IoC（侵害の痕跡）とは何か、どのように機能するのか、そして統合方法

IoC（Indicators of Compromise：侵害の痕跡）は、悪意のある活動に関連する兆候を特定するために使用される技術的な指標です。実際には、CTIのIoCデータベースは、プラットフォームで監視されている脅威に関連付けられたハッシュ値、IPアドレス、ドメインなどの証拠を収集します。

これらの指標は、セキュリティチームが疑わしい事象を検証し、調査を強化し、技術的な証拠をCTI内で既知の攻撃キャンペーン、脅威アクター、および脆弱性と関連付けるのに役立ちます。

CTIでは、IoCデータベースは侵害の痕跡を集約した包括的なリポジトリとして機能します。特定のBulletinから利用することも、技術的な調査ワークフローの一部として直接利用することもできます。

各IoCには、分析に役立つ情報が含まれている場合があります。たとえば、証拠の信頼性を示す**「Confidence score」や、IoCが検出された日時を示す「Detected on」**があります。

インターフェースでは、Confidence level、Tag、Type、DetectedでIoCをフィルタリングすることもでき、大量のデータを絞り込み、より重要な指標に集中できます。

また、IoCはBulletinにも関連付けられています。Bulletinをフォローすると、その脅威に関連する新しいIoCが追加された際にアラートを受け取ることができ、継続的な技術的追跡ポイントとして活用できます。

IoCの信頼度は、その指標が悪意のあるものであるという分類を、利用可能な証拠がどの程度裏付けているかを示します。

信頼度は、複数の情報源を対象とした分析によって算出され、複数のセキュリティベンダーがそのIoCを悪意のあるものとして識別しているかどうかが考慮されます。その情報は内部スコアリングシステムにマッピングされ、Low、Medium、またはHighのいずれかに分類されます。

Axurでは、ワークフローや利用するツールに応じて、IoCを取得・統合するためのさまざまな方法を提供しています。

IoCをプログラムから直接利用する場合は、IoC Collection APIが主要なインターフェースとなります。この方法は、カスタム統合、社内自動化、SIEM、およびIoCコレクションへの制御されたプログラムアクセスを必要とするエンリッチメントワークフローに最適です。

OpenCTI向けには、OpenCTIのネイティブコネクタを利用して、カスタム開発なしでAxurのIoCをTAXII経由で取り込む方法を説明した専用ガイドがあります。この手順では、OpenCTIでTAXII Feedを作成し、Axurのドキュメントに記載されているエンドポイントおよびコレクションIDを使用し、プラットフォームのトークンで認証を行います。

MISP向けには、AxurプラットフォームでPullモードのIOC Feedを作成し、それをMISPでネットワークフィードとして利用する方法を説明した専用ガイドがあります。このガイドでは、APIキーの作成、PullモードのIOC Feedの生成、format=csvパラメータ付きのフィードURLの使用、およびMISPで認証ヘッダーをBearer YOUR_AXUR_API_KEYとして設定する方法を説明しています。

CTIでは、CTI TAXII ServerおよびIoC Collection APIを含む、脅威インテリジェンスを構造化された形式で利用するためのAPIを提供しています。

CTI TAXII Serverは、製品で提供されるBulletinを含むCTIインテリジェンスを構造化された形式で取得するためのAPIインターフェースです。

このドキュメントは、他のプラットフォームへインテリジェンスを提供したい場合、Bulletinやインテリジェンスを外部リポジトリに集約したい場合、あるいは独自の脅威インテリジェンスワークフローへCTIデータを組み込みたい場合の主要なリファレンスです。

IoC統合に関する主なリファレンス：

ご不明な点がございましたら、お気軽に [email protected] までお問い合わせください 😊