脅威インテリジェンスのライフサイクル｜各フェーズとベストプラクティスを解説
脅威インテリジェンスのライフサイクルを理解しやすいフェーズに分解
著者
0 分で読めます
脅威インテリジェンスのライフサイクルとは？
脅威インテリジェンスのライフサイクルとは、潜在的なサイバー脅威に関する証拠に基づくインテリジェンスを収集し、その情報を活用して防御を構築し、プロアクティブに対応するとともに、攻撃が成功した場合は調査して、その結果から学び、インテリジェンスを改善するまでの一連のプロセスです。
世界各地で、サイバー脅威は頻度・巧妙さの両面で増大しています。企業はそれに応じて、システムの脆弱な箇所や、発生する可能性・被害の大きさが特に高い脅威、そして安全な環境を実現するために検知・対応の手法をどう調整すべきかを把握できる、より詳細な脅威インテリジェンスを獲得する必要があります。
脅威インテリジェンスのライフサイクルはいつ活用すべきですか？
理想的には、脅威インテリジェンスは継続的なサイバーセキュリティ戦略の一部であるべきです。既存および潜在的な脅威に関するデータを継続的に収集・分析することで、既知・未知の攻撃者からシステムを守る組織の能力が高まります。
自社のセキュリティ体制がまだ整い始めたばかりでも、脅威インテリジェンスのライフサイクルの枠組みに沿って取り組むことで、より深い洞察と迅速な対応につながります。脅威インテリジェンスのライフサイクルは、サイバー犯罪者に効果的に対抗するためのサイバーセキュリティ防御を構築するうえで必要となる基本的なステップを示します。
脅威インテリジェンスのライフサイクルから恩恵を受けるのは誰ですか？
大きな視点で見ると、組織内のすべての人が脅威インテリジェンスのライフサイクルから恩恵を受けます。侵害による直接的な影響を最も受けるのはCISOや取締役会であることが多いものの、システムへの攻撃は波紋のように広がり、あらゆる部門の全員に影響を及ぼします。
保護対象の観点から見ると、脅威インテリジェンスのライフサイクルによって最も恩恵を受けるのは、機密データ、独自のデジタル資産、システムの機能です。これらの資産の価値を数値化するのは困難です。そのため、ハッカーの標的になりやすいのです。
開発者に愛され、セキュリティチームから信頼される。
Snykの開発者ファーストのツールは、ガバナンスやコンプライアンスのニーズに応える、統合された自動化セキュリティを提供します。
脅威インテリジェンスのライフサイクルを構成する6つの段階とは？
脅威インテリジェンスのライフサイクルには、一般に6つの段階があるとされています。これらの段階は循環するため、第6段階が最終ステップではありません。第1段階へと戻り、サイクルを繰り返します。
1. 要件の定義
さらに、組織がセキュリティを左にシフトし、継続的に実施する現在の能力についても確認しましょう。セキュリティはソフトウェア開発ライフサイクル（SDLC）に組み込まれていますか？組織でDevSecOpsを実現するために、どのような改善が必要でしょうか？
この段階では、脅威インテリジェンスのライフサイクルにおける役割分担を明確にすることも重要です。各段階の監督責任者は誰で、実務を担うのは誰でしょうか？
2. データの収集
このステップは「偵察任務」と考えるとよいでしょう。目的は、潜在的な脅威の侵入経路、既存の脆弱性、脅威アクターがシステムへの不正アクセスに利用できる公開情報について、できる限り多くの情報を集めることです。
情報収集先としては、オンラインニュースやブログ、フォーラムやコミュニティ、ネットワークのイベントログなどがあります。脆弱性スキャナーも、アプリケーションの弱点を特定するうえで役立つツールです。
3. データの処理
脅威インテリジェンスのライフサイクルにおける次のステップは、データの処理です。分析できる形式にするため、生データを次のように変換する必要があります。
重複の削除
構造化
復号
翻訳
分類と優先順位付け
大量のデータがある場合、これらの作業に非常に時間がかかるのが難点です。しかし、脅威インテリジェンスの判断材料となる、正確で活用可能な情報を得るために取り組む価値はあります。
4. 分析
この段階の鍵は、行動につなげることです。データや調査結果をインテリジェンスへと変換しますが、実行可能な意思決定に役立たなければ意味がありません。この段階で答えを導き出せる質問には、次のようなものがあります。
最も大きな損失につながる可能性がある脅威は何か？
最も発生する可能性が高い脅威は何か？
最もリスクの高い資産は何か？
セキュリティプロトコルを改善できるのはどこか？
より強固な保護を実現するために、リソースを再配分・削減・強化するにはどうすればよいか？
セキュリティ分析は、脅威の予防に向けたプロアクティブなアプローチを構築する重要な手段です。これは脅威インテリジェンスの重要な要素でもあります。データを詳しく調べ、自社が適切に対応できている点と、問題のあるセキュリティギャップが存在する箇所を正確に把握しましょう。
5. 共有
重要な問いへの答えが見えてきたら、関係者に共有しましょう。まずは、得られた知見に優先順位を付けます。レポートにすべての潜在的な弱点を盛り込むことはできないため、特に価値が高く実行につながるデータと、最も重要な全体傾向に絞りましょう。そのうえで、調査結果と推奨事項を関係者にわかりやすく伝えるレポートやプレゼンテーションを作成します。
6. フィードバックと継続的な改善
脅威インテリジェンスのライフサイクルの最終段階、つまり次のサイクルの最初の段階となるのは、調査結果を評価し、次のステップを決めることです。脅威インテリジェンスのライフサイクル自体の実施状況も評価します。レポートを共有した後に自由回答形式の質問をするほか、月次または四半期ごとのアンケートを実施する方法もあります。
効果的な脅威インテリジェンスには、継続的な改善が欠かせません。プロトコル、ツール、プロセス、戦略を定期的に見直して変更しなければ、セキュリティ体制の改善は進みません。
脅威インテリジェンスにはどのような種類がありますか？
脅威インテリジェンスには、主に戦略、戦術、技術、運用の4種類があります。それぞれの違いを理解すれば、調査結果を分類し、データの収集・処理に関する指針を定めやすくなります。
脅威インテリジェンスの4つのタイプ
戦略
戦略的脅威インテリジェンスは、広範かつ高レベルな情報です。組織全体のセキュリティ体制、総合的なリスクプロファイル、セキュリティ戦略の策定に役立ちます。自社やサイバーセキュリティへの取り組みに影響を与える、社会・業界・政治の動向も含めるべきです。主に経営陣、管理職、CISOが活用します。
戦術
戦術的脅威インテリジェンスは、攻撃経路、サイバーセキュリティ能力、侵害につながる可能性のある情報漏えいなど、対象を絞った情報です。サイバーセキュリティの専門家、アーキテクト、管理者が活用します。
運用
運用面の脅威インテリジェンスを収集することで、過去の脅威や将来起こり得る脅威の背景を把握できます。人の行動、ソーシャルメディア、現実世界の出来事から収集する、実際の活動に基づく脅威インテリジェンスです。セキュリティ責任者やインシデント対応担当者が活用します。
技術
技術的脅威インテリジェンスは、組織が警戒すべき具体的な攻撃の兆候に関する情報で、特にソーシャルエンジニアリング対策に役立ちます。サイバー攻撃は常に進化しているため、この種の情報は頻繁に更新する必要があります。
脅威インテリジェンスのライフサイクルにおけるSnykの役割
多くの組織が、脅威インテリジェンスのライフサイクルにおけるデータ収集・処理の段階で、潜在的な脆弱性を特定するための正確で包括的な情報源を求めています。Snykは、Intel Vulnerability Databaseを基盤とするその情報源です。
開発者に愛され、セキュリティチームから信頼される。
Snykの開発者ファーストのツールは、ガバナンスやコンプライアンスのニーズに応える、統合された自動化セキュリティを提供します。
Snykは、多くの脆弱性が公開データベースに登録される前に検出します。Snykのデータベースは、Snyk Security Researchチームの専門家、研究者、アナリストが管理しており、誤検知を低く抑えながら高い精度を維持しています。チームは複数の公開情報源を活用し、優先順位付けや修正の判断に役立つ、専門家が精選したデータと拡充されたメタデータを提供します。
実際、NVDに登録されたJavaScriptの脆弱性の92%は、まずSnyk Vulnerability Databaseに登録されました。こちらから一部をご覧いただけます。
またはSnykのデモをリクエストして、開発者向けツールやワークフローとの連携により、脆弱性を自動的に修正する方法をご確認ください。