脅威インテリジェンスとIoCとは？

脅威インテリジェンスとIoCの意味

攻撃者の手口・基盤・標的に関する情報を収集・分析し、自組織の防御に反映させる活動。攻撃の痕跡を示す具体的な指標（IoC）には、悪性IPアドレス、ドメイン、ファイルのハッシュ値などがあり、機械可読形式で共有して検知規則へ自動反映する。

脅威インテリジェンスとIoCの具体例

業界の情報共有組織から受け取った指標を、プロキシとファイアウォールの遮断リスト、SIEMの検索条件へ取り込む。過去のログを遡って同じ指標が出ていないか調べれば、気づいていない侵害の痕跡を発見できることがある。

脅威インテリジェンスとIoCは試験でどう引っ掛けられる？

IPアドレスやハッシュ値は攻撃者が容易に変えられるため、指標だけに頼る防御は寿命が短い。手口や振る舞いの水準でとらえるほうが持続的である。また未検証の指標を遮断リストへ入れると、正規サービスを止める事故を招く。

脅威インテリジェンスとIoCと関連する用語

• サイバーキルチェーンとMITRE ATT&CK
• IDS・IPSとSIEM
• インシデント対応とCSIRT

脅威インテリジェンスとIoCが出た過去問

• サイバー攻撃に関する脅威に対処するために、非合法な手段を使わずに入手できる公開情報について、収集、分析及び活用が進んでいる。公開情報を収集、分析し、得られる知見…

  正解：OSINT

  要点：OSINTは公開情報の収集・分析から知見を得る活動

  OSINT（Open Source Intelligence）は、公開されている情報だけを合法的に収集・分析して有用な知見を得る活動や、そうして得られたインテリジェンスそのものを指す。攻撃者の動向や自組織の公開情報からの漏えいリスクを把握するために、脅威インテリジェンスの一環として活用が進んでいる。

  出典：令和5年度 春期 ITストラテジスト試験 am2 問25（IPA）