脅威インテリジェンス（Threat Intelligence）とは？IOC・TTPs・活用シナリオをわかりやすく解説

「脅威インテリジェンスって最近よく聞くけど、うちのような中小企業には関係ないよね」——そんな声を情シス担当者からよく耳にします。

でも少し待ってください。攻撃者は企業規模を選びません。むしろ、セキュリティ体制が手薄な中小企業を意図的に狙うケースが増えています。脅威インテリジェンスは大企業専用の概念ではなく、規模を問わず「攻撃者の手口を先読みして備える」ための考え方です。

この記事では、脅威インテリジェンスの基本概念から、現場でよく使われるIOC・TTPs・STIX/TAXIIといった用語の意味、実際の情報ソース、そして中小企業でも今日から始められる活用法まで、現場目線で解説します。

脅威インテリジェンスとは？

脅威インテリジェンス（Threat Intelligence、TI）とは、サイバー攻撃の脅威に関する体系的な情報・知識のことです。単なる「攻撃情報の収集」とは異なり、「誰が・何を狙って・どんな手口で攻撃してくるか」を分析し、防御に活かせる形に整理したものを指します。

インテリジェンスという言葉は軍事・諜報の分野から来ており、「生の情報（data）を分析・評価して意思決定に使えるようにしたもの」という意味があります。セキュリティの文脈では、攻撃者の行動パターンや意図を先読みすることで、被害が出る前に手を打てるようになります。

脅威インテリジェンスの概念が注目されるようになった背景には、攻撃の高度化があります。かつてのウイルスは既知のシグネチャ（特徴的なコードのパターン）で検知できましたが、現在の攻撃は正規のツールや認証情報を悪用するため、シグネチャベースの防御だけでは検知が難しくなっています。「どんな手口で動くか」を事前に知ることが、現代のセキュリティ対策で不可欠な要素になっているのです。

「データ」「情報」「インテリジェンス」の違い

この3つを混同すると、脅威インテリジェンスの本質が見えにくくなります。

・データ（Data）: 未整理の生の記録。ログファイルに残る大量のIPアドレスの羅列など
・情報（Information）: データを整理・文脈付けしたもの。「このIPが昨日100回ポートスキャンしてきた」という状況把握
・インテリジェンス（Intelligence）: 情報を分析・評価し、行動判断に使えるレベルにしたもの。「このIPは既知のAPTグループのインフラで、同業他社が先週侵害されたため警戒が必要」という判断材料

脅威インテリジェンスは、膨大なセキュリティデータをインテリジェンスのレベルまで昇華することを目指します。

脅威インテリジェンスの4つの種類

脅威インテリジェンスは、活用目的と対象者によって大きく4種類に分類されます。

中小企業が最も活用しやすいのは「技術的インテリジェンス」です。無料のフィードから悪意あるIPやドメインのリストを取得し、ファイアウォールに適用するだけでも、既知の攻撃インフラからの通信を効果的にブロックできます。「戦略的インテリジェンス」は経営者が意思決定する際のインプットとして、「自社の業界が今どんな攻撃グループに狙われているか」を把握するために使います。

現場で使われる主要概念を整理する

1. IOC（侵害指標）

IOC（Indicators of Compromise、侵害指標）とは、システムが攻撃または侵害を受けた際に観察される痕跡・証拠のことです。ログやファイルシステムの中から「悪意ある活動の証拠」を見つけるための目印として使います。

主なIOCの種類は以下の通りです。

・IPアドレス: C2（コマンド&コントロール）サーバーとして使われている悪意ある通信元・通信先のIP
・ドメイン名: フィッシングサイトやマルウェアの配布に使われているドメイン
・ファイルハッシュ（MD5・SHA-256）: 既知のマルウェアファイルの固有の識別値
・URLパターン: 攻撃者が使うコマンド送信用URLの特徴
・メールの送信元・件名・添付ファイルの特徴: フィッシングキャンペーンの識別に使う
・レジストリキー・ファイルパス: マルウェアが書き込む特定のシステム上の場所
・ネットワーク通信パターン: ビーコン通信の一定間隔や特定のUser-Agentヘッダーなど

IOCはSIEMやEDRに取り込むことで、リアルタイムの脅威検知に活用できます。ただし、IPアドレスは短期間で変わることが多く、攻撃者はインフラを容易に切り替えられます。IOCだけに依存するのではなく、後述するTTPsとの組み合わせが重要です。

2. TTPs（戦術・技術・手順）

TTPs（Tactics, Techniques, and Procedures）とは、攻撃者がどのように行動するかを階層的に記述したものです。

・戦術（Tactics）: 攻撃者の目的・行動の大分類。例: 「初期アクセスの確立」「権限昇格」「横展開」「情報収集」「データ持ち出し」など
・技術（Techniques）: 戦術を実現するための具体的な方法。例: 「スピアフィッシングメールによる初期アクセス（T1566.001）」
・手順（Procedures）: 特定の攻撃グループが実際に使う実装レベルの詳細な手順。例: 「APTグループXXXはOffice文書のマクロ経由でPowerShellを実行し、Living off the Land（環境寄生）手法でC2通信を確立する」

TTPsはIOCよりも変わりにくいため、より長期間にわたって有効な防御指標となります。攻撃者がIPを変えても、「正規ツールを悪用する」「スピアフィッシングを起点にする」という手口は変わりません。TTPsを理解することで、未知の攻撃インフラからの攻撃に対しても検知・対応できる可能性が高まります。

3. STIX / TAXII

STIX（Structured Threat Information eXpression）は、脅威インテリジェンス情報を標準化された形式で記述するためのデータ形式です。TAXII（Trusted Automated eXchange of Intelligence Information）は、そのSTIX形式のデータを組織間で安全に共有するためのプロトコルです。

この2つを組み合わせることで、異なる組織・ツール間での脅威情報の自動共有が可能になります。現在の主要なセキュリティ製品（SIEMやEDR等）の多くがSTIX/TAXIIに対応しており、脅威情報フィードの受信・分析が自動化できます。

4. MITRE ATT&CK フレームワーク

MITRE ATT&CKは、実際の攻撃で観測されたTTPsを体系的に整理したデータベースで、無料で公開されています。攻撃者の戦術（14カテゴリ）と各技術がマトリックス形式で整理されており、自社の防御がどの技術をカバーできているかを視覚的に確認できます。

例えば「T1078（有効なアカウントの悪用）」という技術への対策として、多要素認証の導入・特権アカウントの監視・不審なログインの検知ルールを整備する、というように対策の方向性を具体化できます。

脅威インテリジェンスの情報ソース

1. 無料の公開フィード・公的機関

以下は代表的な無料で使える情報ソースです。中小企業でもコストゼロで活用できます。

・JPCERT/CC（Japan Computer Emergency Response Team）: 国内で発生したセキュリティインシデント情報や注意喚起を発信。メールリストへの登録で最新情報を自動受信できる
・IPA（情報処理推進機構）: 「今月の呼びかけ」や脆弱性情報を定期発信。国内の中小企業向けガイドラインも充実
・CISA（米国サイバーセキュリティ・インフラセキュリティ庁）: 米国政府機関が発信する脅威情報。英語だが悪用が確認された脆弱性（KEV カタログ）は特に信頼性が高い
・AlienVault OTX（Open Threat Exchange）: 世界規模のコミュニティベースの脅威情報共有プラットフォーム。IOCフィードを無料のAPIで取得可能
・MITRE ATT&CK: 攻撃者のTTPsを体系化したフレームワーク。attack.mitre.orgで無料公開
・Abuse.ch: ランサムウェア・マルウェアのIOCフィード（URLhaus・MalwareBazaar等）を無料提供

2. 商用脅威インテリジェンスサービス

大企業や金融機関では、Recorded Future・CrowdStrike Falcon Intelligence・Mandiant Advantage といった商用サービスを利用することが多いです。独自リサーチチームによる深い分析と、SIEMへの自動連携機能を提供しますが、費用は月額数十万円～数百万円規模になります。

中小企業では無料の公開フィードから始め、必要に応じて限定的な商用サービスを組み合わせるアプローチが現実的です。

3. ISAC（情報共有分析センター）

ISAC（Information Sharing and Analysis Center）は、業界単位でセキュリティ情報を共有する組織です。日本では金融ISAC・自動車ISAC・電力ISAC などが活動しており、業界特有の脅威情報を会員間で共有しています。特定の業界に属している企業にとっては、業界に特化した精度の高い情報が得られる有効な選択肢です。

中小企業でも今日からできること

「脅威インテリジェンスは大企業のもの」という思い込みを外すと、情シス担当者が一人でも実践できる施策が見えてきます。

1. JPCERT/CCとIPAのメール通知に登録する

最もシンプルで確実な第一歩です。JPCERT/CCの「早期警戒情報」メーリングリストに登録すると、重大な脆弱性情報を速報で受け取れます。週に1度は内容を確認し、「自社が使っているソフトウェアに関する情報が出ていないか」を確認する習慣をつけましょう。

2. AlienVault OTXのIOCフィードをファイアウォールに適用する

AlienVault OTXには無料のAPIがあり、既知の悪意あるIPアドレスやドメインのリストを定期的に取得できます。このリストをファイアウォールのブロックリストに自動適用することで、既知の攻撃インフラからの通信を遮断できます。

# AlienVault OTX から悪意ある IP リストを取得する概念例
# API キーは OTX サイト（otx.alienvault.com）で無料取得可能

curl -s -H "X-OTX-API-KEY: YOUR_API_KEY" \
  "https://otx.alienvault.com/api/v1/pulses/subscribed" \
  | jq -r '.results[].indicators[] | select(.type=="IPv4") | .indicator'
# 出力された IP を firewalld や iptables の DROP ルールに追加する

3. MITRE ATT&CKで自社対策の抜け穴を確認する

MITRE ATT&CK のサイト（attack.mitre.org）は無料で使えます。攻撃者が使う代表的な戦術・技術がマトリックス形式で整理されており、自社が対策していないTTPsを視覚的に把握できます。「うちの環境はT1078（有効なアカウント悪用）に対して多要素認証が導入できているか」「T1566（フィッシング）に対してメールフィルタリングは機能しているか」という観点で現状を確認するだけでも、防御の優先順位が見えてきます。

4. インシデント対応手順書にTTPsの視点を加える

インシデント対応手順書（プレイブック）に「攻撃者はこの後どの手法で動く可能性があるか」というTTPsの視点を加えると、対応の優先順位が格段に明確になります。例えばランサムウェア感染が確認されたら、攻撃者が「横展開（Lateral Movement）でActive Directoryを狙う可能性が高い」という前提で、AD管理者アカウントの一時無効化やセグメント間の通信遮断に先手を打てます。

5. 脅威情報の確認サイクルを仕組み化する

情報収集は「気が向いたとき」ではなく、定期的なルーティンに組み込むことが重要です。週次でJPCERT/CC・IPAを確認、月次でAlienVault OTXフィードを更新、四半期に一度MITRE ATT&CKで対策の網羅性を確認——という簡単なサイクルを設けるだけで、脅威インテリジェンスの継続的な活用が実現します。

よくある誤解と注意点

【誤解1】IOCさえ集めれば安全になる

IOCは「既知の悪意ある指標」にすぎません。攻撃者はIPアドレスやドメインを頻繁に変えるため、IOCだけに頼った防御はすぐに陳腐化します。IOCはあくまで入口のフィルタリングに使い、TTPsの把握と組み合わせることで初めて実効性のある防御になります。

【誤解2】脅威インテリジェンスは大規模なSOCが必要

確かに大規模な運用には専門チームが必要ですが、無料の公開情報を活用するだけでも十分な効果が得られます。情シス担当者が一人であっても、定期的な情報確認と簡単なファイアウォールルール更新から始めることができます。目標は「完璧な運用」ではなく「やらないよりはるかにマシな状態」を作ることです。

【誤解3】自社は攻撃者の標的にならない

攻撃者の多くは「特定の企業を狙う」のではなく、脆弱なシステムを無差別にスキャンして侵入可能な場所を探します。規模が小さいからこそ、脆弱性対応が後回しになりがちな点が狙われやすい要因になります。「うちは関係ない」という思い込みが最大のリスクです。

【誤解4】脅威情報は収集するだけでよい

収集しただけでは意味がありません。重要なのは、収集した情報を「自社のどのシステムに対してどんな対策を取るか」という意思決定に活用することです。情報の収集→分析→対策適用→効果検証のサイクルを回し続けることが、脅威インテリジェンスの本質です。

本記事のまとめ

脅威インテリジェンスとは、攻撃者の手口・意図・能力に関する体系的な知識であり、防御の質を高めるための「情報武装」です。本記事の要点をまとめます。

「大企業のセキュリティチームしか使えないもの」という先入観を外すと、脅威インテリジェンスは情シス1人体制の中小企業でも十分に活用できることがわかります。まずはJPCERT/CCのメール登録と、MITRE ATT&CKで自社の対策を一度見直すところから始めてみてください。

Linuxサーバーのセキュリティ設定についての詳細は、姉妹サイトLinuxMaster.JPでも解説しています。サーバー管理を担当している方はあわせてご参照ください。