Cyber Threat Intelligence（CTI） は、プラットフォームのサイバー脅威インテリジェンス機能です。実際には、脅威の状況を監視するレーダーのように機能し、攻撃、脆弱性、関連するシグナルを検出するとともに、それらの情報を組織のコンテキストと照合して、監視対象環境にとって最も重要な情報を特定します。

CTIと一般的なセキュリティニュースフィードとの最大の違いは、CTIが世界で起きている出来事を単に表示するだけではない点です。組織で利用しているテクノロジー、監視対象の資産、業界、その他のコンテキスト情報に基づいて脅威をフィルタリングし、大量の情報を実用的なインテリジェンスへと変換します。

CTIは、変化し続ける脅威環境の中で業務を行うサイバーセキュリティチームおよび MSSP（Managed Security Service Provider） 向けに設計されています。その価値は、数百もの信頼できる情報源から得られる情報を収集・統合・整理・フィルタリングし、対応や優先順位付けに役立つ関連性の高い情報を提供することにあります。

CTIが分析を開始する前に、まず組織の環境を把握する必要があります。そのため、最初のステップは監視したいテクノロジーを追加することです。この初期設定が行われていない場合、Threat Landscape は脅威の関連性を判断するための十分な情報を持たず、画面が空になったり、監視対象のテクノロジーが登録されていないことを示したりする場合があります。

テクノロジーを追加するには、Monitored Assets に移動し、Add Asset をクリックして Technologies を選択し、監視対象のテクノロジー名をカンマ区切りで入力します。また、CSVファイルなどの既存リストを、項目がカンマ区切りのままであればコピーして利用することもできます。

→ Monitored Assets

プラットフォームでは、テクノロジーに加えて、ドメインやサブドメインなどのホストも追加できます。この場合、CTIは公開されている攻撃対象領域（アタックサーフェス）を分析し、関連するIPアドレス、開放ポート、稼働中のサービス、既知の脆弱性、使用中の証明書などの情報を取得します。

テクノロジーと資産の設定が完了すると、Threat Landscape は汎用的な表示ではなく、組織の実際の環境を反映するようになります。これにより、関連する言及、監視対象環境に関連する脅威、注目すべき脆弱性、および分析対象環境に関連するアクティブな脅威アクターが表示されます。

初期設定が完了すると、Threat Landscape はCTIの日常的な運用ダッシュボードとなります。脅威の状況を整理し、現在どのような脅威が組織の環境に影響を与えているのか、世界的にどのような脅威が注目されているのか、そして何に優先的に対応すべきかを一目で把握できます。

→ Threat Landscape

画面の主なセクションには次のものがあります。

Threat Landscape は、次の3つの主要なフィルターによって制御されます。

これらのフィルターにより、CTIはより柔軟に利用できます。監視対象資産に直接影響する脅威を調査したり、より広範なサイバーセキュリティの動向を把握したり、自社に影響が及ぶ前の段階で業界全体に影響を与える脅威を監視したりすることが可能です。

Generate Summary ボタンを使用すると、特定の期間に公開された脅威レポート（Bulletin）の要約を自動生成できます。対象期間は 今日（Today）、昨日（Yesterday）、一昨日（Two days ago）、先週（Last week）、先月（Last month） から選択でき、いずれも My Technologies または The Whole World の分析範囲と組み合わせて利用します。

この機能は、個々の項目を一つずつ調査するのではなく、日次・週次・任意の期間の概要を素早く把握したい場合に役立ちます。つまり、「今日、何を知っておくべきか？」という問いに答えるための機能です。

小規模な環境であれば毎日 Threat Landscape を確認するだけでも十分な場合がありますが、CTIでは Monitoring Rules によって、よりスケーラブルな脅威監視を実現できます。これらのルールにより、特定の条件に基づいて脅威の追跡を自動化できます。

→ Monitoring Rules

ルールでは、監視対象のテクノロジーや資産、特定のマルウェア、脅威アクター、地域、業界、脅威の種類、リスクレベルなど、複数の条件を組み合わせることができます。

CTIには、一般的な利用例を示すために、あらかじめ以下のルールが用意されています。

ルールを作成しただけでは通知は有効になりません。アラートを受信するには、そのルールを Follow（フォロー） する必要があります。また、既定のルールを編集・削除したり、ニーズに応じて新しいルールを一から作成したりすることもできます。

ルールは、広範囲な条件にも、非常に詳細な条件にも対応できます。例えば、戦略的なテーマを継続的に監視するルールを作成する一方で、特定のCVE、国、キャンペーン、あるいは「国＋脅威タイプ＋重大度」といった条件を組み合わせたルールを作成することも可能です。

ルールをフォローすることで「何を監視するか」を定義できますが、「どのように通知を受け取るか」は決まりません。通知方法は Notification Preferences で設定する必要があります。

→ Notification Preferences

通知チャネルとして WhatsApp や メール を選択できます。WhatsAppを利用する場合は、電話番号の登録も必要です。

Monitoring Rules セクションで通知チャネルが1つも設定されていない場合、ルールをフォローしても通知は送信されません。

Bulletins You Follow には、現在フォローしている脅威レポートが表示されます。レポートは、フォロー中のモニタリングルールに一致した場合に自動で追加されるほか、調査中にスターを付けることで手動でも追加できます。

→ Bulletins You Follow

レポートをフォローすると、そのレポートに関連する新しい IoC や CVE が検出された際に通知を受け取ることができます。

レポートのフォロー・フォロー解除は、自分のアカウントのみに適用され、組織全体には影響しません。

多くの場合、現在どのような脅威が発生しているかを把握するために、データセットを自由に探索したいことがあります。そのための機能が Bulletins であり、プラットフォーム上のすべての脅威レポートを集約したリポジトリとして機能します。

→ All Bulletins

調査方法は次の2つです。

これら2つのモードは併用可能で、調査の目的に応じて使い分けることができます。Smart Search は質問から調査を始める場合に適しており、フィルター検索はデータベースを段階的に絞り込みながら調査したい場合に適しています。

脅威レポートで重要な情報が見つかった場合、CTIでは IoCs、CVEs、Threat Actors 専用の調査画面を提供しています。

→ All IoCs

→ All CVEs

→ All Threat Actors

Bulletin（脅威レポート） はCTIの中核となるドキュメントです。特定の脅威に関する情報を一か所に集約し、概要、タイムライン、推奨対応、攻撃手法、関連する脆弱性、技術的な証拠、および情報源を提供します。

レポート上部には、脅威の重要性や背景をすばやく把握するための情報が表示されます。

重大度は Critical、High、Medium、Low の4段階で表示され、脅威の優先度を示します。

カテゴリータグには、以下のような攻撃タイプが表示されます。

作成日と更新日は、脅威がどのように進展したかを把握するために役立ちます。作成から数か月後に更新されているレポートは、その脅威が継続的に監視されていることを示しています。

Copy Link を使用すると、レポートへの公開リンクを生成できます。認証していないユーザーでもレポート自体は閲覧できますが、CVEやIoCの技術情報にはアクセスできません。スクリーンショットやPDFとは異なり、このリンクは常に最新のレポートを参照するため、共有後にタイムラインが更新されると、閲覧者にも最新情報が表示されます。

表示されるタブは、対象となる脅威の内容によって異なります。

更新回数が多く、TTPsや情報源も豊富なレポートは、現在も進行中の脅威である可能性が高く、継続的な監視対象として適しています。

このプロセスは継続的な情報収集から始まります。プラットフォームは、ニュース、セキュリティレポート、調査結果、脆弱性データベース、フォーラム、専門チャネルなど数千もの情報源を24時間体制で監視し、脅威の兆候を収集します。

次に相関分析が行われます。異なる情報源から得られた同一イベントに関する情報を自動的に関連付け、IoCs、TTPs、脅威アクター、CVEs、対象業界などを結び付けることで、それが単独の事象なのか、大規模なキャンペーンの一部なのかを判断します。

その後、AIによる情報強化（AI Enrichment） が行われます。この段階で、生データは要約、使用された攻撃手法、関連する脆弱性、影響を受ける地域・業界、推奨される対応策を含む、構造化された実用的な情報へと整理されます。

スピードも重要な要素です。新しい脅威レポートは、最初の兆候が検出されてから数分以内に公開され、その後も新しい情報が判明するたびに継続的に更新されます。

つまり、脅威レポートは、複数の情報源、相関分析、AIによる情報強化、人によるキュレーションを組み合わせたインテリジェンスパイプラインの成果です。

以下は、カテゴリごとに分類したモニタリング対象テクノロジーの一例です。この一覧はあくまで参考例であり、セキュリティレポートや脅威データベースで一般的に使用されている名称であれば、任意のテクノロジーを追加できます。

→ Monitored Assets

ご不明な点がございましたら、[email protected] までお気軽にお問い合わせください。😊