脅威インテリジェンスの実務活用

「脅威インテリジェンス」が情報収集で止まる問題

脅威インテリジェンスの導入を進めている組織が増えています。脅威情報フィード（Threat Feed）を契約し、IOC（Indicator of Compromise：侵害指標）をSIEMに取り込み、ダッシュボードに脅威レベルを表示する。形の上では「脅威インテリジェンス運用」が動いている。

しかし、多くの組織でこのプロセスは「情報収集」の段階で止まっています。

SOCチームがIOCフィードを毎日確認しているが、そこから何を判断し、何を変えるのかが定まっていない。経営層への報告では「今月の脅威レベルは高」と伝えるだけで、具体的な意思決定につながらない。セキュリティ予算の優先順位付け、防御アーキテクチャの見直し、インシデント対応計画の更新。本来これらの意思決定を支えるべき脅威インテリジェンスが、「情報を集めて眺める」だけの活動に留まっているのです。

本記事では、脅威インテリジェンスを「情報収集」から「意思決定支援」に昇格させるための実務フレームワークを整理します。3つのレイヤーの使い分け、組織への組み込み方、導入の判断基準を構造的に示します。

脅威インテリジェンスの3レイヤー ― 戦術・運用・戦略

脅威インテリジェンスは、活用レベルに応じて3つのレイヤーに構造化されます。多くの組織が最初のレイヤー（戦術）に留まっていることが、「情報収集で止まる」問題の根本原因です。

戦術レイヤー：検知と遮断

最も導入しやすく、多くの組織が実施済みのレイヤーです。脅威情報フィードからIOCを取得し、SIEMやファイアウォールのルールに反映する。既知の悪性IPアドレスやドメインを自動的にブロックし、既知のマルウェアハッシュを検知対象に追加する。

戦術レイヤーの限界は「既知の脅威にしか対応できない」ことです。IOCは攻撃者が使い捨てることが多く、半減期が短い。新しいIPアドレスに切り替えればIOCは無効化されます。戦術レイヤーだけでは、攻撃者の「行動パターン」に対応できません。

運用レイヤー：攻撃者の行動パターンを理解する

運用レイヤーでは、個々のIOCではなく、攻撃者のTTP（Tactics, Techniques, and Procedures）に注目します。「どのIPアドレスからアクセスがあったか」ではなく、「攻撃者はどのような手順で侵入し、どのように横展開し、どのようにデータを持ち出すか」を分析します。

MITRE ATT&CKフレームワークは、運用レイヤーの標準的な分析基盤です。攻撃者のTTPを体系化し、自組織の防御カバレッジをマッピングできます。「自組織の防御は、Initial Access（初期侵入）の14テクニックのうち何個を検知できるか」「Lateral Movement（横展開）に対する検知ルールは十分か」。こうした分析が、防御の優先順位を構造的に決定する根拠になります。

戦略レイヤー：経営判断を支援する

戦略レイヤーは、セキュリティ投資の意思決定を支えるインテリジェンスです。自組織が属する業界を標的とする脅威アクターの動向、攻撃の傾向変化、規制強化の方向性。これらを定期的に経営層に報告し、セキュリティ予算の配分や優先施策の判断材料にします。

戦略レイヤーが機能している状態の具体例は、「来年度のセキュリティ予算の25%をエンドポイント検知に配分する。理由は、自社業界を標的とする脅威アクターグループの3つが、いずれも初期侵入にフィッシング→エンドポイント侵害のパターンを採用しているためである」という報告が経営層に上がる状態です。「脅威が増えているので予算を増やしてください」という定性的な報告とは、意思決定への接続度が根本的に異なります。

実務活用パターン ― 3つの組み込み方

脅威インテリジェンスを組織に定着させるための、3つの実務的な組み込みパターンを整理します。

パターン1：SOC運用への組み込み

SOCの日常運用に脅威インテリジェンスを組み込む基本パターンです。

• アラートのトリアージ：SIEMのアラートに脅威インテリジェンスのコンテキストを付加し、優先度判断を支援する。IOCとの照合だけでなく、TTPベースの相関分析を行う
• ハンティング：既知のTTPに基づいて、自組織の環境内でプロアクティブに脅威を探索する。MITRE ATT&CKの手法別にハンティングクエリを設計し、定期的に実行する
• インシデント対応：インシデント発生時に、攻撃者のプロファイルとTTPを迅速に特定し、対応の優先順位と範囲を判断する

パターン2：防御アーキテクチャへのフィードバック

脅威インテリジェンスの分析結果を、防御アーキテクチャの設計・見直しに反映するパターンです。

• 検知カバレッジの分析：MITRE ATT&CKのマトリクスに対して自組織の検知ルールをマッピングし、カバレッジのギャップを可視化する
• 防御優先順位の決定：自組織を標的とする脅威アクターが多用するテクニックを特定し、そのテクニックに対する防御を優先的に強化する
• レッドチーム演習の設計：脅威インテリジェンスに基づいて攻撃シナリオを設計し、実践的なレッドチーム演習を実施する

パターン3：経営報告への統合

戦略レイヤーのインテリジェンスを、経営層の定期報告に組み込むパターンです。

• 四半期脅威レポート：自組織の業界を標的とする脅威の動向、主要なインシデント事例、自組織の防御態勢の評価を四半期ごとに経営層に報告する
• 投資判断の根拠：セキュリティ投資（ツール導入、人員配置、トレーニング）の意思決定に、脅威インテリジェンスの分析結果を根拠として添付する
• リスク評価の更新：脅威環境の変化に基づいて、組織のリスク評価を動的に更新する。年次のリスク評価だけでなく、脅威環境の変化に応じた随時更新を行う

組織設計 ― 誰が、何を、どう回すか

脅威インテリジェンスを持続的に機能させるには、ツールの導入だけでなく、組織設計が必要です。

必要な役割

中小規模の組織では、これらの役割を専任で配置することは難しい場合が多い。その場合は、SOCアナリストの業務の一部として脅威インテリジェンス分析を組み込み、戦略レポートはCISO（またはセキュリティマネージャー）が兼任するのが現実的です。重要なのは「3つのレイヤーすべてに責任者がいること」であり、専任である必要はありません。

運用サイクル

脅威インテリジェンスの運用は、以下のサイクルで回します。

• 方向付け（Direction）：組織のビジネス上の優先事項とリスクに基づいて、収集すべき情報の優先順位を決定する
• 収集（Collection）：OSINT、商用フィード、業界ISAC、政府機関の公開情報等から脅威情報を収集する
• 処理（Processing）：収集した生データを分析可能な形式に整形する。IOCの正規化、TIPへの投入、重複排除
• 分析（Analysis）：TTPの特定、脅威アクターのプロファイリング、自組織への影響評価を行う
• 配布（Dissemination）：分析結果を適切な消費者（SOC、IR、経営層）に適切な形式（IOC、TTPレポート、戦略レポート）で配布する
• フィードバック（Feedback）：消費者からのフィードバックを受けて、収集の方向付けを更新する

このサイクルの最も重要なポイントは「方向付け」です。「何でも集める」のではなく、組織の事業リスクに基づいて収集すべき情報を絞る。この方向付けがなければ、脅威インテリジェンスは情報の洪水に埋もれて機能しません。

ツールスタックの構成

脅威インテリジェンスの実務を支えるツールスタックの構成を整理します。

すべてのツールを一度に導入する必要はありません。最初のステップは「TIPの導入」と「SIEMとの連携」です。脅威情報フィード（OSINTベースの無料フィードで開始可能）をTIPに集約し、正規化されたIOCをSIEMの検知ルールに自動反映する。この基本的なパイプラインが動いてから、ATT&CKマッピングや組織間共有に拡張していくのが実務的な進め方です。

導入判断 ― どこから始めるか

脅威インテリジェンスの導入は、組織のセキュリティ成熟度に応じて段階的に進めます。

多くの組織はLevel 1（戦術レイヤーのみ）の段階にあります。Level 1からLevel 2への移行が、脅威インテリジェンスの価値を大きく変えるポイントです。この移行のカギは、MITRE ATT&CKの導入と、「IOCではなくTTPで考える」という分析フレームの転換にあります。

まとめ：脅威インテリジェンスは「情報」ではなく「意思決定支援」

本記事では、脅威インテリジェンスを実務で活用するためのフレームワーク、組織への組み込み方、導入判断を整理しました。

• 脅威インテリジェンスは戦術・運用・戦略の3レイヤーで構造化される。多くの組織が戦術レイヤー（IOC収集）に留まっている
• 戦術レイヤーの限界は「既知の脅威にしか対応できない」こと。運用レイヤー（TTPベースの分析）への移行が価値を大きく変える
• MITRE ATT&CKフレームワークが運用レイヤーの標準的な分析基盤。検知カバレッジの可視化と防御優先順位の決定に使う
• 組織への組み込みは3パターン：SOC運用への組み込み、防御アーキテクチャへのフィードバック、経営報告への統合
• 運用サイクル（方向付け→収集→処理→分析→配布→フィードバック）の「方向付け」が最重要。事業リスクに基づく収集の優先順位がなければ情報の洪水に溺れる
• 導入は段階的に。Level 1（IOCフィード＋SIEM）からLevel 2（TTP分析＋ATT&CK）への移行が最大の価値転換点

脅威インテリジェンスの本質は「情報」ではなく「意思決定支援」です。どれだけ多くの脅威情報を集めても、それが防御の優先順位付け、セキュリティ投資の判断、インシデント対応の迅速化につながらなければ、投資に見合いません。3つのレイヤーの構造を理解し、組織の意思決定に接続する設計を行うことが、脅威インテリジェンスを「運用コスト」から「戦略的資産」に変える転換点です。