analyzing-threat-intelligence-feeds

脅威インテリジェンスフィードの分析

使用するタイミング

次の場合にこのスキルを使用します。

• 新しい商用または OSINT の脅威フィードを取り込み、シグナル対ノイズ比を評価するとき
• 異種の IOC 形式（STIX 2.1、OpenIOC、YARA、Sigma）を統一スキーマに正規化するとき
• フィードの鮮度、信頼性、組織の脅威プロファイルとの関連性を評価するとき
• SIEM イベントと IOC を照合する自動エンリッチメントパイプラインを構築するとき

CTI のベースラインを確立する前に実施する、生のパケットキャプチャ分析や進行中のインシデントのトリアージには、このスキルを使用しないでください。

前提条件

• ThreatConnect、MISP、OpenCTI などの脅威インテリジェンスプラットフォーム（TIP）へのアクセス
• 少なくとも 1 つの商用フィード（Recorded Future、Mandiant Advantage、VirusTotal Enterprise）の API キー
• TAXII 2.1 クライアントライブラリ（taxii2-client Python パッケージなど）
• TIP のインジケーターデータベースに対する読み取り／書き込み権限を持つロール

ワークフロー

ステップ 1：フィードソースを列挙して優先順位を付ける

利用可能なすべてのフィードを種類（商用、政府機関、ISAC、OSINT）別に一覧表示します。

• 商用：Recorded Future、Mandiant Advantage、CrowdStrike Falcon Intelligence
• 政府機関：CISA AIS（Automated Indicator Sharing）、FBI InfraGard、MS-ISAC
• OSINT：AlienVault OTX、Abuse.ch、PhishTank、Emerging Threats

更新頻度、過去の正確性、業界のカバー範囲、帰属情報の詳細度について、各フィードをスコアリングします。NIST SP 800-150（Guide to Cyber Threat Information Sharing）の基準を用いた重み付きスコアリングマトリクスを使用します。

ステップ 2：TAXII 2.1 または API 経由で取り込む

TAXII 対応フィードの場合：

taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01

REST API フィード（Recorded Future など）の場合：

• /v2/indicator/search に risk_score_min=65 を指定してクエリし、信頼度の低い IOC を除外します
• API の耐障害性を高めるため、レート制限と指数バックオフを適用します

ステップ 3：STIX 2.1 に正規化する

OASIS 標準スキーマを使用して、各 IOC を STIX 2.1 オブジェクトに変換します。

• IP アドレス → pattern: "[ipv4-addr:value = '...']" を持つ indicator オブジェクト
• ドメイン → pattern: "[domain-name:value = '...']" を持つ indicator
• ファイルハッシュ → pattern: "[file:hashes.SHA-256 = '...']" を持つ indicator

インジケーターを threat-actor または malware オブジェクトにリンクする relationship オブジェクトを追加します。ソースの信頼性評価に基づいて、confidence フィールド（0～100）を使用します。

ステップ 4：重複を排除してエンリッチする

正規化された値と種類を複合キーとして、既存の TIP データベースと照合し、重複を排除します。重複排除後に残った IOC をエンリッチします。

• VirusTotal：検出率、サンドボックスの挙動レポート
• PassiveTotal（RiskIQ）：WHOIS 履歴、パッシブ DNS、SSL 証明書チェーン
• Shodan：バナーデータ、オープンポート、地理的位置

ステップ 5：利用システムに配布する

エンリッチされたインジケーターを TAXII 2.1 push 経由で SIEM（Splunk、Microsoft Sentinel）、ファイアウォール（Palo Alto XSOAR プレイブック）、EDR プラットフォームにエクスポートします。インジケーターの種類ごとに TTL（time-to-live）を設定します。IP アドレスは 30 日、ドメインは 90 日、ファイルハッシュは 1 年です。

主要な概念

用語	定義
STIX 2.1	Structured Threat Information Expression — インジケーター、脅威アクター、キャンペーン、リレーションシップなどの CTI オブジェクトを含む、OASIS 標準の JSON スキーマ
TAXII 2.1	Trusted Automated eXchange of Intelligence Information — サーバーとクライアント間で STIX コンテンツを共有するための HTTPS ベースのプロトコル
IOC	Indicator of Compromise — システムが侵害された可能性を示す、観測可能なアーティファクト（IP、ドメイン、ハッシュ、URL）
TLP	Traffic Light Protocol — CTI の共有制限を定める、色分けされた分類（RED／AMBER／GREEN／WHITE）
信頼度スコア	インジケーターの悪意ある帰属に関する生成元の確信度を示す数値（STIX では 0～100）
フィードの信頼性	本番環境での検知における真陽性率で測定される、フィードの過去の正確性

ツールとシステム

• ThreatConnect TC Exchange：100 以上の商用および OSINT フィードを集約し、IOC のエンリッチメントを行う自動プレイブックを提供します。
• MISP (Malware Information Sharing Platform)：STIX/TAXII をサポートするオープンソースの TIP で、ISAC や政府の CERT で広く利用されています。
• OpenCTI：MITRE ATT&CK とのネイティブ連携と、グラフベースの関係可視化機能を備えたオープンソースプラットフォームです。
• Recorded Future：AI を活用したリスクスコアリングとダークウェブのリアルタイム監視を提供する商用フィードです。
• taxii2-client：TAXII 2.0/2.1 クライアント操作用の Python ライブラリです（pip install taxii2-client）。
• PyMISP：MISP フィードの管理と IOC の送信に使用する Python API です。

よくある落とし穴

• IOC の経時的な陳腐化：IP アドレスやドメインは頻繁に変わるため、1 年前の IOC を適用すると誤検知が発生します。TTL ポリシーを適用してください。
• コンテキストの不足：関連するキャンペーンや攻撃者を把握せずに IOC をブロックすると、正当な業務トラフィックを妨げる可能性があります（例：悪意ある攻撃者と共有されている CDN の IP）。
• 重複排除を行わないフィードの重複：同じ IOC を 5 つのフィードから重複排除せずに取り込むと、インジケーター数と SIEM ルールの複雑さが増大します。
• TLP 違反：RED に分類されたインテリジェンスを許可された範囲外に再配布すると、共有契約と信頼関係に違反します。
• 信頼度の低いインジケーターの過剰なブロック：信頼度が 50 未満のインジケーターには、業務への支障を避けるため、ブロックではなく検知のみのルールを適用してください。