evaluating-threat-intelligence-platforms

脅威インテリジェンスプラットフォームの評価

使用するタイミング

このスキルは次の場合に使用します:

• TIP ソリューションについて、正式な RFP やベンダー評価を実施する場合
• CTI プログラムの拡大に伴い、現在の TIP（例: MISP）を置き換えるか、補完する必要があるかを判断する場合
• 組織の成熟度と予算に合わせた評価基準を策定する場合

このスキルは使用しないでください: TIP とは独立してフィードの品質を評価する場合。フィードの評価はプラットフォームの機能ではなく、データ品質に焦点を当てた別のワークフローです。

前提条件

• 文書化された CTI プログラムの要件: チームの規模、フィードのソース、連携先、ユースケース
• 予算の範囲と調達スケジュール
• プラットフォームを管理する技術スタッフ（オープンソース TIP の場合は Python/API の経験）
• 現在および計画中の連携の一覧（SIEM、SOAR、EDR、ファイアウォール）

ワークフロー

ステップ 1: 評価基準を定義する

要件を必須（M）と希望（D）のカテゴリに分類します:

TIP の中核機能:

• M: TAXII 2.1 サーバーによる STIX 2.1 のインポート／エクスポート
• M: 自動化された IOC の取り込みとエクスポートのための REST API
• M: インジケーターの重複排除と TTL 管理
• M: TLP 分類の適用
• D: MITRE ATT&CK の組み込み連携とテクニックタグ付け
• D: インジケーター間の関係のグラフ可視化
• D: アナリストのトリアージのためのワークフロー自動化

連携:

• M: SIEM 連携（Splunk、Sentinel、QRadar）。syslog、API、またはネイティブコネクターを経由
• M: IOC のプッシュのための EDR 連携（CrowdStrike、Defender、SentinelOne）
• D: プレイブックのトリガーのための SOAR 連携（XSOAR、Splunk SOAR）
• D: インテリジェンスタスクの追跡のためのチケットシステム連携（ServiceNow、Jira）

運用:

• M: TLP を考慮したデータ分離を伴うロールベースアクセス制御
• M: すべてのアナリストの操作に対する監査ログ
• D: MSSP のユースケースのためのマルチテナント

ステップ 2: 主要な TIP の選択肢を評価する

MISP（オープンソース）:

• コスト: 無料（セルフホスト可能なインフラのコストのみ）
• 長所: 最大のコミュニティ、250 以上のモジュール、ISAC での広範な利用、STIX 2.0 ネイティブ対応
• 短所: 専任の管理者が必要、可視化機能が限定的、UI が古い
• 最適な用途: 技術スタッフを備えた予算の限られたチーム。政府や ISAC の共有プログラム

OpenCTI（オープンソース）:

• コスト: 無料（セルフホスト可能）。有料の SaaS は年間約 3,000〜15,000 ドル
• 長所: STIX 2.1 ネイティブ対応、グラフ可視化、ATT&CK 連携、モダンな API
• 短所: リソース消費の大きいデプロイ（Elasticsearch、MinIO が必要）
• 最適な用途: モダンな UX を備えたオープンソースを求めるチーム。SOC／CTI の連携を重視する組織

ThreatConnect（商用）:

• コスト: 規模に応じて年間 50,000〜500,000 ドル
• 長所: CTI のライフサイクル全体をカバー、プレイブックの自動化、TC Exchange マーケットプレイス、アナリストのワークフロー
• 短所: コストが高い、導入が複雑、大規模な場合に最も価値がある
• 最適な用途: 成熟したエンタープライズの CTI プログラム。MSSP。レッドチーム／ブルーチームの連携

Anomali ThreatStream（商用）:

• コスト: 年間 30,000〜200,000 ドル
• 長所: 強力なフィード集約、Splunk ネイティブの連携、豊富な事前構築済みコネクター
• 短所: グラフ可視化は OpenCTI より弱い、UI の刷新が遅れている
• 最適な用途: Splunk を多用する環境。分析のワークフローよりフィードの量を優先するチーム

EclecticIQ Platform（商用）:

• コスト: 年間 40,000〜300,000 ドル
• 長所: STIX 2.1 ネイティブ対応、協業型のインテリジェンスワークベンチ、ヨーロッパの顧客基盤が強い
• 短所: ThreatConnect よりパートナーエコシステムが小さい
• 最適な用途: MITRE ATT&CK を中心としたワークフローを持つチーム。EMEA を重視する組織

ステップ 3: 概念実証（PoC）を実施する

最終候補からは 30 日間の PoC を依頼します。次の項目をテストします:

1. フィードの取り込み: 上位 5 件のフィードを 4 時間以内に取り込めるか？
2. SIEM 連携: 強化された IOC を 5 分未満で SIEM にプッシュできるか？
3. ATT&CK マッピング: アナリストが効率的にインジケーターへ ATT&CK テクニックをタグ付けできるか？
4. レポート生成: ワンクリックで戦術的 IOC 速報を作成できるか？
5. API のパフォーマンス: REST API が 1 日あたり 10,000 件のインジケーターのクエリを処理できるか？

Step 4: スコアリングと選定

重み付けスコアリングマトリクスを使用します（各基準を組織の優先順位で重み付けします）:

Criterion                 Weight   Vendor A   Vendor B
STIX 2.1 compliance       20%      95         85
SIEM integration          25%      90         70
ATT&CK mapping            15%      85         95
Cost (inverse)            20%      60         90
UI/analyst experience     10%      80         75
Vendor support quality    10%      85         80
TOTAL                     100%     82.0       81.5

Step 5: 導入とオンボーディングの計画

90日間の導入を計画します:

• 1〜2週目: インフラのデプロイ（クラウドまたはオンプレミス）
• 3〜4週目: フィードのオンボーディングと重複排除のチューニング
• 5〜6週目: SIEM/SOAR連携とテスト
• 7〜8週目: アナリストのワークフロー設定とトレーニング
• 9〜12週目: 運用検証と本番稼働

主要な概念

用語	定義
TIP	Threat Intelligence Platform。サイバー脅威インテリジェンスを収集、処理、分析、配布するためのソフトウェア
TAXII Server	TIPのコンポーネントで、要求に応じてSTIXバンドルを利用側システムに提供する
TC Exchange	ThreatConnectの商用マーケットプレイスで、構築済みのフィード連携およびアプリコネクタを提供する
Multi-tenancy	複数の組織単位または顧客に対して、データ環境を分離した状態で提供できるTIPの機能
Deduplication	TIP内で重複する侵害指標を特定して統合し、アナリストのノイズを減らす処理

ツールとシステム

• MISP: 6,000以上の組織で利用されているオープンソースのTIP。ISAC・政府コミュニティとの連携が最も強力
• OpenCTI: ネイティブのSTIX 2.1対応とグラフベースの分析を備えた、最新のオープンソースTIP
• ThreatConnect: ライフサイクル管理とSOARプレイブック連携を備えたエンタープライズ向け商用TIP
• Anomali ThreatStream: Splunkエコシステムとの連携が強力な商用TIP
• EclecticIQ: ATT&CKを中心としたワークフロー設計の商用TIP

よくある落とし穴

• 要件を定義する前にTIPを選定する: ユースケースを定義せずに技術を選ぶと、高額なミスマッチにつながります。
• 管理工数を過小評価する: MISPやOpenCTIには専任の管理時間（最低0.25 FTE）が必要です。それに応じて予算を確保してください。
• データ移行コストを軽視する: 過去の インテリジェンスを別のTIPに移行するのはコストがかかり、レガシーシステムではしばしば現実的ではありません。
• PoCでSIEM連携をテストしない: TIPの価値は下流の連携品質に大きく左右されるため、評価時に必ずSIEM/SOARとの接続をテストしてください。