redhat-infosec/priority-intelligence-requirements-devこのガイドは、サイバー脅威インテリジェンス（Cyber Threat Intelligence）の優先インテリジェンス要件（Priority Intelligence Requirements）を開発するプロセスについて説明しています。
急速に進化するサイバー脅威インテリジェンス（CTI）の領域において、優先インテリジェンス要件（PIR）の策定は、CTIプログラムおよびインテリジェンスサイクルの計画・方向付けフェーズにおける重要な構成要素です。サイバー脅威インテリジェンスアナリストであれば、小規模なCTIチーム内の限られたリソースと、意思決定者やステークホルダーに関連性が高く実行可能な情報を届けるという膨大なタスクのバランスを取るという課題をご存じかもしれません。このジレンマにより、チームはしばしば選択を迫られます。発生する脅威にその都度対応するリアクティブな姿勢を取るべきか、それともよりプロアクティブな長期的優先事項に傾くべきかという選択です。指針としてのPIRの統合は、リアクティブな能力を放棄することなく、プロアクティブな戦略的優先事項をより自信を持って追求することを支援します。このアプローチは、リサーチ、調査、分析、レポートといった従来の機能を強化するだけでなく、脅威ハンティングや検知エンジニアリングを含む脅威インフォームドディフェンスなどの高度な実践も向上させます。このブログ記事では、より効果的で戦略的なCTI機能を形成する上でのPIRの重要性を解き明かしながら、この極めて重要なプロセスを掘り下げ、それによって組織内でチームがより大きな影響を与えられるようにします。
当初のRed Hatプロセスは、内部要因に焦点を当てたものと外部要因に焦点を当てたものという、2つの異なるリスク評価演習を中心に構成されていました。これらの演習はその後、マッピング演習に統合され、そこから一貫したPIRセットを導き出しました。その目標は野心的でした。脅威環境の「What（何を）」「Who（誰が）」「How（どのように）」に対処することです。「What」は組織のデータとインフラを指し、「Who」は国家主体、組織犯罪、ハクティビストなどの脅威アクターの高レベルな説明を含み、「How」には初期アクセスベクターの種類が一部含まれていました。
紙面上では、脅威アクター（TA）の分類と初期アクセスベクター（IAV）はうまく機能し、PIRをステークホルダーに提示する際に一見包括的なストーリーを提供していました。しかし、この演習を組織全体で繰り返し展開するにつれ、重大な課題に直面しました。このプロセスは労働集約的で、チームに数週間の作業と数十時間を追加で要しましたが、運用化において期待された価値は得られませんでした。また、脅威アクターと初期アクセスベクターの一般的な分類には、運用化に必要な深さが欠けていることも分かりました。欠けていたのは、戦術・技法・手順（TTP）や関連するMITRE ATT&CK分類のような、より細かい粒度でした。このギャップを認識し、私たちはPIRの運用化により実質的なインプットを提供する側面に焦点を移しました。
これは5段階のプロセスです。ステップ1では戦略文書から組織の主要な要素を特定し、ステップ2ではこれらの要素を支援資産にマッピングし、ステップ3ではカスタム分類を使用して要素を敵対的操作のタイプと関連付け、ステップ4では可能性/影響マトリクスを使用して攻撃者にとっての要素の魅力を判断するリスク評価を行い、最後にステップ5でPIRを実行可能なインテリジェンス要件にカスタマイズします。
最初のステップでは、組織の中核となる要素を特定します。これらの要素は情報セキュリティに直接関連するものではありませんが、組織のアイデンティティを定義する上で極めて重要です。これらは、年次報告書、事業戦略、上級リーダーシップのコミュニケーション、さらにはウェブサイトの「About」セクションなどの高レベルの戦略文書から導き出されます。これらの文書には、組織の戦略、ミッション、ビジョンを要約したキーワード、トピック、または短い文章が含まれています。
組織のELEMENTS（要素）を定義するのに役立つ質問：
これらの要素は、明白な側面と微妙な側面の両方を含め、組織の本質を説明するものでなければなりません。これらは、組織をユニークにしているもの、顧客が製品やサービスを選ぶ理由、競合他社と差別化される点を定義します。これには、専有情報、研究開発、パートナーシップ関係、機密性の高い企業情報などの貴重なデータも含まれます。
架空の電気自動車メーカーStellar Electric1の要素の例：
サブステップ: FUNCTION（機能） これらの要素に関連する「FUNCTION（機能）」と呼ばれるサブステップがあります。これは、情報セキュリティの観点から何を保護する必要があるかを明確にすることで、要素を情報セキュリティに結び付けます。例えば、要素が「限られたバッテリー生産」である場合、その機能はバッテリー生産の継続確保かもしれません。このコンテキストは、情報セキュリティの観点から要素を理解するのに役立ち、その後のリスク評価演習を導きます。
出力： 組織のELEMENTS（要素）とそのFUNCTION（機能）を一覧にしたシート
組織の要素を定義したら、次のステップは、それを支えるテクノロジー、データ、または情報をこれらの要素にマッピングすることです。このステップは、アプローチに応じて高レベルにも詳細にもできます。例えば、要素がバッテリー生産を支える運用技術（OT）である場合、主要な資産は生産を稼働し続ける運用技術（OT）と産業制御システム（ICS）かもしれません。専有技術の場合、重要な資産は専有情報を含む文書かもしれません。このステップは、組織の抽象的な要素を有形の資産にリンクすることです。これは、組織の理論的な理解と保護の実際的な側面との間の重要な架け橋です。Red HatでPIRを策定する際、私たちはこれを高レベルに保ち、構成管理データベース（CMDB）や類似のドキュメントからの過度に具体的な詳細を避けました。これは、この演習にとって圧倒的で詳細すぎるためです。
これらの2つのステップは、堅牢なCTIプロセスの基盤を形成し、組織の本質をセキュリティニーズと整合させ、次のステップでの敵対的脅威操作のマッピングとリスク評価の舞台を整えます。
出力： 組織のELEMENTS（要素）を一覧にしたシートの「Supporting ASSETS（支援資産）」列
このステップでは、先に特定した組織の要素を、特定のタイプの敵対的操作に関連付けます。既存のサイバー攻撃の分類は私たちのニーズに完全には適合しないことが分かり、独自の分類を開発するに至りました。この分類は、サイバー攻撃がビジネス運営に与える影響と、脅威インテリジェンスプラットフォーム（TIP）における分類で使用される用語の適用可能性に焦点を当てています。これは運用化にとって極めて重要です。例えば、私たちはより正確な亜種ではなく、比較的曖昧な用語である「ランサムウェア」を使用します。なぜなら、その用語の方がTIPで検索結果が得られる可能性が高いからです。私たちの分類における操作のタイプには、ランサムウェア、スパイ活動、金融詐欺、サービス拒否、そして組織が初期アクセスベクターとしてのサプライチェーンではなく標的となる「ダウンストリーム」サプライチェーン攻撃が含まれます。
この分類がニーズに合わない場合は、MITRE ATT&CK、STRIDE、VERISフレームワーク、CAPEC、またはENISAやFIRSTのタクソノミーなどの既存のフレームワークを利用できます。あるいは、攻撃は機密性、完全性、可用性への影響に基づいて分類することもできます。
出力： 組織のELEMENTS（要素）に関連付けられた敵対的操作のタイプ
第4のステップは、可能性/影響マトリクスを使用したリスク評価演習です。このステップは、リスク評価に対する特定の考え方を育成することを目的としています。私たちは「可能性」を「魅力」と呼びます。特に情報セキュリティ以外の担当者とコミュニケーションを取る際に、この方が演習の理解に役立ちます。したがって、焦点は、攻撃者にとっての要素や資産の魅力度と、侵害された場合の潜在的な結果を判断することに置かれます。
出力： スコアリングされランク付けされたELEMENTS（要素）、FUNCTIONS（機能）、ASSETS（資産）、および敵対的操作のタイプ
リスク評価演習の最後には、PIRの数の好みに応じて、上位5つまたは上位10の要素のランク付けされたリストと、マッピングされた敵対的操作のタイプが得られます。この最後のステップでは、最終的なPIRの形式を決定します。短いステートメント、インテリジェンスに関する質問、情報要求、またはその他の形式にするか？Red Hatでは、シンプルさを保ち、ランク付けされた要素を元の形式のまま使用することにしました。場合によっては、結果をより実行可能なステートメントに言い換える必要があるかもしれません。例えば、「EU拠点、10億ユーロ超の収益を持つ電気自動車業界の企業」のような要素は、「収益、地理、業界、市場での地位に基づくSTELLARへの脅威」のような、より理解しやすいPIRに変換されるかもしれません。この包括的なプロセスにより、PIRは組織の特定のニーズと特性に合わせて調整されるだけでなく、セキュリティ態勢のコンテキストにおいて実行可能かつ関連性のあるものになります。
出力： PIR
客観性を確保し、個々のアナリストや個々のチームによるバイアスを制限したい場合は、演習をより大規模に実施することを好むでしょう。理想的には、マッピング（ステップ3）とリスク評価演習（ステップ4）において組織のビジネス側に関する十分な知識を持つ回答者を含む、複数のCTIステークホルダーを関与させるべきです。PIR開発用のシートは単一の回答者向けに設計されているため、複数の回答者がいる場合は、中央値または平均スコアを計算し、PIRを手動でランク付けする必要があります。組織の戦略、脅威アクター、初期アクセスベクターなど、リスク評価演習の対象はどれも不変ではありません。PIRの定期的なレビューは、プロセスに必要な一部です。一方で、脅威環境は非常に動的で絶えず変化していますが、組織が大きな変革を遂げていない限り、高レベルのPIRは比較的安定しているべきです。
ELEMENTS（要素）を定義し、複数のステークホルダーが同じように理解できる適切な質問を提示することは、簡単なことではありません。1年目で完璧なPIRプロセスを達成することはかなり困難です。最初の試みは試験的なものと見なし、組織全体から選ばれた少数のステークホルダーからのみインプットを求めることを好むかもしれません。彼らがあなたの意図したとおりに質問とリスク評価演習を理解していることを確認し、できるだけ多くのフィードバックを集めるようにしてください。次の反復では学んだ教訓を活かし、新しい視点を得てチームが持つ可能性のあるバイアスを回避するために、組織からより幅広い人々を関与させてください。PIRは、サイバー脅威インテリジェンスプログラムのためのツールを提供するだけでなく、その開発プロセスは、組織を探索し、組織全体の複数のチームと関わり、攻撃対象領域と業界に対する幅広い脅威の関連性を調査するための、あなたとチームにとっての素晴らしい学習機会を提供します。
Red Hat PIRsプロセスv1.1テンプレートのコピーを作成してカスタマイズできます。
モックアップ企業Stellar Electricの年次報告書 ↩
