脅威インテリジェンスの教科書(キョウイインテリジェンスノキョウカショ)

「脅威インテリジェンス」とは、攻撃者が利用した攻撃手法、攻撃の目的や動機など、脅威となる攻撃者の情報を収集・分析し、導き出された知見を防御に役立てていくという考え方です。本書では、脅威インテリジェンスの基礎理論を紹介した後、組織ごとの目的を意識した脅威インテリジェンスの活用方法、各種フレームワークの使い方、インテリジェンスの収集・分析・活用・共有方法などを丁寧に解説します。脅威インテリジェンスが組織にどのようなメリットをもたらすのか、どのようにインテリジェンスを利用すれば良いのか、本書を読むことで正しく理解・実践できるはずです。

攻撃を受けてからログを調べる受け身の防御では、攻撃者の側が常に先手を取り続けます。脅威インテリジェンスは、攻撃者が使った手法や攻撃の目的・動機といった「敵に関する情報」を収集・分析し、そこから導いた知見を防御側の意思決定に活かす考え方です。『脅威インテリジェンスの教科書』 (石川朝久 著、技術評論社、 2022 年 1 月刊、英題 Cyber Threat Intelligence) は、その基礎理論から戦術・運用・戦略の 3 層の使い分け、実務の技法、組織間での共有、社内プログラムの構築、攻撃者の特定、さらにカウンターインテリジェンスの理論までを 1 冊で体系化した日本語の解説書です。版元が対象として挙げるのは、セキュリティエンジニア、企業のセキュリティ担当者、情報システム部門です。

全 9 章と付録 2 本、 3 層のインテリジェンスから対抗理論まで

構成は全 9 章に付録 2 本です。第 1 章で脅威インテリジェンスの定義・目的・分類と、利活用に必要な組織の成熟度を整理したうえで、第 2 章から第 4 章が Tactical (戦術) ・ Operational (運用) ・ Strategic (戦略) の 3 層を 1 章ずつ扱います。戦術層は IOC を使った予防・検知・対応と脆弱性管理への応用、運用層は TTPs と MITRE ATT&CK フレームワークを軸にリスク評価・敵対的エミュレーション・アーキテクチャの改善・脅威ハンティング・インシデント対応の 5 つの事例、戦略層は経営層・リーダーの役割と準備・分析・報告の各フェーズです。第 5 章は良いインテリジェンスの条件、インテリジェンスプロセス、メンタルモデル、情報収集・分析・レポーティングの技法、インテリジェンスの失敗と文献紹介という実務の章、第 6 章は共有の理論と情報共有コミュニティ・プラットフォーム・共有フォーマット、第 7 章は組織的成熟度に応じたプログラムの構築と運用です。第 8 章 Attribution (アトリビューション) では攻撃グループの分類・命名、アンチアトリビューションとその対抗、課題と倫理を、第 9 章では防御的・攻撃的なサイバーカウンターインテリジェンスと Active Defense を論じ、付録 A にサイバーセキュリティフレームワーク、付録 B にリスク評価を収めます。

IOC から TTPs へ、攻撃者の手口を知ることが防御になる理由

脅威インテリジェンスの実務でまず問題になるのは、情報の「寿命」です。不正な IP アドレスやファイルのハッシュ値、ドメイン名といった IOC (侵害指標) は、機械的に流し込めば即座に検知や遮断に使える反面、攻撃者が数分で差し替えられるため効き目が短命です。一方で TTPs (戦術・技術・手順) と呼ばれる攻撃者の行動パターンは、攻撃の実現に直結するため簡単には変えられず、ここを捉えた検知は長く効きます。この「攻撃者にとって変えるのが痛い指標ほど防御価値が高い」という整理は Pyramid of Pain として知られ、 MITRE ATT&CK は TTPs を共通の語彙で分類した知識ベースとして、自組織の検知の穴を洗い出したり、攻撃者の手順を模倣して防御を試験したりする土台になっています。本書が戦術層を IOC 、運用層を TTPs と ATT&CK に対応させて章を分けている構成は、この階層の違いを読者が組織の課題に当てはめて考えるための骨格になっています。脆弱性 管理への応用が戦術層に置かれているのも、公開された弱点のうちどれが実際に攻撃者に使われているかという情報が優先順位づけの根拠になるからです。

金融機関の実務家が書いた分析・共有・組織構築の後半

著者の石川朝久氏は博士 (工学) で、 2009 年からセキュリティ専門企業で侵入テスト・セキュリティ監査・インシデント対応・研修講師などに携わり、 2019 年からはグローバル金融機関でセキュリティ戦略の企画立案と脅威インテリジェンスの収集・分析に従事しています。 GIAC Advisory Board Member と情報処理安全確保支援士試験委員も務める人物です。この経歴は本書の後半に表れており、第 5 章の分析技法やレポーティング技法、インテリジェンスの失敗の扱い、第 7 章の組織的成熟度に応じたプログラム構築は、ツールの導入手順ではなく、分析者と組織がどう判断を誤り、どう防ぐかという運用の視点で書かれています。第 8 章のアトリビューションは攻撃者の特定という華やかな主題ですが、誤った帰属が政治的・法的な問題を招く点や倫理まで踏み込んでおり、第 9 章のカウンターインテリジェンスと合わせて、教科書の名にふさわしい網羅性で扱っています。

セキュリティ運用の経験者向けの前提と、向かない読者

前提として、マルウェア、 C2 サーバー、ログ分析、脆弱性管理といった セキュリティ 運用の基礎用語を知っていることが望ましく、 SOC や CSIRT で 1 〜 2 年ほど運用に携わった段階で読むと、各章の事例が自組織の課題と結びつきやすくなります。逆に、セキュリティそのものの入門書として手に取るには理論の密度が高く、特定の脅威インテリジェンス製品や SIEM の操作手順を求める人にも向きません。 Web アプリケーションの脆弱性対策 (XSS や SQL インジェクションなど) を学びたい開発者は主題が異なるため、セキュリティ本の選び方 から入る方が近道です。また刊行は 2022 年 1 月で、 ATT&CK のバージョンや共有プラットフォームの状況はその後も更新が続いているため、具体的なツール名や版数は刊行時点の情報として読む必要があります。

外部から流れてくる IOC を検知装置に流し込むだけの運用から一歩進みたい SOC や CSIRT の担当者、脅威情報サービスの導入や社内プログラムの立ち上げを経営層に説明して予算をつけたいセキュリティ責任者、情報システム部門で脅威対策の全体設計を任された人にとって、この本は投じた時間の回収が早い一冊です。読み終えると、自組織に必要なインテリジェンスを 3 層で定義し、 ATT&CK で検知の穴を評価し、レポートとして経営層に届け、共有コミュニティに参加するという一連のプログラムの骨格を自分の言葉で描けるようになります。攻撃者の側から自組織の防御を見直す視点を体系的に得たい人に、腰を据えて読む価値のある教科書です。