サイバー脅威インテリジェンスの10の誤謬

サイバー脅威インテリジェンス（CTI）はもはやニッチな専門分野ではありません。多くのセキュリティチームが業務の優先順位付け、リスクの説明、そして次にすべきことの決定の一部として活用しています。
この変化は戦略、ツール、規制全体で確認できます。例えばEUでは、NIS2がリスク管理を強化し、対象組織に対して侵害指標（IOC）やその他の脅威関連情報を含む情報共有を奨励しています。

CTIはまた、十分な年月を重ね、いくつかの書籍を執筆し、相当数の誤った考えのコレクションを蓄積してきました。コミュニティは長年にわたりこれらを指摘してきました。Jeff BardinのFallacies and Fault LinesからSANS FOR578における認知バイアスに関する議論、さらには数多くの優れた「誤解」のまとめや推奨読書リストまで。私たちはこれらの成果の上に立っています。
問題は、CTIの認知度が高まるにつれて、「ほぼ正しい」考えも一緒に広がることです。無害なショートカットもあります。しかし、静かにチームを誤った指標、誤ったワークフロー、誤った期待へと押しやるものもあります。

この記事は説教ではなく、友好的な診断です。2026年においても見られる10のCTI誤謬と、その代わりに何をすべきかをご紹介します。おそらく、いくつかは心当たりがあるでしょう。ほとんどのチームにあります。

要点

• CTIはフィードではありません。 それは、コンテキストと要件に基づいた意思決定支援です。
• データが多いことは必ずしも明確性の向上を意味しません。 取り込み限界ではなく、優先インテリジェンス要件（PIR）に基づいてキュレーションしましょう。
• アトリビューションは手段であり、目的ではありません。 実行可能なアクション、すなわち検知、強化、優先順位付けに最適化しましょう。
• 共有は管理下で可能です。 信頼グループ、TLP、セグメンテーションにより、ガバナンスを失うことなく協力できます。
• 成熟度は変更された意思決定で測定されます。 インテリジェンスがワークフローを動かさなければ、それは単なる情報です。

1. 「脅威インテリジェンスはフィードである」

これは原罪であり、「インテルフィード」を精肉店で挽き肉を注文するように求めるあらゆる調達文書に潜んでいます。

フィードは指標のストリームです。インテリジェンスは、人間（または最近では適切に監督されたモデル）がこれらの指標を組織の現実と相関させ、誰かが行動できる判断を生み出したときに起こります。天気フィードはベルリンが57°Fであると伝えます。インテリジェンスは、あなたが寒がりで昨日ジャケットを忘れたため、ジャケットを持って行くように伝えます。

「CTIプログラム」がSIEMルールと四半期請求書で終わるなら、それはプログラムではなくサブスクリプションです。STIX 2.1は、観測可能事象、指標、キャンペーン、脅威アクター、そしてそれらの間の関係がコンテキストと共に移動できるように存在します。フォーマットを本来の意図通りに使用しましょう。

2. 「データは多いほど良い」

間違いを犯すための最も高価な方法は、大規模に間違うことです。

15のフィードを積み重ねても、15倍の洞察は得られません。15倍の重複排除問題と、静かに平均化されて曖昧になる信頼スコアが生まれます。私たちは、週に数百万の指標を取り込みながら、四半期末にアナリストがコーヒーを飲みながらベンダーブログを1つ読むだけで見つけられる同じ3つのIPを表示するプラットフォームを見てきました。

正しい質問はどれだけ多いかではなく、どれだけ関連性があるかです。優先インテリジェンス要件（PIR）はまさにこの理由で存在します。それは他のすべてが通過すべきフィルターです。プラットフォームが数回のクリックで指標をPIR、セクター、または追跡されている侵入セットに結び付けられない場合、データはあなたのために機能していません。あなたがデータのために働いているのです。

3. 「アトリビューションが目的である」

アトリビューションは魅惑的です。クールな名前（FIN13、UNC5221、APT10）、アニメーション地図、そして「捕まえた」というドーパミンヒットが伴います。しかし、圧倒的多数の防御者にとって、それは気を散らすものでもあります。

アクターがAPT10であることを知ることは興味深いです。APT10があなたのセクターに対してどのMITRE ATT&CK技術を好むか、それらの技術のうちどれがあなたの検知から漏れているか、そしてあなたのサプライヤーのうちどれが彼らの歴史的な被害者学に該当するかを知ることは有用です。前者はトリビアです。後者は火曜日の朝のスプリント計画です。

大文字のアトリビューション、合理的疑いを超える証明、起訴につながる種類のものは、めったにあなたの仕事ではありません。小文字のアトリビューション、活動をクラスタ化し意思決定を推進するのに十分な証拠の優越は、ほぼ常にあなたの仕事です。両者を混同すると、麻痺または傲慢、そして多くの場合両方につながります。

4. 「共有すれば罰せられる」

情報共有の誤謬には2つのフレーバーがあります。1つ目：共有は法的または競争的に私たちを露出させる。 2つ目、あまり認められない：私たちのインテルは共有するほど良くない。

両方ともほぼ間違っており、両方とも有害です。あなたの銀行を標的にする脅威アクターは、通りの向こうの銀行を標的にするのと同じ脅威アクターです。検知を競争上の堀として扱うことは、雷雨の中で傘を秘密にしておくのと同じくらい効果的です。

ISAC、MISPコミュニティ、セクター固有の共有グループ、信頼グループ交換は、適切なTLPマーキング、編集、アクセス制御により、1つの組織の発見のコストが多くの利益になるように存在します。OpenCTIの組織分離とTLP処理はまさにこの理由で存在します。MISPも同様です。それらは競合ではなく補完的なツールであり、そうでないふりをすることはそれ自体が小さな誤謬です。

5. 「私たちのSOCは何をすべきか分かるだろう」

運用コンテキストなしに午前3時にSOCアナリストに渡された脅威インテリジェンスは、好意的に言って、未来からの付箋です。SOCは解釈ではなく対応に最適化されています。インテリジェンスチームが新興ランサムウェアアフィリエイトに関する強力な戦略レポートを作成し、SOCとの唯一のやり取りがCSVのIOCページである場合、IOC層を超える価値は静かに捨てられています。

修正は「SOCをもっと訓練する」ではありません。修正は、各消費者が必要とする形でインテリジェンスを提供することです：SOCには戦術的IOCと検知ロジック、検知エンジニアリングにはTTPカバレッジギャップ、CISOには被害者学とトレンド分析、そして取締役会には対象者が話す言語でチャート付きブリーフィングを。

1つのプラットフォーム、複数のレンズ。CTIプラットフォームが同じ基礎となる知識グラフからこれらすべてを生成できない場合、それはCTIプラットフォームではありません。意見を持ったデータベースです。

6. 「戦略的インテリジェンスは経営幹部向けの飾り」

これはアナリストから発せられる傾向があり、理解できます。野生の「戦略的インテリジェンス」の大部分は、ストックフォトのスライドデッキと地政学的という言葉を動詞として使用したものです。

しかし、敵対者の動機、セクターターゲティングトレンド、規制の変化、サプライチェーンの露出をマッピングする適切な戦略的CTIは、来年のセキュリティ予算が存在するかどうかを決定する層です。取締役会は検知ルールを承認しません。彼らはナラティブを承認します。

戦術的インテリジェンスのみを生成する組織は、「無料フィードを使え、私には同じに見える」と言われるCFOから一人離れただけです。正直なところ、IOC層では、それらは実際に同じであることが多いのです。

7. 「MITRE ATT&CKカバレッジはセキュリティに等しい」

ヒートマップは素晴らしいものです。しかし、次第にポチョムキン村にもなっています。

いくつかの条件下でいくつかのサブ技術に対していくつかの検知が存在するため、技術を「カバー済み」としてマークすることは、高視認性ジャケットを着たカテゴリーエラーです。powershell.exe -encにアラートを出すからといってT1059（コマンドおよびスクリプトインタープリター）が「カバー済み」ではありません。それは技術のごく一部であり、2026年に有能な敵対者が行うことのほぼゼロです。

ATT&CKは敵対者の行動を記述するための言語であり、それに対する防御のチェックリストではありません。フレームワークをコミュニケーション、クラスタリング、カバレッジギャップについて正直に推論するために使用してください。そして敵対的検証と組み合わせてください。これがOpenAEVのようなツール、およびより広範なBreach and Attack Simulationカテゴリが存在する理由です。地図は領土ではありません。特にヒートマップは領土ではありません。

8. 「AIが私たちのために分析してくれる」

真に現代的な誤謬であり、私たちが正しく理解することに特別な関心を持っているものです。

大規模言語モデルは、要約、翻訳、構造化抽出、そしてアナリストが読めるよりもはるかに大きなコーパス全体のパターンの表面化において驚くべきものです。また、自信を持って、流暢に、時には壊滅的に間違っています。彼らは今日それらのどれであるかを知りません。

取締役会ブリーフィングでAPTグループのターゲティングプロファイルを幻覚するLLMは、ブリーフィングがないよりも悪いです。なぜなら、幻覚は真実と同じ制服を着ているからです。

正直なフレーミングは、AIがアナリストの仕事ではなく、アナリストのレバレッジを変えるということです。フィードのインポート、レポートのドラフト作成、初回要約の生成、知識グラフにおけるピボットの提案に使用してください。情報をインテリジェンスに変える人間の判断を置き換えるために使用しないでください。2026年のCTIアナリストは、はるかに優れた機器を持つパイロットであり、オートパイロットの乗客ではありません。

9. 「プラットフォームはIOCを保存する場所に過ぎない」

誤謬#1と密接に関連していますが、独自のスロットを獲得するほど異なります。これは、脅威インテリジェンスプラットフォームをロゴ付きの非常に高価なスプレッドシートに変える誤謬です。

現代のTIPはグラフです。ポイントは、指標がマルウェアファミリーに接続し、それが侵入セットに接続し、それがキャンペーンに接続し、それが被害者セクターに接続し、それがあなたの組織に戻って接続することです。これらのエッジをピボットすると、尋ねることを知らなかった質問が見つかります。

プラットフォームをIOCのリストとして扱うと、せいぜいわずかに優れたファイアウォールブロックリストが得られます。最悪の場合、財務の誰かが実際のお金を払って維持しているコンテキストの墓場が得られます。

アナリストが2回のクリックで「このハッシュ」から「これはヨーロッパの中堅製造業者を標的とするアクターによる6か月で3番目のキャンペーンである」に到達できない場合、あなたの投資はあるべき場所に着地していません。

10. 「CTIチームがあるから成熟している」

成熟度の誤謬は最終ボスです。組織図、人員数、予算枠に包まれており、ほぼ常に間違っています。

成熟度は機能の存在ではありません。成熟度は、生成されたインテリジェンスと変更された意思決定との間のループの明確な引き締めです。明確なPIR、容赦ない優先順位付け、ステークホルダーからの定期的なフィードバック、そして誰も読まないレポートを廃止する規律を持つ2人のチームは、誰も行動したことを証明できない四半期40のPDFを生成する15人のチームよりも成熟しています。

テストは不快ですが単純です：過去90日間で、CTIチームが生成したもののために変更された運用、検知、または戦略的意思決定を3つ挙げてください。リストが短い場合、チームが問題ではありません。フィードバックループが問題です。

では、実際にこれをどうするか？

10個すべてを読んでやや攻撃されたと感じた場合、あなたは良い仲間です。Filigranで現在働いている人々が構築したプログラムを含むほとんどのCTIプログラムは、常にこれらのうち少なくとも4つを犯してきました。ポイントは悪い気分になることではありません。どれが静かにあなたに損失を与えているかに気づき、それらを設計から排除することです。

いくつかの実践的な基準：

• フィードではなく要件から始めましょう。 PIRが最初です。他のすべてはそれに従います。
• リストではなくグラフに投資しましょう。 関係のない指標はタイムスタンプ付きのノイズです。
• 消費者に合わせて出力をカスタマイズしましょう。 SOC、検知エンジニアリング、CISO、取締役会：4つの対象者、4つのフォーマット、1つの真実のソース。
• 仮定ではなく検証しましょう。 ATT&CKカバレッジの主張は、敵対的シミュレーションに耐えるか耐えないかです。
• 書かれたレポートではなく変更された意思決定を測定しましょう。 これが重要な指標です。

OpenCTIは、この世界観を中心に構築されました：脅威インテリジェンスは接続され、構造化され、コンテキスト化されており、プラットフォームは正しいことを簡単に、間違ったことを見えるようにすべきです。明らかに私たちは偏っています。また、このモデルは現実世界で通用すると考えています。

これらの誤謬のいずれかが不快なほど身近に聞こえた場合、不要なものの購入を止めるお手伝いをしたいと心から思っています。

お楽しみください。また、私たちのSlackコミュニティチャンネルで自由に質問してください： https://community.filigran.io/

このリストを形成し鋭くした、Bardin、Lee、Piazza、Nickels、Richard、その他多くの方々を含む、このテーマに関する以前の執筆を行ったより広範なCTIコミュニティに感謝します。残りの誤謬は完全に私たち自身のものです。