脅威インテリジェンス
どんな攻撃者がいて、どんな手口(TTP)を使い、どんなキャンペーンが進行中で、具体的な痕跡(IoC)は何か、といった脅威に関する知識を収集・分析したものである。組織が後手に回らず、先手で守るための材料になる。誰が、どう攻めてくるかを、攻撃の前に知っておくということだ。
レベルは3つある。戦略的(高水準。自業界を狙う攻撃者や動向。意思決定者向け)、運用的(個別のキャンペーンと攻撃者のTTP。防御計画向け)、戦術的・技術的(ツールに取り込む具体的なIoCやシグネチャ)。情報源は、商用フィード、公開情報(OSINT)、業界内の共有(ISAC)、自社の観測である。機械可読な形で共有する標準が、STIX(形式)とTAXII(転送)だ。
効果は、実際に関係のある脅威への防御を優先でき、進行中の攻撃に早く気づき、インシデントに背景(誰が、なぜ、次に何が起きるか)を付け足せることである。落とし穴は、文脈のないIoCフィードに溺れること。良いTIの価値は量でなく関連性にある。成熟したSOCの背骨だ。