セキュリティリーダーのための脅威インフォームド・ディフェンス戦略

近年、サイバーセキュリティの計画と運用において、勢いを増している根本的な変化が起きています。セキュリティリーダーは転換点に立たされており、攻撃者がインシデントレスポンスの反応速度を上回るスピードで動けるようになり、新たな脅威を追跡し、実際に発生する可能性のある特定の攻撃に対して防御を準備することの重要性が高まっています。

この追求において役立つさまざまなフレームワークがあり、近年注目を集めているのが脅威インフォームド・ディフェンス(TID)です。これは、直面する脅威に対して保有するリソースを最適化する、プロアクティブでエビデンスに基づくアプローチです。プロアクティブなセキュリティとは、より多くのツールを購入することではなく、規律ある運用に関するものであり、これがTIDが強調する点です。これは、脅威インテリジェンスを使用して既存のセキュリティスタックを合理化し、シグナルの質を向上させ、実際にビジネスに重要な脅威にチームを集中させることを意味します。目標は?外部で起きていること(脅威インテリジェンス)と内部で起きていること(防御)を結びつけることで、セキュリティギャップを特定し、埋めていく継続的なプロセスです。

では、実際にTIDをどのように実装するのでしょうか? Filigranでは、それについて語るだけでなく、私たちのDNAに組み込んでいます。当社のオープンソースeXtended Threat Management(XTM)プラットフォームは、フレームワークを実践的で実行可能なステップに分解する5段階のパイプラインを通じてTIDを運用化します。実際の動作を見たいですか?当社の新しいガイドテクノロジーセクターのための脅威インフォームド・ディフェンスでは、テクノロジー企業が最初から最後まで実世界での実装を体験できます。

要約

現在のトレンドである攻撃者の技術を優先する: MITRE ATT&CKで関連する敵対者のTTPをマッピングし、自組織の環境に影響を与えるリスクに焦点を当てます。
インテリジェンスを運用化し、防御をテストするために実行可能にする: OpenCTIやOpenAEVなどのオープンソースツールを使い始め、インテリジェンス、テスト、コントロール改善を1つのループで結びつけます。脅威の可視性を向上させ、攻撃対象領域に対してマッピングします。
セキュリティコントロールの有効性を証明する: 攻撃者が発見する前にギャップを見つけるため、敵対者の行動を継続的にシミュレートします。セキュリティコントロールだけでなく、防御の人的側面もテストします。
よりスマートなセキュリティ投資を行う: カバレッジのトレンドとシミュレーション結果を使用して、修復と予算を指示します。新規投資を行う前に、既存の投資を最適化することを確実にします。

脅威インフォームド・ディフェンスとは何か?

脅威インフォームド・ディフェンス(TID)は、シンプルな現実を認識しています:セキュリティは防御者と敵対者の間の継続的な攻防ゲームです。 最初にMITREによって提唱された脅威インフォームド・ディフェンス(TID)は、MITRE ATT&CKフレームワークを活用して敵対者の戦術と動きを理解します。TIDの実装とは、どの脅威が実際に組織を標的にしているかを理解し、それらを阻止するために調整された防御措置を展開し、それらの防御が実世界の攻撃技術に対して有効かどうかを厳格にテストすることを意味します。既知の脅威に対してセキュリティ体制を継続的に評価することで、攻撃者が発見する前にギャップを特定し、埋めることができます。TIDは3つの基礎的な柱に基づいています:

サイバー脅威インテリジェンス: まず、すべての脅威インテリジェンスを収集、取り込み、処理して、文脈的で関連性のあるものにします。IOCを超えて、敵対者の行動と意図を理解します。これらはより持続的で、攻撃者が変更するのにより多くのコストがかかります。
防御措置: 優先順位付けされた脅威インテリジェンスを、検知、ハードニング、対応プレイブック、構成に変換し、適切に活用してそれを機能させます。最も標的にされる可能性が高い脅威にコントロールを適応させます。
テストと評価: 敵対者エミュレーションを計画し、継続的な侵害・攻撃シミュレーションを実行して、カバレッジを検証し、後退を回避します。セキュリティプログラムの有効性に対する詳細なレベルの可視性を獲得します。継続的なセキュリティ体制の検証と改善のために自動化とスケールを実現します。

セキュリティ予算は厳しく、リソースは不足しています。CISOは、すべての新しいツールを追いかける代わりに、すでに所有しているものから完全な価値を引き出す方が価値があることに気づいています。これにより、リアクティブからプロアクティブへのマインドセットの転換が促進され、CISOは常に「私の敵対者は誰か?」、「彼らの手口は何か?」、「私のセキュリティコントロールとプロセスはどのように持ちこたえるか?」、「何かがうまくいかなくなったときに何が起こるか?」といった質問をしています。TIDアプローチの採用には、セキュリティチームが協力し、ブルー、レッド、SOC、TIチームのサイロを超えて情報を共有することが必要です。

脅威インフォームド・ディフェンス vs 従来型セキュリティ

従来型セキュリティ | 脅威インフォームド・ディフェンス(TID)

汎用的なセキュリティコントロール | 敵対者固有の防御

コンプライアンス主導の優先順位 | 脅威主導の優先順位

脆弱性中心 | 脅威アクター中心

コントロールが機能すると仮定 | 継続的にコントロールを検証

リアクティブなインシデントレスポンス | プロアクティブな脅威予測

アイデアから実行へ:脅威インフォームド・ディフェンスパイプライン

継続的脅威エクスポージャー管理(CTEM)と同様に、TIDは概念、サイバーセキュリティ戦略であり、単一のツールや製品を介して提供されるものではありません。当然ながら、組織がそれを採用し提供する方法は異なり、特に脅威インテリジェンスの取得、処理、運用化の方法は、脅威インテリジェンスの成熟度フェーズに依存します。Filigranでは、TIDが当社の製品戦略とロードマップを支えており、当社のXTMプラットフォームは、脅威インテリジェンス(OpenCTI)と継続的エクスポージャー検証(OpenAEV)を統合する唯一のオープンソースプラットフォームです

Filigranでは、TIDをより簡単に解釈し実装できるよう、5段階のパイプラインに分解しました:

Filigranの脅威インフォームド・ディフェンスパイプライン

ステージ01:戦略的脅威ランドスケープ評価

目標: ビジネスモデル、スタック、地域に最も関連する敵対者、マルウェア、キャンペーンを特定します。

方法: 脅威インフォームド・ディフェンスにおける脅威評価には、組織の重要な資産を標的にする可能性が最も高い特定の脅威アクター、その能力、戦術、技術、手順(TTP)を体系的に評価し、優先順位を付けることが含まれます。優先順位付けされた脅威インテリジェンスを収集、分析、精緻化、共有できる脅威インテリジェンスプラットフォームは、ここで重要なコンポーネントです。OpenCTIを使用して、APT、サプライチェーンの脅威、クラウドネイティブエクスプロイト、セクター/地政学的コンテキストの構造化された分析を行うことができます。OpenCTIは、実際に標的となる脅威にリソースを集中させるのに役立ちます。OpenCTIは300以上のソース(OSINT、商用フィード、ISAC、カスタムインテリジェンス、内部テレメトリなど)から取り込みます。

成果: 明確な包含基準とアナリストの注釈を含む優先順位付けされたウォッチリスト。

ステージ02:アクターとマルウェアの追跡

目標: 進化するTTPとインジケータに追いつきながら、ノイズをフィルタリングします。

方法: 適応型ウォッチリストを維持し、受信レポートをトリアージし、IOCとTTPにタグ付けしてSIEM/EDR/SOARに配布します。自社の業界を積極的に標的にする敵対者に焦点を当てます。OpenCTIはMITRE ATT&CKフレームワーク上に構築されており、これは実世界の攻撃で観察された敵対者の戦術と技術のグローバルにアクセス可能な知識ベースです。OpenCTIのナレッジグラフモデルは、アクター、キャンペーン、マルウェア、技術、悪用された脆弱性をリンクする強力な可視化を提供します。信頼性スコアリングと関係マッピングを提供して、最も重要な脅威を表面化し、共有インテリジェンスワークフローでチーム間で協力できます

成果: アクティブな脅威の継続的に更新されるビューと、プログラムの進捗を示すステークホルダー向けの自動化されたレポート。

ステージ03:TTPとレポートのマッピング

目標: 攻撃者の行動が防御を上回る場所、特にクラウド、コンテナ、CI/CD、アイデンティティ全体で確認します。

方法: 高度持続的脅威(APT)と日和見的攻撃者は、クラウドネイティブアーキテクチャによって作成された拡大した攻撃対象領域をますます標的にし、マルチクラウド環境の設定ミスを利用し、コンテナエスケープの脆弱性を悪用し、悪意のあるコードでCI/CDパイプラインを汚染し、盗まれた認証情報とAPIキーを通じてアイデンティティベースの攻撃を実行しています。しかし、すべての脆弱性が組織にとって同等に危険というわけではないため、実際に標的となる敵対者によって積極的に悪用されている脅威に焦点を当てる必要があります。OpenCTIのようなプラットフォームは、CVEスコアだけでなく脅威インテリジェンスによって駆動されるリスク評価の重要なイネーブラーとして機能します。

成果: 敵対者エミュレーションと検知エンジニアリングの準備が整った優先順位付けされたTTPリスト。

ステージ04:敵対的エクスポージャー検証

目標: セキュリティコントロールが設計どおりに検知し対応するかどうかを証明します。

方法: TIDにおけるセキュリティコントロールのテストは、汎用的な脆弱性スキャンやコンプライアンスチェックを超えて、組織を標的とする特定の敵対者の行動を防御が実際に阻止するかどうかを検証します。OpenAEVはSTIX 2.1を介してOpenCTIから直接脅威インテリジェンスを受け取り、汎用的なプレイブックではなく、実際の脅威ランドスケープに基づいて攻撃シナリオを生成します。OpenAEVを利用して、最も可能性の高い脅威アクターが採用する正確な技術をエミュレートするパープルチーム演習、侵害・攻撃シミュレーション、アトミックレッドチームテストを設計および実行できます。さらに、OpenAEVは技術的テストとテーブルトップおよび危機管理演習も組み合わせているため、セキュリティツールだけでなく、プロセスと人員もテストできます。

成果: 後退をキャッチし、検知を検証し、エンジニアリング修正を通知する継続的なフィードバックループ。

ステージ05:コントロール検証と投資

目標: インテリジェンスとテストを、ターゲットを絞った修復と予算決定に変換します。

方法: ギャップが特定されても、修復はサイロ化されていますが、TIDは進捗とセキュリティ体制の改善を時系列で追跡するための継続的なサイクルを必要とします。OpenAEVの時系列および履歴スナップショットを使用して、カバレッジのトレンドとリスク削減を示すことができます。OpenAEVからの修復ガイダンスを適用して、構成を調整し、ルールを更新し、アップグレードまたは交換を計画します。OpenCTIとOpenAEVの組み合わせを使用した継続的な検証は、前例のない精度で戦略的投資とアーキテクチャ決定を通知するフィードバックループを作成します。これらの洞察の定量化可能な性質により、CISOは特定のリスク削減メトリクスで予算要求を正当化し、実際の敵対者の影響に基づいてエンジニアリング努力に優先順位を付けることができます

成果: 日々のレジリエンスを向上させ、四半期計画を通知するエビデンスに基づく優先順位付け。

四半期レビュー

戦略を再調整し、経営陣との整合性を維持するために、主要なステークホルダーと共有する四半期ごとの演習としてこれを行うことをお勧めします。これにより、脅威インテリジェンスがセキュリティ検証の優先順位を直接駆動するクローズドループシステムが作成されます。より広範なCTEMリズムの一部として、追跡された脅威、ビジネスの優先順位、リスク許容度を再検討します。

成果: ビジネスリスクと敵対者の現実に整合し続ける生きたプログラム。

TIDの準備はできていますか?

TIPは概念的には完全に理にかなっていますが、運用化には次のものが必要です:

OpenCTIのような一元化された脅威インテリジェンスプラットフォーム
インテリジェンスとセキュリティツール間の統合
OpenAEVのようなツールによる継続的な脅威主導の検証機能
CTI、SOC、セキュリティエンジニアリングチーム間の協力

機能 | 従来型脅威インテリジェンスシステム | 従来型侵害・攻撃シミュレーション/ペネトレーションテスト | Filigran XTM (OpenCTI + OpenAEV)

脅威インテリジェンス | ✅ あり | ❌ なし | ✅ あり(300以上のソース、AI駆動)

STIX 2.1ネイティブ | ⚠️ 一部、いくつか | ❌ なし | ✅ 100%準拠、ロックインなし

MITRE ATT&CKマッピング | ✅ あり | ✅ あり | ✅ あり

脅威主導の検証 | ❌ なし | ⚠️ 汎用的なシナリオ | ✅ CTI主導、実際の敵対者TTP

継続的フィードバックループ | ❌ なし | ❌ なし | ✅ インテリジェンス ↔ 検証統合

オープンソース + エンタープライズ | ⚠️ まれ | ❌ なし | ✅ コミュニティイノベーション + エンタープライズ拡張性

TIDを活用して、従来のセキュリティライフサイクル(保護/検知/対応)から、セキュリティコントロールのギャップをプロアクティブに発見し、サイバーリスクを削減することへと会話をシフトします。TIDの実証的アプローチは、「1,000万件の攻撃をブロックした」から「当社のセクターを積極的に標的とするランサムウェアグループが使用する技術の85%を検知および阻止でき、残りの15%のギャップを埋めるために何をするかを示す」へと、重要なメトリクスを提供します。

セキュリティチームのTID準備状況を評価したいですか? MITREはオンライン自己評価を提供しており、必要な人材、プロセス、テクノロジーを含む、確立された能力を持つ各コンポーネントを選択できます。今すぐ試してください!

TIDに関する当社の見解と、どのようにお手伝いできるかについて喜んでお話しさせていただきます。

オンデマンドウェビナーを視聴する

脅威インフォームド・ディフェンス:インテリジェンスを意思決定への確信に変える

要約