Threat Intelligence Workspaceとは

Threat Intelligence Workspaceは、セキュリティ、リスク、プロダクトの各チームが確認すべきインテリジェンスを、アナリストの支援のもとで体系的に整理する手段です。指標、観測可能な情報、情報源の参照、調査メモ、確度に関する記述、フォローアップの問いを一つの作業記録にまとめ、防御、検知、調査、報告に関する判断を支えます。目的は、どの項目が検証済みで、それぞれにどの程度の重みを置けるかを明確に示すことです。インテリジェンスは、利用可能な情報源、合意した概要書、アナリストの頻度、情報源の信頼性、ある主張に合理的に付与できる確度に左右されます。本ワークスペースではそうした限界を可視化し、担当者が適切な確度をもって、情報を慎重に活用できるようにします。

何であるのか

本製品は、侵害の指標（IOC）と関連する観測可能な情報（ハッシュ、ドメイン、IPアドレス、URL、メールの指標、ファイル名、インフラの手がかり、概要書に関連するその他のアーティファクト）について、合意した構造を整えます。また、脅威アクター、マルウェア、キャンペーン、インフラの関係に関するメモ、エンリッチメントの結果、業種・地域・事業の文脈に関するプロファイル、情報源の追跡、アナリストの所見、報告書の草案も整理できます。アナリストは合意した情報源から資料を調査・選別し、項目が関連しうる理由を記録し、確度と限界をタグ付けします。チームはそのうえで、インテリジェンスを、防御的な統制のレビュー、検知クエリ、社内調査の問い、経営層への報告など、妥当な次の対応に結び付けることができます。定期的な選別と、確度を明記した帰属（アトリビューション）のメモを備えた、範囲を定めたアナリスト支援型のワークスペースです。

誰のために

Threat Intelligence Workspaceは、次のようなチームに適しています。

複数の経路から指標、ベンダーの通知、報告書、調査結果を受け取っており、情報源、確度、関連性、フォローアップを一貫して記録する方法を必要としているチーム
業種、地域、事業の文脈、脅威アクター、マルウェア、キャンペーン、インフラに関するメモを、実務的な概要書に沿って整理したいチーム
生のインテリジェンスと、防御的な統制、検知、調査、関係者への報告に関する判断とを、アナリストの支援によって橋渡しする必要があるチーム
アナリストの支援による、インテリジェンスの定期的なレビューと選別を求めるチーム

明確にするのに役立つこと

本ワークスペースで明確にできること：

対象となるハッシュ、ドメイン、IP、URL、メールの指標、関連するアーティファクト、その出所、適切な確度
アクター、マルウェア、キャンペーン、インフラの関係に関するメモが、組織の業種、地域、技術、事業の文脈とどのように結び付くか
防御的なチェック、検知の仮説、調査の問い、報告を支えうる項目と、対応前に追加の証跡が必要な項目
独立して検証された事実ではなく、不明、異論がある、古くなった、アクセスできない、限られた情報源に基づくものとして残っている事項

含まれる内容

脅威プロファイル、優先トピック、業種、地域、事業の文脈、情報源の境界、頻度、報告の対象者の書面確認
合意したハッシュ、ドメイン、IP、URL、メールの指標、関連アーティファクトについて整理されたIOCと観測情報の構造
概要書の範囲内での、アクター、マルウェア、キャンペーン、インフラ、エンリッチメント、情報源、確度、関連性、関係に関するメモのアナリストによる選別
報告された情報、推定された文脈、未検証の主張、検証を要する項目を区別する、情報源の参照追跡とアナリストの所見
対応が完了したとみなすことなく、防御、検知、調査、報告について妥当なフォローアップへとインテリジェンスを結び付ける整理
定期的なワークスペースのレビューと、優先順位、制約、次のサイクルに向けた問いを記録する簡潔な報告書またはブリーフィング

含まれていないもの

完全なSaaS型脅威インテリジェンスプラットフォーム、ダークウェブ監視の確約、リアルタイムのインテリジェンスフィード、自動アラートシステム、無制限の調査窓口
法執行機関の権能、訴追のための証拠基準、すべての指標を発見する約束、アクター、キャンペーン、インシデントの帰属の確約
確度が限られている場合に、情報源の参照、第三者の報告、アナリストの結論を独立して検証された事実であると示すこと
クライアント環境での自動ブロック、検知ルールの展開、封じ込め、インシデント対応、是正
合意した概要書と頻度の範囲外にある情報源、言語、地域、コミュニティ、プラットフォーム、インテリジェンスの対象の網羅

それを選ぶべきとき

有用な情報はあるものの、比較、優先順位付け、責任ある次のステップへの落とし込みが難しい場合に、Threat Intelligence Workspaceをお選びください。検知改善プログラム、サプライヤーとの協議、取締役会やリスクに関するブリーフィング、より良い文脈を必要とする社内調査の前に、妥当な出発点となりえます。異なるチームがばらばらの指標リストをもとに作業しており、情報源と確度について共通の記録が必要な場合にも有用です。確度を明記した定期的な選別を目的とするチームに適しています。リアルタイムの警告、自律的なアラート、権威ある帰属には、別の体制が適しています。そうした期待には、異なるデータ、人員体制、法的権限、運用体制が必要です。本エンゲージメントは、クライアントが優先資産、業種上の懸念、拠点、技術、意思決定の担当者、検討する用意のある実務的な対応を特定できる場合に最も効果を発揮します。

私たちのアプローチ

判断の文脈なしに資料を集めるのではなく、まずインテリジェンスの問いを定義します。概要書では、事業のプロファイル、優先する対象、情報源の境界、頻度、成果物を利用する担当者を定めます。観測可能な情報と関連するメモのための構造化された記録を作成し、入手可能な資料に情報源と確度のラベルを明示して選別します。各指標と関係は、その証跡が裏付ける確度とともに示します。項目が重要となりうる理由、どのような裏付けの文脈があるか、何が未確認のままかを説明します。有用なフォローアップが見つかった場合は、防御、検知、調査、報告に関する問いに結び付け、実装の責任はクライアントまたは別途範囲を定めた提供者に委ねます。定期的なレビューでは関連性を更新し、可能な場合は古くなった項目を除外または明示します。成果は、より落ち着いて使いやすいインテリジェンスの層です。

Threat Intelligence Workspaceセキュリティ製品ページを見る