Intelligenceの定義などについて解説しました。Intelligence(戦術的インテリジェンス)に焦点を当ててみたいと思います。Consumption"によれば、以下のように定義されています。them.戦術的インテリジェンスとは、IoCとTTPsを消費することである。これは、組織のセキュリティを推進することを助け、脅威を捕らえ、よりよく対応することを可能にする。以前のエントリーで記載した通り、インテリジェンスは消費者(Consumer)と生産者(Producer)により見方が異なります。上記の定義では、インテリジェンスを消費する消費者側(Consumer)に立った定義ですが、戦術的インテリジェンスは日々のセキュリティ運用の支援に焦点を当て、攻撃者の動向を分析することを目的としています。Team)のために翻訳し、より使いやすく情報を加工するため、インテリジェンスを消費していきます。Compromise)を作成することなどが挙げられます。ちなみに、インテリジェンスを分析・研究の過程で新しいIoC(IPアドレス、特定のレジストリ情報)が作成されれば、インテリジェンスの生産者としての役割を果たしたことにもなります。この例からもわかる通り、消費者(Consumer)・生産者(Producer)の立場は一方に縛られるものではなく、状況により変化することになります。Community)から提供されるIoCをもとに分析をスタートします。技術的な調査手法はフォレンジックで利用する分析技術(ログ解析、ネットフローデータ分析、メモリ解析、フォレンジック解析)などの各種技術を利用して分析を行います。分析の結果新しいIoC(マルウェア・C2通信のIPアドレス)などがあれば、OSINT技術を利用して、さらなる情報や特定の攻撃主体とのリンク分析など分析の幅を広げることができます。ここでは、情報を整理するためのモデルについて以下3つを紹介します。攻撃モデル第一のツールは、攻撃モデルです。Chainモデルだと思いますが、実は各社色々なモデルを提示しています。これについては、自社の他の対策やポリシーになったものを自由に選べばよいと考えます。Chainモデルを使って考えていきます。Action)を決定したり、それに基づく結果を整理する表のことです。一般的には、防御の指針を示す7Dを置いてアクションを決めることが一般的です。Modelとは、各イベントとは4つの特徴(Adversary・Capabilitiy・Infrastructure・Victim)により定義づけられるとして、イベントをダイアモンドで表現するモデルです。Axis(CapabilityとInfrastructureをつなぐ横の線)が合理的に説明がつくことが重要となります。実際の分析では、この攻撃モデルの各フェーズに従いこのダイアモンドがかかれ、連鎖していく形で記述を行います。Diamondsという記事があるため、一読されることをおすすめします。Modelをよく利用して分析を行っているThreatConnect社がAPTグループ「Naikon」の分析した結果を示します。このモデルを見ると、この分析によれば、攻撃グループ(Adversary)は「中国人民解放軍78020部隊」と関係性があること、特殊なツール群を使う能力(Capability)を持っていること、中国のダイナミックDNSインフラ基盤を攻撃基盤(Infrastructure)として使っていることなどがわかります。Axis(CapabilityとInfrastructureをつなぐ横の線)が重要で、この二つの線が合理的に説明できることが重要といわれています。Axisとは、なぜ攻撃者が被害者を狙うのか、説明する軸です。この事例の例では、「南シナ海への中国対外政策」という理由が挙げられます。Axisとは、攻撃者の能力とインフラストラクチャをつなぐつながりを意味し、脆弱性(CVE-2012-015)やフィッシング攻撃などの理由が挙げられます。Intelligenceは、技術的要素も多く一番セキュリティチームとしてイメージしやすい部分だと思います。Analystの強みは技術的分析をできることに加えて、断片的な情報を組み合わせて攻撃者のシナリオや手法を整理していき、全体感を示して対策につなげていくという部分になるだと考えています。Attributionについて付け加えました。Security』を再考するAnti-Intelligence技術について考えてみるスポンサーリンクはてなブログをはじめよう!security_consultantさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。