脅威インテリジェンスプラットフォーム：IOCフィード、ダークウェブ監視、APT追跡

脅威インテリジェンスプラットフォームは、サイバー脅威、攻撃手法、脅威アクター、侵害指標（IOC）に関する情報を組織に提供し、予防的な脅威検知と対応を可能にします。Cypher Sentinelの脅威インテリジェンス機能には、複数の脅威フィードとの連携、組織に関する脅威のダークウェブ監視、高度な持続的脅威（APT）の追跡、マルウェアインテリジェンス分析が含まれ、新たな脅威の迅速な検知と対応を可能にします。

組織は、国家、組織化されたサイバー犯罪集団、国家の支援を受けたハクティビストなど、巧妙な脅威アクターに直面しています。新たな攻撃手法、新たな脆弱性、新たなマルウェアの亜種が絶えず現れ、これらの脅威は急速に進化します。こうした脅威を効果的に防ぐには、組織が具体的に直面する脅威のコンテキストを提供する、行動に結び付く脅威インテリジェンスが必要です。

脅威インテリジェンスは、攻撃や脅威アクターに関する生データを行動につながる知見に変え、組織が脅威環境を理解し、防御への投資に優先順位を付け、攻撃を早期に検知し、侵害が発生した際に効果的に対応できるようにします。理解していない脅威から組織を守ることは不可能であるため、これは不可欠です。

脅威インテリジェンスとは何ですか。

脅威インテリジェンスは、組織が脅威を理解して効果的な防御を実装できるようにする、サイバー脅威、攻撃手法、脅威アクター、侵害指標に関する情報です。脅威インテリジェンスには、戦術的情報（特定のマルウェアシグネチャ、IOC、攻撃ツール）、運用的情報（攻撃キャンペーン、集団が用いるTTP）、戦略的情報（脅威アクターの動機、能力、標的）が含まれます。

効果的な脅威インテリジェンスには、行動可能であること（意思決定を支える）、関連性があること（組織への脅威に焦点を当てる）、適時であること（脅威が顕在化する前に利用できる）、正確であること（信頼できる情報源に基づく）が求められます。脅威インテリジェンスにより、組織は事後対応型の態勢（攻撃の発生時に対応する）から予防型の態勢（脅威を理解し、攻撃が起こる前に防御を実装する）へ移行できます。

• 戦術的インテリジェンス — 既知の脅威の検知を可能にする、具体的なIOCとマルウェアシグネチャ。
• 運用的インテリジェンス — 攻撃キャンペーン、戦術、特定の脅威アクターに関する情報。
• 戦略的インテリジェンス — 脅威環境、脅威アクターの能力、サイバー脅威に影響する地政学的要因の理解。

侵害指標（IOC）と検知

侵害指標（IOC）は、システムが侵害されているか攻撃を受けていることを示す痕跡です。IOCには、攻撃者が使用するIPアドレス、悪意あるドメイン名、マルウェアのファイルハッシュ、フィッシングキャンペーンで使用されるメールアドレス、侵害を示す行動パターンが含まれます。

セキュリティ研究者、政府機関、脅威インテリジェンスベンダーなどのさまざまな情報源からIOCを収集することで、組織は自らのシステムが悪意あるIPアドレスと通信したか、悪意あるファイルをダウンロードしたか、悪意あるドメインを訪問したかを確認し、侵害されたシステムを検知できます。IOCフィードは新たな指標の発見に応じて継続的に更新され、組織がほぼリアルタイムで脅威を検知できるようにします。

Cypher Sentinelは複数のIOCフィードと連携し、組織が自らの脅威ハンティングやインシデント調査に基づいて独自のIOCを追加できるようにします。システムがIOCと一致すると、Cypher Sentinelは自動的に通知し、迅速なインシデント対応を可能にします。

ダークウェブ監視とデータ侵害の検知

ダークウェブには、脅威アクターが盗んだデータ、マルウェア、ハッキングサービスを売買する市場やフォーラムがあります。ダークウェブ監視では、盗まれた認証情報、侵害により漏えいした機密データ、計画中の攻撃に関する議論など、組織に関係する脅威がないか、こうした市場やフォーラムを継続的に監視します。

ダークウェブ監視により、組織は盗まれたデータが広く悪用される前にデータ侵害を早期検知し、攻撃者がシステム侵害に使う前に流出した認証情報を特定し、悪用されている脆弱性を把握して、組織を狙う計画中の攻撃について早期警告を受けられます。

例えば、組織の従業員の認証情報がダークウェブで売りに出された場合、ダークウェブ監視は組織に通知し、攻撃者がアカウント乗っ取りに使う前にパスワードのリセットを強制できるようにします。同様に、組織の機密データがダークウェブ市場に現れた場合も、監視によって検知し、規制要件に従って影響を受けた顧客に通知できるようにします。

高度な持続的脅威（APT）の追跡と帰属分析

高度な持続的脅威（APT）は、特定の標的に対して長期の攻撃活動を行う、高度な技術と豊富なリソースを持つ脅威アクター（通常は国家）です。APTは、ゼロデイ攻撃、独自のマルウェア、戦略的な計画といった高度な手法を用い、長期的な目標を達成するために、標的のネットワーク内に長期間潜伏します。

APTの追跡には、脅威アクターの活動監視、攻撃を特定のAPTに帰属させる分析、その戦術と手法の分析、標的と目的の特定が含まれます。自らの分野を狙うAPTグループを理解することで、組織は特定の攻撃パターンに対する防御を実装し、リスクの最も高い脅威にリソースを優先的に配分できます。

APTの追跡には、APT29やLazarusなどの名称、出自、標的、使用ツール、戦術と手法を含む、既知のAPTグループに関する脅威インテリジェンスの維持が含まれます。これにより、組織は既知のAPTによる攻撃を認識し、適切な対応手順を実行できます。

脅威フィードの連携と自動化

最新の脅威インテリジェンスプラットフォームは、商用脅威インテリジェンス事業者、政府機関、セキュリティ研究機関、同業組織など、多様な情報源からの複数の脅威フィードと連携します。これにより、インターネット全体の脅威を包括的にカバーします。

脅威フィードの連携は自動化を可能にします。フィードからのIOCを組織のシステムと自動照合し、組織の脅威プロファイルに一致する脅威に自動で優先順位を付け、脅威フィードに基づく検知をきっかけに自動対応ワークフローを開始します。この自動化は、手動のプロセスに比べて脅威の検知と対応を大幅に迅速化します。

Cypher Sentinelは、複数の商用・公開脅威フィードと連携し、組織が自らの脅威環境に応じた独自のフィードを追加できるようにします。脅威フィードは新たな脅威が発見されるたびに継続的に更新され、Cypher Sentinelは最新のインテリジェンスを継続的な監視と分析に適用します。

マルウェア分析とインテリジェンス

マルウェア分析は、マルウェアサンプルを詳細に調べ、その機能、能力、意図を理解することです。マルウェアインテリジェンスは、新たなマルウェアの亜種が広く拡散する前の検知、マルウェアファミリーとその進化の理解、特定の脅威アクターへの帰属の特定を可能にします。

高度なマルウェア分析には、静的分析（実行せずにマルウェアのコードを調べる）、動的分析（管理された環境でマルウェアを実行し、動作を観察する）、行動分析（実行時にマルウェアが何をするかを理解する）が含まれます。この分析により、マルウェアの検知に役立つIOCや行動シグネチャを抽出できます。

Cypher Sentinelはマルウェア分析サービスと連携し、既知のファミリーに関するマルウェアインテリジェンスを維持して、マルウェアの迅速な特定と検知シグネチャの抽出を可能にします。

脅威研究と新たな脅威

予防的な脅威研究では、新たな脅威を積極的に探索し、新たな攻撃手法を分析して、脅威アクターの変化を理解します。セキュリティ研究機関や脅威インテリジェンス企業は、組織に影響する前に新たな脅威を特定するため、継続的に研究を行っています。

脅威研究の成果は、脅威レポート、ブログ、研究論文として公開され、組織が新たな脅威を知るために役立ちます。脅威インテリジェンスサービスを契約する組織には、自らの分野や組織に対する脅威に焦点を当てて選別された脅威インテリジェンスが提供されます。

Cypher Sentinelは、脅威研究と新たな脅威に関する情報へのアクセスを提供し、セキュリティチームが進化する脅威を把握して、それに合わせて防御を調整できるようにします。