概要
CTI（Cyber Threat Intelligence：サイバー脅威インテリジェンス）は、サイバー攻撃者のTTP（Tactics, Techniques, Procedures：戦術・技術・手順）や攻撃インフラに関する情報を収集・分析・活用する実践です。シグネチャだけに頼る受け身の防御から、攻撃者の手口を先読みした能動的な防御への転換を可能にします。
インテリジェンスの種類
| 種類 | 対象読者 | 内容 | 例 |
|---|---|---|---|
| 戦略的インテリジェンス | 経営層 | 業界を狙う脅威アクターのトレンド | 国家支援の攻撃者が自社業界を標的にしている |
| 作戦インテリジェンス | セキュリティマネージャ | キャンペーンの動機・手法 | ランサムウェアグループの攻撃パターン |
| 戦術的インテリジェンス | SOCアナリスト | TTP・IoC | C2サーバのIPアドレス・悪意あるハッシュ値 |
| 技術的インテリジェンス | エンジニア | 技術的な指標 | マルウェアのシグネチャ・CVE情報 |
IoC（Indicators of Compromise：侵害の痕跡）
インシデントや攻撃の存在を示す技術的な証拠です。
| IoC の種類 | 例 |
|---|---|
| IPアドレス | C2サーバのIP |
| ドメイン名 | マルウェアがアクセスするドメイン |
| URLパス | フィッシングページのURL |
| ファイルハッシュ（MD5・SHA-256） | マルウェアのハッシュ値 |
| レジストリキー | マルウェアの永続化に使うレジストリ |
| ネットワークシグネチャ | 攻撃コマンドのパターン |
IoCの限界とIoA
IoC（痕跡ベース）は既知の攻撃にしか対応できず、攻撃者がインフラを変えると無効化されます。
**IoA（Indicators of Attack：攻撃の指標）**は攻撃者の意図・行動パターン（TTP）を基に検知する手法です。インフラが変わっても攻撃の手口が同じなら検知できます。
MITRE ATT&CK フレームワーク
概要
実際の攻撃観測から体系化した「攻撃者のTTPカタログ」です。防御側が攻撃者の手口を理解・対策するための共通言語として世界標準になっています。
ATT&CK マトリクスの構造
Tactics（戦術）：攻撃の目的（なぜ）
└── Techniques（技術）：目的を達成する方法（どうやって）
└── Sub-techniques（サブ技術）：具体的な実装方法
例：
Tactics: Credential Access（資格情報アクセス）
└── Technique: T1110 Brute Force（ブルートフォース）
├── T1110.001 Password Guessing
├── T1110.002 Password Cracking
└── T1110.003 Password Spraying主要なタクティクス（14カテゴリ）
| タクティクス | 説明 |
|---|---|
| Initial Access | 初期侵入（フィッシング・脆弱性悪用） |
| Execution | コード実行 |
| Persistence | 永続化 |
| Privilege Escalation | 権限昇格 |
| Defense Evasion | 検知回避 |
| Credential Access | 資格情報取得 |
| Lateral Movement | 横展開 |
| Exfiltration | データ窃取 |
STIX と TAXII
STIX（Structured Threat Information eXpression）
脅威インテリジェンスを標準化されたJSON形式で記述するための規格です。
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--...",
"name": "Malicious IP",
"pattern": "[ipv4-addr:value = '203.0.113.1']",
"valid_from": "2026-06-01T00:00:00Z"
}TAXII（Trusted Automated eXchange of Intelligence Information）
STIX形式の脅威インテリジェンスを組織間で自動的に共有するためのプロトコルです。
組織A（収集）→ TAXII Server → 組織B（活用）
（ISAC・政府機関等）ISACとISAO
| 種類 | 説明 |
|---|---|
| ISAC | 業界ごとの情報共有・分析センター（金融ISAC・電力ISAC等） |
| ISAO | 業界横断の情報共有・分析機関（ISACより柔軟な枠組み） |
SC試験での頻出ポイント
- CTIの目的：攻撃者のTTPを理解して、シグネチャだけに頼らない能動的な防御を実現
- IoCとIoAの違い：IoCは過去の痕跡（既知）、IoAは攻撃パターン（TTPs）から検知（未知攻撃にも有効）
- MITRE ATT&CKの用途：自社の検知カバレッジを評価し、未対応のTTPを特定する
- STIXの目的：脅威インテリジェンスを機械可読な標準形式で記述
- TAXIIの目的：STIX情報を組織間で自動共有するプロトコル
よくある誤問・ひっかけパターン
誤り① 「IoCのIPアドレスをブロックすれば攻撃者を防げる」→ 不十分。攻撃者はIPを簡単に変更するため、IoCのみの対策は限界があります。TTPベースの検知（IoA）との組み合わせが必要です。
誤り② 「MITRE ATT&CKはマルウェアのシグネチャ集」→ 誤。ATT&CKは攻撃者の行動パターン（TTP）のカタログです。特定のマルウェアのシグネチャではありません。
誤り③ 「CTIは大企業のみが利用できる」→ 誤。ISACやオープンなCTIフィード（MITRE ATT&CK・OTX等）は無料で利用でき、中小企業でも活用できます。
関連用語
- SOCとSIEM — CTIをSIEMのルールに反映して検知精度を向上
- インシデント対応フロー（PICERL） — 根絶フェーズでのTTP分析にCTIを活用
- マルウェア・ランサムウェア — APT・C2通信などのTTPをATT&CKで分析
重要キーワード
| 用語 | 説明 |
|---|---|
| CTI | サイバー脅威インテリジェンス。攻撃者のTTPに関する知識 |
| TTP | Tactics・Techniques・Procedures。攻撃者の戦術・技術・手順 |
| IoC | 侵害の痕跡。IPアドレス・ハッシュ値・ドメインなどの技術的指標 |
| IoA | 攻撃の指標。攻撃者の意図・行動パターンに基づく検知指標 |
| MITRE ATT&CK | 実際の攻撃から体系化したTTPカタログ。防御の共通言語 |
| STIX/TAXII | 脅威インテリジェンスの記述標準（STIX）と共有プロトコル（TAXII） |