メンテナー
Axel Moreau
技術レビュー
Samuel Hassine
最終更新
2026年8月25日
次回レビュー予定
2027年2月25日
要点
- サイバー脅威インテリジェンスとは、誰かの実際の問いに答えるために分析された知識であり、生のインジケーターフィードではありません。
- インテリジェンスは、方向付け・収集・処理・分析・配布・フィードバックというサイクルで生産されます。最も多い失敗は方向付けの省略です。
- CTIには戦略・運用・戦術・技術の4つのレベルがあり、それぞれ異なる対象者の異なる問いに答えます。
- アナリスト1人、明確な要件、少数の無料ソース、OpenCTIのようなオープンソースプラットフォームで始められます。目標は量ではなく関連性です。
セキュリティチームの仕事は判断の連続です。どのアラートをエスカレーションするか、どの脆弱性を最初に修正するか、次にどの防御に投資するか。サイバー脅威インテリジェンス（CTI）は、こうした判断の視界を良くするために存在します。攻撃者について知り得ること - 何者か、何を狙うか、どう動くか - を集め、特定の誰かが行動に移せる形に変える営みです。
本ガイドはゼロから始める人のために書かれています。CTIを平易な言葉で定義し、インテリジェンスが実際にどう生産されるかを順に追い、STIX・TAXII・MITRE ATT&CKという頭字語を解きほぐし、小さく始めるための率直なアドバイスで締めくくります。
脅威データ・脅威情報・脅威インテリジェンスの違い
この3つの用語はしばしば同じ意味で使われますが、その違いこそがこの分野の存在理由です。
- 脅威データは未処理の生データです。IPアドレス、ファイルハッシュ、ドメイン名など。ハッシュ単体では、それが自組織に関係するかどうかは何も分かりません。
- 脅威情報は、コンテキストが付与されたデータです。このハッシュはこのマルウェアファミリーに属し、このキャンペーンで観測され、このローダーで配布された、というように。
- 脅威インテリジェンスは、誰かが実際に発した問いに照らして分析された情報です。このキャンペーンは自分たちのような組織を狙っているのか、それを受けて今週何を変えるべきか？
この最後のステップ - 実際の問いに照らした分析 - こそ、インテリジェンスと称する多くのフィードが省略している部分です。インジケーターのフィードはデータ配信にすぎません。インテリジェンスは、それによって人間の判断が容易になったときに初めて存在します。
インテリジェンスサイクルを順に追う
成熟したCTIチームはサイクルに従って活動します。通常5〜6のフェーズで説明され、名称はフレームワークによって異なりますが、論理は変わりません。
- 方向付け. どの問いに、誰のために答えるのかを決めます。これがインテリジェンス要件です。例：欧州の医療機関を狙うランサムウェアグループはどれか、その手口のうち自組織に通用するものはどれか？
- 収集. 要件に沿って素材を集めます。オープンソースの報告、商用フィード、ISACなどの共有コミュニティ、ベンダーリサーチ、そして自組織のテレメトリとインシデントデータです。
- 処理. 収集したものを扱える形に正規化します。重複排除、翻訳、一貫したフォーマットへの構造化。ここでSTIXが真価を発揮します。
- 分析. 処理済みの情報を判断に変えます。これは自分たちにとって何を意味するのか、確信度はどの程度か、その結果として何を変えるべきか。この分野の人間的な核心です。
- 配布とフィードバック. 各対象者が必要とする形 - ブリーフィング、レポート、検知ルール、ブロック対象のインジケーター - で成果を届け、役に立ったかを確認します。フィードバックは方向付けに戻り、サイクルが繰り返されます。
新しいプログラムが最も多くつまずくのは最初のステップです。問いについて誰も合意しないまま収集を始めてしまう。方向付けなき収集が生むのは、洞察ではなく量です。
脅威インテリジェンスの4つのレベル
CTIは通常4つのレベルに分けられます。この区分が重要なのは、各レベルが異なる対象者の異なる問いに、異なる時間軸で答えるからです。
レベル | 答える問い | 主な対象者 | 時間軸 |
|---|---|---|---|
戦略 | 誰が、なぜ我々を脅かすのか。どのリスク傾向が重要か。 | 経営層、取締役会、リスクオーナー | 数か月〜数年 |
運用 | 今、どのキャンペーンとアクターが我々に対して活動しているか。 | SOCリーダー、IRチーム、ハントリード | 数週間〜数か月 |
戦術 | それらのアクターはどのTTPを使い、我々はそれを検知できるか。 | 検知エンジニア、スレットハンター | 数日〜数週間 |
技術 | どのインジケーター（IP、ハッシュ、ドメイン）を照合すべきか。 | SOCアナリスト、セキュリティツール | 数時間〜数日 |
よくある罠は、技術レベルのインテリジェンス（インジケーターフィード）を購入して、そこに戦略的な答えを期待することです。インジケーターは数日で陳腐化しますが、攻撃の動機はそうではありません。
STIX、TAXII、MITRE ATT&CKを平易な言葉で
STIX（Structured Threat Information eXpression）は、脅威を記述するための共通フォーマットです。脅威アクター、キャンペーン、インジケーター、そしてそれらの関係が、どのツールでも同じ意味を持つ共有語彙です。インテリジェンスが知識だとすれば、STIXはそれを書き記す文法です。
TAXIIはSTIXを運ぶ輸送手段です。プラットフォーム同士がインテリジェンスのコレクションを配信・購読するためのプロトコルです。STIXが手紙なら、TAXIIは郵便サービスです。
MITRE ATT&CKは、コミュニティが維持する攻撃者行動の公開カタログです。実際の観測に基づき、タクティクス（攻撃者が達成しようとすること）とテクニック（その方法）を整理しています。防御側に共通の地図を与えるもので、「スケジュールタスクで何か巧妙なことをされた」と言う代わりにT1053と言えば、誰もが自分の検知でカバーできているかを確認できます。
脅威インテリジェンスは誰が使うのか
インテリジェンスは、誰かが使って初めて価値を持ちます。実務では、CTI機能は性格の大きく異なる複数の顧客に仕えます。
- SOCアナリストは技術インテルでアラートを強化します。このIPは既知のインフラか、このハッシュは既知のマルウェアか？
- インシデント対応チームは運用インテルで、相手が誰である可能性が高く、そのアクターが次に何をしがちかを把握します。
- 検知エンジニアとスレットハンターは、ATT&CKにマッピングされたTTPという戦術インテルで、どの検知とハントを構築するかを決めます。
- 脆弱性管理チームはインテルで優先順位を付けます。数千件の未対応CVEのうち、自組織を狙うアクターが実際に悪用しているのはどれか？
- 経営層とリスクオーナーは戦略インテルで予算と体制の舵を取ります。
インテリジェンスはプロダクトであって、フィードではありません。フィードは全員に同じバイト列を届けますが、プロダクトは特定の利用者の判断に合わせて形作られます。下流の誰の判断も変わらなかったなら、届けたのはデータであってインテリジェンスではありません。
導入の実態
正直な期待値を持つことが助けになります。業界調査 - 最もよく引用されるのは毎年のSANS CTIサーベイです - は長年同じ傾向を示しています。CTIはニッチな専門分野から主流の機能になりましたが、成熟度にはむらがあります。
数字の背後にあるパターンはこうです。多くの組織はインテリジェンスを消費していますが、方向付けしている組織ははるかに少ない。その差を生むのが要件であり、だからこそサイクルは要件から始まるのです。
大きなチームなしで始めるには
脅威インテリジェンスを始めるのに、脅威インテリジェンスチームは必要ありません。必要なのは3つです。書き出した1〜2件のインテリジェンス要件、実際に読む少数のソース、そして学んだことを構造化して蓄積する場所 - ブックマークやチャットの中に霧散させないために。
この最後の部分こそ、脅威インテリジェンスプラットフォームの出番です。OpenCTIのようなオープンソースの選択肢なら、知識を構造化されたSTIXオブジェクトとして保存し、無料ソースを接続し、すべてをATT&CKにマッピングして、行動する人とツールに共有できます。1つの要件、週1回の成果物 - 半ページのメールでも構いません - そして読んでくれる1人の利用者から始めましょう。役立つという証拠を土台に育てていくのです。
メンテナー
Axel Moreau
Website & SEO Manager
技術レビュー
Samuel Hassine
CEO and co-founder