サイバー脅威インテリジェンスライフサイクルを理解する

今日の脅威環境において、サイバー脅威は驚くべきペースで出現し進化しています。これは脅威アクターの戦術、技術、手順(TTP)の進化だけでなく、攻撃対象領域の拡大によるものでもあります。これまで以上に、組織はプロアクティブな姿勢を採用し、直面する無数の脅威に先んじることが不可欠となっています。おそらく皆さんはこう自問していることでしょう。これをどのように実現できるのか?CISOまたはリーダーシップチームの一員として、組織を効果的に保護するにはどうすればよいのか?その答えは脅威インテリジェンスにあります。

成熟した脅威インテリジェンスプログラムは、組織が戦略的リーダーシップレベルから運用・戦術レベルまで、すべてのレベルで情報に基づいた意思決定を行うことを可能にします。このプログラムは、脅威インテリジェンスライフサイクルを日々のセキュリティ運用に統合し、インテリジェンスアナリストが現在および新興の脅威トレンドに関する洞察に満ちたレポートを作成できるようにします。さらに、これらのアナリストは、脅威ハンティング、パープルチーミング、および各種セキュリティツールを使用した侵害指標のブロッキングのための運用インテリジェンスを生成します。

本記事は、インテリジェンスサイクルのステップと、各ステップでFiligranのOpenCTIプラットフォームを活用する方法を詳しく説明することで、組織が堅牢な脅威インテリジェンスプログラムを実装する手助けをすることを目的としています。

OpenCTIにおけるサイバー脅威インテリジェンスライフサイクル

計画と方向付け

優先インテリジェンス要件(PIR)

サイバー脅威インテリジェンスライフサイクルの最初のステップは、計画と方向付けです。このフェーズでは、意思決定者が脅威を軽減するために理解しなければならない重要なインテリジェンスニーズである優先インテリジェンス要件(PIR)を作成します。これらのPIRを特定することで、組織は脅威環境を理解し、リスクを軽減するためにプロアクティブに行動するための戦略的ステップを踏むことができます。PIRはまた、組織が最も緊急性の高い課題に優先順位を付けることを可能にします。これらの要件は本質的に戦略的であり、インテリジェンスギャップまたは情報の必須要素(EEI)と呼ばれるより具体的な質問に分解することができ、それらに答えることで全体的なPIRに対処できます。

たとえば、PIRは「脅威アクターは私の業界をどのようにターゲットにしているか?」である可能性があります。対応するインテリジェンスギャップは、「脅威アクターが私の業界に対して伝統的に使用してきた具体的なTTPは何か?」となるでしょう。このレベルの特異性は、最も重要な領域に努力を集中させるのに役立ちます。

PIRはなぜ重要か?

PIRは、組織が直面する最も重大な脅威に対して優先順位を付け、収集を集中させるのに役立ち、リーダーシップの質問に対処することで、経営幹部が情報に基づいた意思決定を行うことを可能にします。すべてが優先事項であれば、何も優先事項ではありません。OpenCTIでは、PIRを文書化するためにReports、Groupings、またはRequest for Informationコンテナを使用することを推奨しています。

GroupingコンテナにおけるPIR

収集計画

PIRとインテリジェンスギャップが特定されたら、次のステップは収集計画を作成することです。この計画は、現在使用しているソースと、それらのソースが特定されたPIRにどの程度対処できるか、または対処できる可能性があるかの評価を概説します。現在のソースが不十分である場合、チームはどのソースがニーズを満たす可能性があるか、どれが満たさないか、どの新しいソースを追加できるかを評価する必要があります。その後、チームはこれらの追加ソースをOpenCTIプラットフォームに統合することを提案できます。ソースには、オープンソースデータ、プレミアムフィード、TAXIIフィード(ISACからのもの)、EDRやSIEMなどの内部セキュリティツールへのコネクタが含まれる可能性があります。

収集

収集計画が整ったら、次のフェーズはインテリジェンスの収集です。アナリストは、収集されたレポートが確立されたPIRに対処しているかどうかを継続的に評価する必要があります。OpenCTIでは、さまざまなフィードベンダー、TAXIIフィード、オープンソースインテリジェンスへのコネクタを通じて収集が行われます。OpenCTIは、ラベルなどPIRに関連する指定されたフィルタに基づいて収集を自動化することもできます。

ラベルを使用した収集の自動化

Playbookを使用した収集の自動化

処理

データ収集の後、次のステップは処理です。これには、情報をフィルタリングし、使用可能な形式に整理することが含まれます。収集されたデータは、指標、レポート、アーティファクト、侵入セットなどを含むさまざまな形式で提供される可能性があります。OpenCTIでは、アナリストはPIRに関連する情報を分類し、すべての関連データがさらなる分析のために簡単にアクセスできるようにすることができます。

Groupingコンテナ内のPIRに収集されたエンティティを結び付ける例

Groupingコンテナ内のPIRに収集されたエンティティを結び付ける例 – 詳細

分析

データが処理され整理されたら、アナリストはOpenCTIの調査/エンリッチメントポータルや仮説検証などの構造化分析技法などの分析ツールを使用して情報を評価します。その後、PIRまたはそれに関連するEEIに対する分析的結論に到達します。アナリストは、「脅威インテリジェンスチームは、Scattered Spiderが今後6~12ヶ月間に我々の組織をターゲットにする可能性が高いと評価する」などの評価言語を使用すべきです。これは軽減されなければ重大な影響を及ぼす可能性があります。このステージはまた、証拠/情報(指標、TTP、観測可能事象)がインテリジェンス(PIRに対処し意思決定を支援する実用的な洞察)へと移行する時点でもあります。

OpenCTIでは、アナリストは複数の方法でこの分析を実施できます。これには、トップの脅威アクターをコンテナに配置し、調査を開始し、これらのアクターが使用するマルウェアやツールを特定またはピボットすることによって、プロアクティブに調査することが含まれます。この発見は脅威ハンティングと防御措置に情報を提供します。アナリストは、ReportsまたはGroupingsやRequests for Information内のcontentタブを介して、OpenCTIから直接、評価言語を使用して完成したインテリジェンスレポートを起草し作成できます。

調査グラフィック

配布

分析の後、発見は関連するステークホルダーに配布されます。配布は、リーダーシップ向けの戦略的レポートからセキュリティツール向けの戦術的インテリジェンスまで、さまざまな形態を取ることができます。

OpenCTIは、アナリストがレポートをエクスポートしたり、ライブストリームやコネクタを介して統合されたセキュリティツールに戦術的結果を送信したりできるようにすることで、このプロセスを促進します。

フィードバック

インテリジェンスライフサイクルの最終的で、しばしば見過ごされるステップはフィードバックです。インテリジェンスを配布した後、アナリストがステークホルダーからフィードバックを収集し、提供されたインテリジェンスの有効性を評価することが重要です。組織は、分析がPIRに対処したかどうか、および戦術的インテリジェンスが平均検出時間(MTTD)や平均対応時間(MTTR)などのメトリクスを改善したかどうかを判断することで、影響を評価できます。最後に、インテリジェンスプログラムのメンバーは、リーダーシップチームやインテリジェンスを受け取った組織内の他のチームからフィードバックを要求することができます。

インテリジェンスサイクルは反復的ですが、アナリストが前のステップに戻る必要がある場合もあります。たとえば、処理中に、アナリストが追加情報の必要性を特定した場合、より多くのデータを収集するために収集フェーズに戻る可能性があります。

結論

今日のサイバーセキュリティ環境において、脅威インテリジェンスプログラムの構築は不可欠であり、脅威インテリジェンスライフサイクルの詳細な理解がその中核となります。このようなプログラムは、組織がセキュリティの取り組みに優先順位を付け、リアクティブな「もぐら叩き」アプローチから脱却することを可能にします。これは、脅威のプロアクティブな特定、評価、軽減を促進し、最終的に組織を潜在的な財務的および評判上の損害から保護します。

最後に、脅威インテリジェンスプログラムは、組織のリーダーシップが情報に基づいたサイバーセキュリティおよびビジネス上の意思決定を行うことを可能にします。

ご質問、リクエスト、コメント、フィードバックがございましたら、お気軽にSlackでご参加ください!