脅威インテリジェンスフィードの分析
使用時
以下の状況でこのスキルを使用します：
- 新しい商用またはOSINT脅威フィードをインジェストし、そのシグナル対ノイズ比を評価する場合
- 異種IOCフォーマット（STIX 2.1、OpenIOC、YARA、Sigma）を統一スキーマに正規化する場合
- 組織の脅威プロファイルに対するフィードの新鮮さ、精度、関連性を評価する場合
- IOCをSIEMイベントと相関させる自動エンリッチメントパイプラインを構築する場合
使用しないでください: CTIベースラインを確立せずに、生のパケットキャプチャ分析やライブインシデントトリアージにこのスキルを使用しないでください。
前提条件
- ThreatConnect、MISP、OpenCTIなどの脅威インテリジェンスプラットフォーム（TIP）へのアクセス
- Recorded Future、Mandiant Advantage、VirusTotal Enterpriseのうち少なくとも1つの商用フィードのAPIキー
- TAXII 2.1クライアントライブラリ（taxii2-client Pythonパッケージまたは同等品）
- TIPのインジケータデータベースに対する読み取り/書き込み権限を持つロール
ワークフロー
ステップ1：フィードソースの列挙と優先順位付け
利用可能なすべてのフィードをタイプ別（商用、政府、ISAC、OSINT）に分類してリストアップします：
- 商用：Recorded Future、Mandiant Advantage、CrowdStrike Falcon Intelligence
- 政府：CISA AIS（Automated Indicator Sharing）、FBI InfraGard、MS-ISAC
- OSINT：AlienVault OTX、Abuse.ch、PhishTank、Emerging Threats
各フィードを以下の基準でスコアリングします：更新頻度、過去の精度率、自セクターのカバレッジ、属性深度。NIST SP 800-150（サイバー脅威情報共有ガイド）の基準に基づく重み付けスコアリングマトリックスを使用します。
ステップ2：TAXII 2.1またはAPI経由でのインジェスト
TAXII対応フィードの場合：
taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01
REST APIフィード（例：Recorded Future）の場合：
/v2/indicator/searchにrisk_score_min=65を指定してクエリし、低信頼度IOCをフィルタリング- APIの回復性のためにレート制限と指数バックオフを適用
ステップ3：STIX 2.1への正規化
各IOCをOASIS標準スキーマを使用してSTIX 2.1オブジェクトに変換します：
- IPアドレス →
indicatorオブジェクト、pattern: "[ipv4-addr:value = '...']" - ドメイン →
indicator、pattern: "[domain-name:value = '...']" - ファイルハッシュ →
indicator、pattern: "[file:hashes.SHA-256 = '...']"
インジケータを threat-actor や malware オブジェクトにリンクする relationship オブジェクトを添付します。ソースの精度評価に基づいて confidence フィールド（0〜100）を使用します。
ステップ4：重複排除とエンリッチメント
正規化された値とタイプを複合キーとして使用して、既存のTIPデータベースに対して重複排除を実行します。生き残ったIOCをエンリッチメントします：
- VirusTotal：検出率、サンドボックスの動作レポート
- PassiveTotal（RiskIQ）：WHOIS履歴、パッシブDNS、SSL証明書チェーン
- Shodan：バナーデータ、オープンポート、地理的位置
ステップ5：コンシューミングシステムへの配信
エンリッチされたインジケータをTAXII 2.1プッシュ経由でSIEM（Splunk、Microsoft Sentinel）、ファイアウォール（Palo Alto XSOARプレイブック）、EDRプラットフォームにエクスポートします。インジケータタイプごとにTTL（生存時間）を設定します：IPアドレスは30日、ドメインは90日、ファイルハッシュは1年。
主要概念
| 用語 | 定義 |
|---|---|
| STIX 2.1 | 構造化脅威情報表現 — IOC、脅威アクター、キャンペーン、関係性を含むCTIオブジェクトのためのOASIS標準JSONスキーマ |
| TAXII 2.1 | 信頼できる自動化されたインテリジェンス交換 — サーバーとクライアント間でSTIXコンテンツを共有するためのHTTPSベースのプロトコル |
| IOC | 侵害インジケータ — システムが侵害された可能性を示す観測可能なアーティファクト（IP、ドメイン、ハッシュ、URL） |
| TLP | トラフィックライトプロトコル — CTIの共有制限を定義する色分けされた分類（RED/AMBER/GREEN/WHITE） |
| 信頼度スコア | インジケータの悪意属性に対するプロデューサーの確信度を反映した数値（STIXでは0〜100） |
| フィード精度 | 本番検出における真陽性率で測定されるフィードの過去の正確性率 |
ツールとシステム
- ThreatConnect TC Exchange：100以上の商用およびOSINTフィードを集約。IOCエンリッチメントのための自動化プレイブックを提供。
- MISP（Malware Information Sharing Platform）：STIX/TAXIIをサポートするオープンソースTIP。ISACや政府CERTで広く使用されている。
- OpenCTI：ネイティブMITRE ATT&CK統合とグラフベースの関係性可視化を備えたオープンソースプラットフォーム。
- Recorded Future：AI搭載のリスクスコアリングとリアルタイムのダークウェブ監視を備えた商用フィード。
- taxii2-client：TAXII 2.0/2.1クライアント操作用のPythonライブラリ（pip install taxii2-client）。
- PyMISP：MISPフィード管理とIOC提出のためのPython API。
一般的な落とし穴
- IOCの古さ：IPアドレスとドメインは頻繁に変更されるため、1年前のIOCを適用すると誤検出が発生します。TTLポリシーを適用してください。
- コンテキストの欠如：関連キャンペーンや敵対者を理解せずにIOCをブロックすると、正当なビジネストラフィック（例：悪意のあるアクターと共有されるCDN IP）を妨害する可能性があります。
- 重複排除なしのフィード重複：重複排除なしで5つのフィードから同じIOCをインジェストすると、インジケータ数とSIEMルールの複雑性が増大します。
- TLP違反：許可された境界外でRED分類のインテリジェンスを再配布すると、共有契約と信頼関係に違反します。
- 低信頼度インジケータの過度なブロック：信頼度が50未満のインジケータは、ブロックではなく検出のみのルールをトリガーするようにし、運用上の混乱を避けてください。