチャを提供することでこのプロセスを強化し、自動化システムが脅威を迅速にフラグできるようにします。

脅威ハンティング

Infrastructureコンポーネントを分析することで、サイバーセキュリティの専門家は潜在的な攻撃を予測し、対抗することができます。たとえば、組織を標的とする新しいフィッシングサイトを特定することで、ドメインのブロックやユーザーへの警告などの先制措置を講じることができます。攻撃者のInfrastructureを理解することで、プロアクティブな防御戦略が促進されます。

インシデントレスポンス

Indicatorsは、アナリストが攻撃の範囲を判断し、軽減戦略を実装するのを助けることで、インシデント対応の取り組みをガイドします。たとえば、システム内のマルウェアファイルハッシュを認識することで、即座の隔離と削除手順が促されます。Infrastructureの分析は、C2サーバーの特定と停止、またはボットネットの解体によって攻撃者の作戦を中断するのに役立ちます。

課題と考慮事項

量と多様性

組織は毎日膨大な量のObservablesを扱っており、自動化なしで大規模にObservablesを管理することは困難です。良性データと悪意のあるデータを区別するには、効率的な相関と分析技術が必要であり、OpenCTIのようなプラットフォームは、その取り込みと強化コネクタを使用して、大規模なデータセットを選別し、Observablesを関連するインテリジェンスと相関させるのに役立ちます。

コンテキストが重要

脅威アクターは、Infrastructureを難読化するために高度な技術を採用しており、アトリビューションは困難です。たとえば、匿名化サービスの使用や正当なサーバーのハイジャックは、攻撃の真の発信元をマスクする可能性があります。正確なアトリビューションには、包括的な分析と、多くの場合、他の組織や法執行機関との協力が必要です。

動的な脅威の状況とObservablesの一時的な性質

攻撃者は継続的に戦術とInfrastructureを適応させるため、継続的な監視とインテリジェンスの共有が必要です。例を挙げると、脅威アクターは追跡と検出を防ぐために頻繁にInfrastructureをローテーションして破棄するため、防御側が時間の経過とともに正確なデータを維持することが困難になる可能性があります。

したがって、IPやドメインなどのObservablesの一時的な性質を念頭に置き、最後に見られた時期と時間の経過に伴う再利用の可能性に沿ってIndicatorのライフサイクルを考慮することが重要です。効果的な長期分析と検出のために、防御側はPyramid of Painの上位にあり、攻撃者が簡単に交換できない属性に基づいた高い信頼性のIndicatorsを優先すべきです。

OpenCTIにおけるObservables、Indicators、Infrastructure

“Example.com"が組織のネットワークトラフィックログで観察され、当初は正当なものと思われました。ドメインはOpenCTIにObservableとして追加されます。セキュリティチームによるさらなる分析により、このドメインは既知のフィッシングドメイン“Malicious-example.com“との接続があり、報告された脅威アクターにリンクされていることが明らかになりました。“Malicious-example.com“のObservableを作成すると、セキュリティチームはドメインのIndicatorも作成し、それをInfrastructureエンティティにリンクし、さらなる悪意のある活動の検出とブロックを支援します。

これらの関係は、related-to、communicates-with、usesなどの明示的な関係を使用してOpenCTI(STIX)でキャプチャされ、アナリストがサイバー脅威を体系的にマッピングおよび相関させることができます。これらの相互接続を活用することで、チームはObservables、Indicators、Infrastructureを効果的に活用して、より堅牢な脅威インテリジェンスを構築し、効果的な検出を生成し、敵対者の作戦をプロアクティブに妨害できます。

結論

Observables、Indicators、Infrastructureは、それぞれサイバーセキュリティにおいて異なる役割を果たしています。Observablesは生データとして機能し、Indicatorsは実行可能なインテリジェンスを提供し、Infrastructureは攻撃者の運用資産を表します。これらの概念を理解し、効果的に活用することで、あなたとあなたのチームは検出、対応、軽減の取り組みを強化し、組織の全体的なセキュリティポスチャを強化できます。

この記事は、Women in CTI Slackチャンネル内でのコラボレーションにより実現しました。参加して会話に加わるには、こちらをクリックしてください。

Morgan Demboskiについて

Morganは、Sophos Managed Detection and Response (MDR)チームのThreat Intelligence Analystで、戦術的サイバーインテリジェンス、データ強化、新たな脅威の監視に焦点を当てています。インテリジェンスおよびセキュリティ研究の修士号を持ち、彼女の関心分野はサイバー領域を超えて、地政学や国際安全保障を含んでいます。過去の役割では、MorganはNetwork Detection and Response (NDR)分野で働き、攻撃パターンの追跡、コマンド&コントロールインフラストラクチャの分析、脅威研究レポートに焦点を当てていました。