脅威インテリジェンスとは、攻撃者、攻撃の手口、悪用されている脆弱性、攻撃に使われるサーバーなどの情報を集めて分析し、防御に役立つ形にまとめたものです。自社を狙った攻撃にも、無差別な攻撃キャンペーンにも、早めに備えることができ、侵入の痕跡を調べるときの手がかりにもなります。

情報の集め先

• サーフェスウェブ

  検索エンジンで見つかる、一般に公開されたWebサイトです。ニュース、セキュリティベンダーのブログ、SNSなどが含まれます。

• ディープウェブ

  ログインが必要なサイトや、公開されていないデータベースなど、検索エンジンでは見つからない領域です。

• ダークウェブ

  Torなどの特殊なブラウザでしか接続できない領域です。盗まれた情報の売買や、攻撃者どうしのやり取りが行われるフォーラムやマーケットがあります。

IoC（侵害の痕跡）

IoC（Indicator of Compromise）は、サーバーや端末、ネットワークが侵害されているかもしれないことを示す痕跡です。たとえば、ふだん接続しないIPアドレスやドメイン、既知のマルウェアのファイルのハッシュ値、DNSの不自然な通信パターン、アカウントの権限が引き上げられた記録などです。

脅威インテリジェンスは、このIoCが「危険なものかどうか」を、根拠とあわせて教えてくれます。

Recorded Futureは、目的ごとに分かれた「モジュール」を組み合わせて契約します。主なモジュールは次のとおりです。

Recorded Futureは単体でも使えますが、SIEMに組み込むと効果が大きくなります。社内のログに出てくるIPアドレスやドメインを、Recorded Futureのリスクリストと自動で突き合わせ、危険な接続先を見つけられるからです。

Splunkとの連携

• Recorded Future App for Splunkを入れる

  Splunkにアプリを追加し、アプリの設定画面でRecorded FutureのAPIのURLとトークンを登録します。

  

  

• 突き合わせる社内のログを決める

  たとえば、プロキシサーバー（Squid）に記録された、PCが接続したIPアドレスと、名前解決したドメインを対象にします。

  

• 相関（コリレーション）を設定する

  Recorded Futureのリスクリスト（ここではIPアドレスのリスト）を選び、突き合わせる社内のログのインデックスとフィールドを指定します。

  

• 検出結果を確かめ、深掘りする

  リスクリストと一致したものが検出結果として一覧になります。評価版の期間が短く、社員の端末もない試験環境だったため、当社の環境では何も検出されませんでした。左の画像はRecorded Futureのサンプルです。

  一覧から個別のIoCを選ぶと、リスクスコア、当てはまったルール、関連するマルウェアなどを、Splunkの中で確認できます。

  

  

• アラートを受け取る

  相関や検出ルールで見つかったものは、アプリのアラート画面にまとまります。Splunkのダッシュボードに組み込んだり、Splunkのアラート機能でメールなどに通知したりできます。

  

• 検出ルール（Sigma）を使う

  Sigma、Snort、YARA形式の検出ルールに対応しています。Recorded Futureが提供するSigmaのルールは、Splunkの検索言語（SPL）に自動で変換され、どのログのどのフィールドを見るかを対応づければ使えます。

  検出されると、どのイベントがルールに当てはまったか（実行されたコマンドなど）を詳しく確認できます。

  

  

  

さらにSOAR製品と組み合わせれば、危険と判定された接続先をファイアウォールのルールに自動で追加する、といった運用の自動化もできます。

会社情報

沿革

Gartner Peer Insightsでは、Recorded Futureの各製品が多くのレビューを集めています。良い点としては情報量の多さと根拠のたどりやすさ、不満点としてはモジュールごとの価格体系や、Identity Intelligenceの誤検知の多さが挙げられています。