generating-threat-intelligence-reports

脅威インテリジェンスレポートの作成

使用する場面

以下の場合にこのスキルを使用します。

• セキュリティ部門のリーダー向けに、週次、月次、四半期ごとの脅威インテリジェンス概要を作成する場合
• 新たなゼロデイ攻撃や進行中のランサムウェアキャンペーンなど、突発的な脅威に対応して迅速なインテリジェンス評価を作成する場合
• セキュリティ投資に関する経営判断のため、業界に特化した脅威ブリーフィングを作成する場合

生の IOC の配布にはこのスキルを使用しないでください。IOC の自動共有には TIP/MISP を使用し、レポートの作成は分析済みの完成したインテリジェンスに限定してください。

前提条件

• 収集・処理フェーズでの分析が完了していること（PIR の一部またはすべてに回答済み）
• 対象読者のプロファイル：技術レベル、意思決定権限、情報分類に関するアクセス権限
• 成果物に対する TLP 分類の決定
• 対象読者の期待に沿った、組織固有のレポートテンプレート

ワークフロー

ステップ 1：レポートの種類と対象読者を決定する

適切なインテリジェンス成果物の種類を選択します。

戦略的インテリジェンスレポート：経営幹部、取締役会、リスク委員会向け

• 内容：脅威情勢の動向、攻撃者の意図と能力、事業目標に対するリスク
• 形式：1～3 ページ、専門用語は最小限に抑え、事業への影響を示す表現と推奨する意思決定を記載
• 頻度：月次／四半期ごと

運用インテリジェンスレポート：CISO、セキュリティディレクター、IR リーダー向け

• 内容：進行中のキャンペーン、攻撃者の TTP、推奨する防御策、同業界のインシデント
• 形式：3～8 ページ、中程度の技術的詳細、優先度順の緩和策リスト
• 頻度：週次

戦術インテリジェンス速報：SOC アナリスト、脅威ハンター、脆弱性管理担当者向け

• 内容：具体的な IOC、YARA ルール、Sigma 検知、CVE、パッチ適用のガイダンス
• 形式：構造化された表、コードブロック、1～2 ページ
• 頻度：毎日、または必要に応じて

緊急レポート：差し迫った脅威や進行中の脅威に関する緊急通知

• 内容：何が起きているか、直ちに生じるリスク、今すぐ取るべき対応
• 形式：最大 1 ページ、脅威の特定から 2 時間以内に配布
• 頻度：必要に応じて（ゼロデイ攻撃、業界を標的とする進行中のキャンペーン）

ステップ 2：インテリジェンスの基準に沿ってレポートを構成する

政府機関や専門家の実務で用いられるインテリジェンス文書作成の基準を適用します。

見出し／主要な判断：最も重要な発見を平易な言葉で冒頭に記載します。

• 悪い例：「本レポートでは、Cl0p ランサムウェアに関連する攻撃者の TTP を調査します」
• 良い例：「Cl0p ランサムウェアグループは、Cisco ASA デバイスへの初期アクセスを得るため、CVE-2024-20353 を積極的に悪用しています。パッチ未適用の ASA アプライアンスを使用している組織には、差し迫ったランサムウェアのリスクがあります」

確信度の表現（DNI ICD 203 の表現を使用）：

• 高い確信度：「高い確信度で評価する」— 強力な証拠があり、仮定はほとんどありません
• 中程度の確信度：「評価する」— 信頼できる情報源はありますが、分析上の仮定が必要です
• 低い確信度：「示唆している」— 情報源が限られており、不確実性が大きくあります

証拠の出典表示：参照番号 [1]、[2] を使用して出典を引用します。TLP:AMBER/RED の成果物では、出典の匿名性を維持してください。

ステップ 3：レポート本文を作成する

次の構成を使用します。

エグゼクティブサマリー（箇条書き 3～5 項目）：主な発見、直ちに生じる事業リスク、最優先の推奨対応

脅威の概要：攻撃者は誰か。目的は何か。なぜ自組織にとって重要なのか。

技術分析：ATT&CK の手法 ID を付した TTP、IOC、観測されたキャンペーンの挙動

影響評価：攻撃が成功した場合に想定される、業務、財務、評判への影響

推奨対応：優先順位と期限を定め、担当者を割り当てた防御策

付録：IOC の全リスト、YARA ルール、Sigma 検知、元の情報源への参照

ステップ 4：TLP と配布管理の適用

情報源の機微性と共有契約に基づいて TLP を選択します。

• TLP:RED：指定された受信者のみ。ブリーフィングルームの外部には共有できません
• TLP:AMBER+STRICT：組織内のみ。子会社やパートナーとの共有は禁止です
• TLP:AMBER：知る必要のある組織内および信頼できるパートナー
• TLP:GREEN：コミュニティ全体での共有（ISAC メンバー、同業セクター）
• TLP:WHITE/CLEAR：公開配布。制限はありません

各ページのヘッダーとフッターに TLP の透かしを入れます。

ステップ 5：レビューと品質管理

配布前に、次の確認を行います。

• 正確性：すべての事実に出典と引用があるか。裏付けのない主張がないか。
• 明瞭性：対象読者は追加の背景情報なしで内容を理解できるか。
• 実行可能性：各レポートセクションが意思決定または行動につながるか。
• 分類：TLP が正しく適用されているか。AMBER/RED の成果物に情報源の特定につながる情報が含まれていないか。
• 適時性：このインテリジェンスは現在も有効か。48 時間を超えた事象については鮮度を評価する必要があります。

主要な概念

用語	定義
完成済みインテリジェンス	意思決定者が利用できる状態に分析・文脈化されたインテリジェンス成果物。収集した生データとは異なります
主要判断	レポートの主要な分析上の結論。冒頭の段落に明確に記載します
TLP	Traffic Light Protocol — インテリジェンスの共有範囲を管理する FIRST 標準の分類システム
ICD 203	Intelligence Community Directive 203 — 確信度を示す表現を含む分析基準に関する米国政府の標準
速報レポート	差し迫った脅威に関する、緊急かつ時間的制約のあるインテリジェンス通知。詳細さよりも迅速さを優先します
インテリジェンスのギャップ	PIR に回答するための収集が不十分な領域。レポートに明示的に記録する必要があります

ツールとシステム

• ThreatConnect Reports：ATT&CK マッピング、IOC テーブル、ステークホルダー向け配布管理機能を備えた組み込みレポートテンプレート
• Recorded Future：独自のデータセットからの自動的な情報源付与機能を備えた、事前構築済みのインテリジェンスレポートテンプレート
• OpenCTI Reports：構造化された完成済みインテリジェンスのための、関連エンティティがリンクされた STIX ベースのレポートオブジェクト
• Microsoft Word/Confluence：一般的なレポート配信形式。TLP ヘッダー付きの、組織が承認したテンプレートを使用します

よくある落とし穴

• 読者ではなくアナリスト向けに書く：SOC アナリストには適切な技術的詳細でも、経営幹部には過剰な情報となることがあります。対象読者を厳密に分けてください。
• 確信度を省略する：確信度を示す修飾語なしで提示された記述は、確信度の低い評価であっても、確定した事実のように受け取られることがあります。
• 推奨事項のないインテリジェンス：対処を示さず脅威を説明するレポートでは、ステークホルダーが判断の指針を得られません。
• 古いインテリジェンス：2 週間前に解決した脅威キャンペーンについてレポートを公開すると、有用性のない警戒を招きます。すべての主張に情報の鮮度を示してください。
• 過剰な分類：TLP:GREEN で共有可能な情報に TLP:RED を適用すると、コミュニティ内での共有が妨げられ、セクター全体の防御効果が制限されます。