performing-threat-intelligence-sharing-with-misp

MISP を使用した脅威インテリジェンスの共有

概要

MISP（Malware Information Sharing Platform）は、サイバーセキュリティの指標や脅威情報を収集、保存、配布、共有するために設計されたオープンソースの脅威インテリジェンスプラットフォームです。PyMISP は、REST API を介して MISP インスタンスと連携するための公式 Python ライブラリで、イベントのプログラムによる作成、属性管理、タグの割り当て、ギャラクシークラスターの添付、フィードの同期を可能にします。このスキルでは、PyMISP を使用して、構造化された IOC（IP アドレス、ドメイン、ファイルハッシュ、URL）を含むイベントの作成、MITRE ATT&CK タグによるイベントの拡充、共有グループと配布レベルの管理、既存のインテリジェンスの検索、他のプラットフォームとの相互運用性のための STIX 2.1 形式でのエクスポートを行います。

使用する場面

• misp を使用した脅威インテリジェンスの共有を伴うセキュリティ評価を実施する場合
• 関連するセキュリティイベントのインシデント対応手順に従う場合
• 定期的なセキュリティテストや監査活動を実施する場合
• 実地テストを通じてセキュリティ制御を検証する場合

前提条件

• API アクセスが有効な MISP インスタンス（v2.4+）
• pymisp をインストールした Python 3.9+（pip install pymisp）
• MISP API キー（Settings > Auth Keys）
• MISP のデータモデル（Events、Attributes、Objects、Tags、Galaxies）の理解
• TLP マーキングと共有プロトコルに関する知識

手順

1. PyMISP をインストールします：pip install pymisp
2. ExpandedPyMISP(url, key, ssl=True) 接続を初期化します
3. 情報、配布レベル、脅威レベル、分析ステータスを設定して MISPEvent を作成します
4. IP、ドメイン、ハッシュに対して event.add_attribute(type, value) で属性を追加します
5. TLP タグと MITRE ATT&CK の手法タグを適用します
6. misp.publish(event) でイベントを公開します
7. misp.search(controller='events', value=..., type_attribute=...) で既存のイベントを検索します
8. 脅威フィードを有効化して設定し、IOC を自動的に取り込みます
9. クロスプラットフォームで共有するため、イベントを STIX 2.1 形式でエクスポートします
10. 共有グループの設定と同期サーバーの設定を検証します

期待される出力

作成されたイベント、追加された属性、適用されたタグ、フィードの同期ステータス、既存のインテリジェンスとの相関ヒットをまとめた JSON レポート。イベント ID と配布メタデータも含まれます。