金融ISAC アニュアルカンファレンス 2020：Intelligence Driven Securityの「ことはじめ」

Copyright ©2020 Tomohisa Ishikawa All rights reserved
Intelligence Driven Securityの「ことはじめ」
～なぜ金融機関はIntelligence Driven Securityが必要か？～
2020年5月
東京海上ホールディングス株式会社
IT企画部リスク管理グループ
石川朝久, Ph.D., CISSP, CSSLP, CISA, CISM, CFE, PMP
1
金融ISAC アニュアルカンファレンス 2020
アワード受賞記念講演

金融ISACアワード、ありがとうございます！！
2

今日のテーマとお話したいこと
テーマ：脅威インテリジェンス
• 攻撃者へのプロアクティブな対応のため、脅威インテリジェンスが必要不可欠！
• 一方、脅威インテリジェンスも具体的活用に悩む企業も多い。
• 本講演では、「脅威インテリジェンス」の活用方法について紹介する。
アジェンダ
• 1 : 脅威インテリジェンスとは？
– 1-1 : Tactical Intelligence
– 1-2 : Operational Intelligence
– 1-3 : Strategic Intelligence
• 2 : 脅威インテリジェンス利用時の注意事項
• 3 : まとめ
• Appendix
3

自己紹介：石川朝久
• 所属：東京海上ホールディングス株式会社 IT企画部リスク管理グループ
• 専門：不正アクセス技術・インシデント対応・グローバルセキュリティ戦略 etc.
• 資格：博士（工学）, CISSP, CSSLP, CISA, CISM, CFE, PMP
• GIACs（GSEC, GSNA, GPEN, GWAPT, GXPN, GREM, GCIH, GCFA, GWEB）
• 経歴：
• 2009.04 – 2019.03 ：某セキュリティ企業
• 侵入テスト（Red Team）・インシデント対応・脆弱性管理・セキュア開発、セキュリティ教育 etc.
• １年間、米国金融機関セキュリティチームに所属した経験あり
• 2019.04 – 現在：東京海上ホールディングス株式会社
• 国内外グループ企業のセキュリティ支援・CSIRT運用・グローバルセキュリティ戦略 etc.
• 対外活動（抜粋）：
– DEFCON 24 SE Village Speaker (2016)
– Internet Week 2018 & 2019 (2018-2019)
– IPA 情報処理技術者試験委員・情報処理安全確保支援士試験委員（2018~）
– IPA 「10大脅威執筆者会」メンバ（2010～2014, 2019~）
– オライリー社『インテリジェンス駆動型インシデントレスポンス』翻訳・監訳
• 現在も、次の本を翻訳しているので、こうご期待！！
4

注意・ご連絡
• 本プレゼンテーションの内容は、全て講演者個人の見解です。
所属企業・部門・金融ISAC・所属WG・その他所属組織の見解を代表
するものではありません。
• 講演の内容については、講演者の研究、グループ会社などの取り組みなど
を参考にしながら作成しています。
• 製品名・ベンダー名などが登場した場合、講演者にて推奨しているわけ
ではありません。利用については各組織にて判断をお願いします。
5

Copyright ©2020 Tomohisa Ishikawa All rights reserved 6
1 : 脅威インテリジェンスとは？

脅威インテリジェンスとは？
• 脅威インテリジェンス = 脅威 + インテリジェンス
• 脅威：意図 × 能力 × 機会
– 脅威インテリジェンスとは、この３要素に関する情報を集めること
– 意図：どんな攻撃者が、どんな動機で自社を狙うのか？
• 自社の「資産」に基づいて、動機や意図が決定される
– 能力：攻撃者はどのような攻撃手法を使うのか？
• 自社の「環境」や「脆弱性」により、利用する攻撃手法が決定される
– 機会：攻撃を実現する環境・条件が整っているか？
• 自社の利用環境を攻撃可能な攻撃コードが公開されているか？
7参考：https://www.osti.gov/servlets/purl/1034822

• インテリジェンス：
– 情報・データを以下の要件を満たすように分析・加工したもの
– 良いインテリジェンスの４要件：4A
• Accurate（正確な）
• Audience Focused（利用者目線である）
• Actionable（アクショナブル）
• Adequate Timing（適切なタイミング）
– （ご参考）CRESTによるインテリジェンスが満たすべき原則：CROSSCAT Principle
• 詳細は、本資料のAppendixを参照のこと
8参考：『インテリジェンス駆動型インシデントレスポンス』

• インテリジェンス：
– 情報・データを以下の要件を満たすように分析・加工したもの
– 分析方法：インテリジェンス・サイクル
9参考：『インテリジェンス駆動型インシデントレスポンス』

• 脅威インテリジェンスは、なぜ必要か？
– より高度（効率的・効果的）な「セキュリティリスク管理」のため
• リスク = 脅威 × 脆弱性 × 資産
10
脅威脆弱性資産
（Crown Jewel）
（理論）自社でコントロールできる領域コントロールできない領域
参考：ISO/IEC 27005 Information Security Risk Management1

11
（Crown Jewel）
（理論）自社でコントロールできる領域
（現実）膨大な管理労力
（投入できる）リソースの限界
クラウド・サプライチェーンなど難しい管理領域
コントロールできない領域

The adage is true that the security systems
have to win every time,
the attacker only has to win once.
The Art of Intrusion, written by Kevin Mitnick
セキュリティ・システムは常勝を義務づけられ、攻撃者は一度勝つだけで良い、
という格言は的を射てる。
12

13
（Crown Jewel）
「リスク管理」の優先度をつけるため、「脅威」に注目する。（＝敵を知る）
• 結局、サイバーリスクのドライバー（起点）となるのは、「脅威」である。
• セキュリティリソース（人・モノ・金・時間）は限られるため、全方位に十分な対策を行うことが
難しい。そのため、具体的な脅威へ対応することを優先する。

• 活用ポイント：種類と目的を理解する（誰に価値を提供するか？）
– DoDモデル：米国国防総省によるインテリジェンス分類（※1・※2）
14
LongTerm
Strategic Intelligence
• 経営層・リーダ向け
• リスク変化に対するハイレベルな情報を提供することで、セキュリティに関する適
切な意思決定・投資判断のインプットとする。
Operational Intelligence
• セキュリティアーキテクト・管理者・SOC担当者向け
• 攻撃者のプロファイル、攻撃手法（TTPs）など攻撃者の手法を理解
し、短期～中期的なセキュリティ改善活動に活用する。
• TTPs : Tactics, Techniques and Procedures
ShortTerm
Tactical Intelligence
• SOC担当者向け
• 日々のセキュリティ運用において、（セキュリティ製
品に反映される前の）攻撃シグニチャ（IOC）を取得・
設定することでインシデントを未然に防ぐ。
※1 : 各分類の詳細な対象者・役割は、講演者の研究に基づく。
※2 : 英国CPNIが定義した分類モデルが存在する。詳細はAppendix参照のこと。

1-1 : Tactical Intelligence

• SOC運用者のための脅威インテリジェンス
– 日々のセキュリティ運用を支える為のインテリジェンス
（１）IOC活用による脅威の予防・検知
• IOC（Indicator of Compromise・侵害指標）
– 実際に発生した脅威・攻撃手法を特定するための技術的特性情報（=シグニチャ）
– 例）ハッシュ値・IPアドレス・ドメイン名・マルウェアがPC上に残る痕跡
• IOCの活用方法
– 検知：過去 or 現時点で、自社が攻撃されていないことを確認する。
• 攻撃された場合は、IOCを活用してインシデント対応を行う。
– 予防：将来、自社に同様の攻撃が発生しないようにDeny Listへ登録を行う。
• IOCの鮮度は非常に短い！！
– IOC活用により、シグニチャ化していない業界固有の脅威を予防・発見できる。
– 但し、こうした脅威情報は製品ベンダーも収集しており、時間が経過すればシグニチャと
して提供される。そのため、IOC活用の意義は、ゼロデイ期間（=シグニチャ化されるまで
の期間）に攻撃を予防・検知することにある。
• 量とスピードが重要のため、SOAR等の自動化を目指すことが望ましい！！
16

• SOC運用者のための脅威インテリジェンス
– 日々のセキュリティ運用を支える為のインテリジェンス
（２）脆弱性管理への応用
• 収集
– 脆弱性情報を収集し、自社がやられる「機会」が存在するか確認する。
• トリアージ
– 攻撃コードの公開状況、ツール、業界における攻撃状況などの脅威インテリ
ジェンスと突合させて、パッチ適用の優先度を判断するために活用する。
• 量とスピードが重要のため、自動化を目指すことが望ましい！！
• 脆弱性管理への脅威インテリジェンスの応用は、データ量とスピードが勝負で
あるため、製品等を利用しながら自動化していくことが望ましい。
17

1-2 : Operational Intelligence

Operational Intelligence
• 各種セキュリティ担当者向けの短期～中期的な脅威インテリジェンス
– 攻撃者のプロファイル、攻撃手法（TTPs : Tactics, Techniques & Procedures）
を把握し、改善活動・意思決定に活用する。（= MITRE ATT&CKの活用）
19
担当者応用方法内容
SOC担当者
インシデント対応
(Incident Response)
インシデント対応を行う際、攻撃手法（TTPs）を活用して効率的な
対応を行う（詳しくは、本をご参照ください）
→ 性質上、Tactical Intelligenceに近い部分もある。
SOC担当者
脅威ハンティング
(Threat Hunting)
既存のセキュリティ対策を回避する高度な脅威を検知・隔離するため、
能動的・再帰的にネットワーク内を探索するプロセス。既存のインテ
リジェンス（TTPs）を起点に、新しい脅威を見つけ出す。
SOC担当者
TLPT
(Threat Lead Pen Test)
TLPTとは、実際の攻撃シナリオに基づいて侵入テストを実施し、脅
威を防ぐ態勢（予防・検知・対応）を確認する手法。攻撃シナリオ構
築に攻撃者のプロファイル・攻撃手法（TTPs）を利用する。
セキュリティ
アーキテクト
アーキテクチャの改善
(Defensive Architecture)
Defensive Architectureとは、攻撃を予防・検知・対応できるアーキ
テクチャである。攻撃手法（TTPs）を活用し、セキュリティ態勢
（製品・プロセス・人）の改善検討へ利用する。
GRC担当
リスク評価
(Risk Assessment)
リスク評価において、新しい攻撃手法・シナリオ（TTPs）を利用し
て評価を行うことで、最新の攻撃シナリオへの対応を可視化できる。

1-3 : Strategic Intelligence

• リーダのための脅威インテリジェンス
– セキュリティに関する意思決定・投資判断を行うためのインテリジェンス
• 主に伝える情報は、以下の通り（＝投資・意思決定のインセンティブ提供）
– サイバー攻撃に関する動向
• Ex）Zoom-Bombingや、リモートワークにおけるセキュリティについて
• Ex）Zero-Trust Architectureについて
• Ex）他社・他業種における攻撃動向について
– （セキュリティに関連する）外部環境情報
• Ex）規制・新しい技術動向・他社の取り組みなど
• PESTLEフレームワークを応用する（もともとは、マーケティング用語）
• Strategic Intelligence（外部環境）を提供し、インセンティブを提供した
場合、次は必ず「うちはどうなっているんだ？」と質問される。
• そのため、KPI・KRIを使い、自社のセキュリティリスク（内部情報）を
インプットしておく必要がある。
21

• PESTLEフレームワーク : 外部マクロ環境を構成する６つの観点
22
Political
政治的要因とは、自社に関連する政治的醸成（訴訟・特定の国・
組織・団体とのトラブル）を分析し、必要なリスクを訴求する。
Economic
経済的要因とは、他社事例の被害額、自社データの価値などを
算出しながら、必要な投資やリスクを訴求する。
Social
社会的要因とは、セキュリティに対する世論の考え方・反応・意
見、および同業他社・異業種の取り組みを参考にしながら、自社
のセキュリティ状況と比較し、投資やリスクを訴求する。
Technological
技術的要因では、新しい技術動向・トレンド情報から、必要な
セキュリティ投資やリスクを訴求する。
Legal
法的要因（政府方針・業界団体による規制・ガイドライン）など
をトリガーに、必要なセキュリティ投資やリスクを訴求する。
Environmental
環境要因では、他社攻撃情報・脅威動向をもとに、必要なセキュ
リティ投資やリスクを訴求する。

2 : 脅威インテリジェンス利用時の注意事項

脅威インテリジェンス利用時の注意事項
• No.１：「脅威インテリジェンス」の目的を見失わない！
– 脅威は、所詮「管理できない要素」である。
• 敵を知ることは大事だが、「リスク管理」の高度化という目的を忘れないこと。
– 民間企業の場合、名前が知られている攻撃グループ等を脅威アクターとして想定
すれば、最初は十分だと考えられる。
24

脅威インテリジェンス利用時の注意事項
• No.２：脅威インテリジェンスの最大活用には、一定の成熟度が必要！
– Cyber Hygiene（サイバー公衆衛生）+ “Passive Defense”ができる程度の成熟度は必要
– Cyber Hygieneについては、Appendix参照のこと
• Sliding Scale of Cybersecurity：サイバーセキュリティ態勢の成熟度モデル
– SANS InstructorのRobert M. Leeにより、2015年に提唱されたモデル
– Architecture
• セキュリティを念頭にシステム計画・構築・維持を行う態勢があること
– Passive Defense
• 人が継続的に関与せず、一貫性のある防御メカニズムを有している状態
⇒ シグニチャベース（+一部の振る舞い検知）の検知・対応
25効果的に利用できる成熟度

3 : まとめ

まとめ
本日お話したかったこと
• 脅威インテリジェンスの定義・必要性・活用方法について共有
• 金融ISACをどう活用し、貢献していくか？
→ 講演の中でお話させていただきます。
27

ご清聴、ありがとうございました。
28

Appendix

Appendix A : CROSSCAT Principle
• CREST（英国式TLPTベンダー認定組織）が提唱している脅威
インテリジェンスが満たすべき原則
• CROSSCOT Principle
– Centralized ：集中的に管理して、効率性を意識すること
– Responsive ：（利用者が）即時活用な形で提供すること
– Objective ：客観的であること
– Systematic ：一貫性を持ったプロセスで処理・利用されること
– Sharing ：情報提供元に配慮しながら、適切に共有すること
– Continuous Review ：インテリジェンスは定期的に見直すこと
– Accessible ：適切な利用者への可用性を確保すること
– Timely ：適切なタイミングで提供すること
• 参考文献
– https://www.crest-approved.org/wp-content/uploads/CREST-Cyber-Threat-Intelligence.pdf
30

• 「英国CPNIが定義した分類モデル」は以下の通り。
Appendix B :英国CPNIの分類モデル
31
LongTerm
Strategic
リスク変化に対する
ハイレベルな情報
役員・リーダ
Tactical
攻撃者が利用する
攻撃手法・TTPs
アーキテクト・管理者
ShortTerm
Operational
特定の攻撃の詳細
SOC担当者
Technical
IOC・脆弱性動向
SOC担当者
High Level Low Level
参考：
https://www.ncsc.gov.uk/content/files/protected_files/guidance_files/
MWR_Threat_Intelligence_%20whitepaper-2015.pdf

Appendix C : Cyber Hygiene
Cyber Hygiene（サイバー公衆衛生）：セキュリティ基本対策の徹底
定義：CIS Controlsの1~6を実装すること（by CIS CSC）
• CIS Control 01：ハードウェア資産のインベントリとコントロール
• CIS Control 02：ソフトウェア資産のインベントリとコントロール
• CIS Control 03：継続的な脆弱性管理
• CIS Control 04：管理権限のコントロールされた使用
• CIS Control 05：ハードウェアおよびソフトウェアのセキュアな設定
• CIS Control 06：監査ログの保守、監視および分析
効用：CIS Controlの最初の５つを実装すれば、サイバー攻撃リスクを85%削減可能
元ネタは、ASD（Australian Signals Directorate）の「Top 4 Mitigation Strategiesにより85%
の脅威を防げた」というデータによる。ASDはTop 35 Strategiesと呼ばれる施策を提示しており、
さらに絞り込んだEssential 8とTop 4 Mitigation Strategyを提唱している。
• ASD Top 4 #1 Application Whitelisting → CIS Control #5
• ASD Top 4 #2 Patch Application → CIS Control #3
• ASD Top 4 #3 Patch OS → CIS Control #3
• ASD Top 4 #4 Restrict Admin Privilege → CIS Control #4
32

Appendix D : 参考文献
• 『攻撃者をあぶり出す、プロアクティブなセキュリティアプローチ』
– Internet Week 2019の講演で、Threat HuntingとTLPTについて解説しています。
– https://www.nic.ad.jp/ja/materials/iw/2019/proceedings/d2/
• 『丸ごと分かるペネトレーションテストの今』
– Internet Week 2018の講演で、ペネトレーションテストについて詳細を解説しています。
– https://www.nic.ad.jp/ja/materials/iw/2018/proceedings/d2/
• Threat Actorについて
– THREAT GROUP CARDS : A THREAT ACTOR ENCYCLOPEDIA
– MITRE ATT&CK Threat Group
– ATT&CK Navigator
33

金融ISAC アニュアルカンファレンス 2020：Intelligence Driven Securityの「ことはじめ」

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to 金融ISAC アニュアルカンファレンス 2020：Intelligence Driven Securityの「ことはじめ」

Similar to 金融ISAC アニュアルカンファレンス 2020：Intelligence Driven Securityの「ことはじめ」 (20)

Recently uploaded

Recently uploaded (9)

金融ISAC アニュアルカンファレンス 2020：Intelligence Driven Securityの「ことはじめ」