「脅威インテリジェンス」という言葉を、セキュリティの資料やニュースで見かける機会が増えました。ただ、攻撃者や手口に関する情報そのものを指すのか、それを扱うツールを指すのか、意味がはっきりしないまま使われていることも少なくありません。
脅威インテリジェンスは、ひとことで言えば「攻撃者やその手口に関する情報を集めて分析し、自社の守りに役立つ形にしたもの」です。似た言葉に脅威情報・IoC・OSINTなどがあり、この違いが分かると、各社の説明がぐっと読み解きやすくなります。
この記事では、脅威インテリジェンスの意味を具体例とともに整理し、似た用語との違い、種類（戦略的・運用的・戦術的など）、情報が集まるまでの流れ、そして自社の検知・調査に現実的にどう生かし始めるかまでを解説します。
目次
一括ダウンロードする
脅威インテリジェンスとは？
まず、脅威インテリジェンスが結局なにを指す言葉なのかを整理します。
脅威インテリジェンス（サイバー脅威インテリジェンス、CTI：Cyber Threat Intelligence）とは、攻撃者やその手口に関する情報を集めて分析し、自社のセキュリティ対応の判断に使える形にしたものです。公的なガイドラインでは、次のように定義されています。
本書においては「脅威インテリジェンスとは、サイバーセキュリティに関する脅威情報を収集・加工し、またそれらを分析することによって得られるインテリジェンスに基づく組織のセキュリティ対応における意思決定のライフサイクルを指す」ものとして取り扱う。
出典：脅威インテリジェンス 導入・運用ガイドライン｜IPA（独立行政法人情報処理推進機構）
ここでのポイントは、脅威インテリジェンスが特定のツールやサービスそのものではなく、「情報を集めて分析し、意思決定に生かす一連の流れ（ライフサイクル）」を指すという点です。
ここで言う「脅威」は、ガイドラインでは「システムや組織に対し、害を与えるあるいは望まないインシデントを発生させる潜在的原因」と定義されています。
具体例で考えてみます。あるランサムウェアがVPN機器の脆弱性を突いて広がっているという情報を外部から入手し、自社のVPN機器のバージョンを確認して優先的に更新する。この「情報を踏まえて自社がどう動くか」の判断までを支えるのが脅威インテリジェンスです。
出典・参考資料（1件）
- 出典：脅威インテリジェンス 導入・運用ガイドライン｜IPA（独立行政法人情報処理推進機構）（PDF）
脅威情報・IoC・OSINTとの違い
ここからは、脅威インテリジェンスと混同されやすい用語を整理します。
脅威インテリジェンスを理解するうえで紛らわしいのが、よく一緒に登場する用語です。これらは情報の加工段階・中身・集め方という、別々の切り口を指しています。混同しやすい用語を、切り口ごとに並べて整理します。
| 用語 | 切り口 | 意味 |
|---|---|---|
| 脅威情報（データ） | 情報の段階 | 収集したそのままの情報。ガイドラインは「収集する情報をデータ」と呼ぶ |
| インフォメーション | 情報の段階 | データに背景情報（コンテキスト）を加えたもの |
| インテリジェンス | 情報の段階 | インフォメーションに、自社の活動に使えるコンテキストを加えたもの。脅威インテリジェンスはこの段階を指す |
| IoC（Indicator of Compromise／侵害の痕跡） | 情報の中身 | 侵害を示す指標。攻撃に使われたIPアドレス、不正ファイルのハッシュ値、マルウェア情報など |
| TTPs（Tactics, Techniques, and Procedures／戦術・技術・手順） | 情報の中身 | 攻撃者の行動パターン。戦術と技術を体系化した知識ベースがMITRE ATT&CK |
| OSINT（Open Source Intelligence） | 情報の集め方 | ニュース・SNS・専用ツールなど、公開情報から集める方法 |
| HUMINT（Human Intelligence） | 情報の集め方 | 内部からの問い合わせ、外部組織やベンダーからの通報など、人を介して集める方法 |
| SIGINT（Signal Intelligence） | 情報の集め方 | セキュリティ機器のアラート・ログ・パケットから集める方法 |
データ→インフォメーション→インテリジェンスという段階は、集めただけの情報（データ）が、分析を経て初めて判断に使える「インテリジェンス」になることを示しています。脅威情報という言葉は、この入口にあたるデータや情報を指して使われることが多い言葉です。
情報の中身を表すIoCとTTPsも区別しておくと役立ちます。IoCは攻撃のたびに変わりやすい一方、TTPs（攻撃者の戦術・技術・手順）は変えにくく、防御側にとって価値が高いとされます。このTTPsを実際の攻撃観測にもとづいて体系化した代表が、無償で公開されている知識ベース「MITRE ATT&CK」です。
出典・参考資料（2件）
脅威インテリジェンスの4つの種類と使い分け
ここでは、脅威インテリジェンスの種類と、それぞれ誰が何に使うのかを整理します。
脅威インテリジェンスは、目的や使う人によっていくつかの種類に分けられます。公的なガイドラインや多くの解説では「戦略的・運用的・戦術的」の3種類に整理されますが、ベンダーによっては「技術的（テクニカル）」を加えた4種類で説明することもあります。それぞれの使い手と用途を並べると、違いがつかみやすくなります。
| 種類 | 主な使い手 | 用途 |
|---|---|---|
| 戦略的インテリジェンス | 経営層 | 脅威動向や外部環境を分析してリスクを明確にし、セキュリティの意思決定・投資判断を支援する |
| 運用的インテリジェンス（オペレーショナル） | セキュリティ改善の担当 | 攻撃手法（戦術・技術・手順）を理解し、ペネトレーションテストなど短〜中期の改善に生かす |
| 戦術的インテリジェンス | 日々のセキュリティ運用（SOCなど） | 攻撃シグネチャや脆弱性情報をもとに、短期的なインシデントの予防・検知・対応に用いる |
| 技術的インテリジェンス（テクニカル） | 現場のアナリスト | IoCなど具体的・技術的な指標に特化（AWSなど一部ベンダーが独立した種類として説明） |
運用的と戦術的は紛らわしいですが、運用的は「この攻撃グループはこういう手口を使う」という攻撃手法の理解に、戦術的は「このIPアドレスやシグネチャを検知・遮断する」という日々の運用に生かす、という違いで捉えると区別しやすくなります。
3種類か4種類かは、分類の流儀の違いです。IPAやトレンドマイクロは「戦略的・運用的・戦術的」の3種類、AWSは技術的を加えた4種類で説明しています。種類の数を気にするより、「経営判断のためか、現場の運用のためか」という使い手の視点で捉えると整理しやすくなります。
出典・参考資料（3件）
脅威インテリジェンスができるまでの流れ
ここからは、脅威インテリジェンスがどのように作られ、自社で回っていくのかを見ていきます。
脅威インテリジェンスは、情報を集めて終わりではなく、繰り返し回る「ライフサイクル」として整理されます。段階の数は出所によって5段階・6段階などと分かれますが、やることの骨格はおおむね共通しています。ガイドラインは、次の5つのフェーズで整理しています。
- 方針策定：何のために何を知りたいか（目的と要件）を決め、情報の集め方を定める
- 収集・加工：OSINT・HUMINT・SIGINTなどで情報を集め、扱いやすい形に整える
- 分析：集めた情報を分析し、自社の判断に使える形にする
- 配布：経営層や運用担当など、必要とする相手に届ける
- 評価：役に立ったかを振り返り、次のサイクルに改善を反映する
トレンドマイクロは5段階、AWSは6つの構成要素として説明していますが、「目的を決める→集める→分析する→届ける→振り返る」という流れは変わりません。自社に当てはめるときも、まず目的（何を守るために何を知りたいか）から入ると、集めるべき情報が絞り込めます。
出典・参考資料（1件）
- 出典：脅威インテリジェンス 導入・運用ガイドライン（2.1.3 脅威インテリジェンスのライフサイクル）｜IPA（独立行政法人情報処理推進機構）（PDF）
脅威インテリジェンスの活用場面とメリット
ここでは、脅威インテリジェンスが自社の守りに具体的にどう効くのかを見ていきます。
ガイドラインは、脅威インテリジェンスのメリットとして、セキュリティ対応の優先順位づけができること、攻撃を受ける前に先回りした（プロアクティブな）対応ができること、インシデント対応（IR）の能力が向上することの3点を挙げています。
たとえば、同じ業界の他社で起きたインシデントの手口（侵入経路や悪用されたツール）を脅威情報として把握できれば、同じ手口の兆候を自社の検知ルールに加え、攻撃を受ける前に備えられます。IPAのガイドラインも、他社インシデントや脅威アクターの動向を自社の対策に生かすケースを挙げています。
このように、外部の脅威情報を自社の状況に当てはめることで、「どこから手をつけるか」の優先順位づけ、攻撃を受ける前の備え、攻撃を受けた際の素早い対応がしやすくなります。体制の規模を問わず、やみくもに全部対策するのではなく脅威情報で的を絞れる点に価値があり、特に人員が限られる組織ではその効果が大きくなります。
出典・参考資料（1件）
- 出典：脅威インテリジェンス 導入・運用ガイドライン（2.3 導入の意義・必要性／10.2 ケーススタディ）｜IPA（独立行政法人情報処理推進機構）（PDF）
専任者が少ない組織での始め方
ここからは、脅威インテリジェンスを現実にどう始めればよいかを整理します。専任のセキュリティ担当を置きにくい組織にとっては特に、無理なく着手できる方法を押さえておくと役立ちます。
脅威インテリジェンスと聞くと高価な専用ツールが要るように感じますが、無料の情報源や、いま使っている製品の活用から始められます。自社に本当に必要かを見極めながら、段階的に取り組むのが現実的です。着手の選択肢は、大きく次の3つに分けられます。
まずは無料の脅威情報ソースから始める（LevelBlue OTX・CISAなど）
費用をかけずに着手するなら、公開されている脅威情報ソースから始めるのが手軽です。
代表的なものに、脅威情報を共有するコミュニティ「LevelBlue Open Threat Exchange（旧 AlienVault OTX）」があります。また、米国の政府機関CISA（サイバーセキュリティ・インフラセキュリティ庁）は、脅威指標を共有するサービス（AIS）や、悪用が確認された脆弱性のカタログ（KEV）を無料で提供しています。
攻撃手法を体系的に整理した無償の知識ベース「MITRE ATT&CK」も、自社の備えを点検する土台に使えます。国内では、JPCERT/CC（JPCERTコーディネーションセンター）が重要インフラ等の組織向けに「早期警戒情報」という公的な枠組みを設けています。海外ソースに加えて国内の情報源も押さえておくと、実務で役立ちます。
出典・参考資料（4件）
既存の検知製品（EDR・SIEMなど）に脅威情報を取り込む
新たに製品を増やさなくても、いま使っているEDR（エンドポイントでの検知・対応）やSIEM（ログの統合監視）に脅威情報を取り込むことで、検知の精度を高められます。たとえば、悪用が確認されたIPアドレスやファイルの情報を取り込めば、同じ特徴の通信やファイルを見つけやすくなります。
取り込む土台となるEDRをまだ導入しておらず、少人数でも運用できる製品から検討したい場合は、中小企業が現実的に導入できる検知システムをタイプ別に比較した以下の記事が参考になります。
脅威情報を集約・共有する基盤は「脅威インテリジェンス共有プラットフォーム（TIP：Threat Intelligence Platform）」と呼ばれ、オープンソースのMISPやOpenCTIなら無料で始められます。
情報をやり取りする標準形式としては、脅威情報を記述するSTIX、それをHTTPSでやり取りするプロトコルTAXIIがあり、前述のCISAのAISもTAXIIで配信されています。これらの標準に対応した製品なら、外部の脅威情報を取り込みやすくなります。
出典・参考資料（1件）
- 出典：脅威インテリジェンス 導入・運用ガイドライン（5.1.1 TIP／5.2.2 STIX・TAXII）｜IPA（独立行政法人情報処理推進機構）（PDF）
手が回らなければ外部サービス（分析代行・脅威フィード）を使い分ける
自前での運用が難しい場合は、脅威情報の分析を代行するサービスや、整理済みの脅威情報を配信する「脅威フィード」を利用する選択肢があります。社内に専門人材を抱えなくても、必要な範囲で外部の知見を取り入れられます。
ただし、脅威情報は量が多く、集めるほど良いわけではありません。自社に関係する情報に絞らないと、情報過多で現場が回らなくなります。情報の精度は十分か、扱える人員やツールが自社にあるか、自社のニーズに合っているか。この3点を見極めて選ぶと、使いこなせないまま費用だけがかかる事態を避けられます。
一括ダウンロードする
脅威情報を自社の守りに生かすには
ここでは、脅威情報を実際の検知・調査に生かすサービスを紹介します。
脅威情報を自社の守りに生かす入口は、大きく2つあります。1つは、脅威情報を検知に取り込んで攻撃を見つける製品、もう1つは、すでに侵害が起きていないかを調べる診断です。
先ほど触れたTIPや脅威フィード、分析代行が「脅威情報そのものを扱う」仕組みだったのに対し、ここで紹介するのは、その脅威情報を受け取って実際に攻撃を検知したり、侵害を調べたりする製品です。この2つの切り口に沿って取り上げます。
| サービス名 | Network Blackbox | CoWorker 端末侵害診断サービス | Eye"247" Safety Zone |
|---|---|---|---|
| 守る切り口 | 検知（ネットワークで攻撃を見つける） | 調査（侵害の痕跡を事後に調べる） | 検知（1台ごとのPCで攻撃を見つける） |
| 脅威情報の活用ポイント | MITRE ATT&CKにもとづく脅威ハンティング 保存したパケットをさかのぼって調査 | 侵害の痕跡（IoC）を端末ログからAI解析 専門家が結果を検証 | Bitdefender共同開発エンジンの機械学習検知 振る舞い検知（ATC）で未知の脅威に対応 |
| 主な機能 | 全パケットを保存するNDR 収集・検知・ハンティング・フォレンジック・対応の5機能 | 端末ログのAIフォレンジック診断 退職者PC・定期健康・AI活用環境の3診断 | EPP（ウイルス対策）＋EDR 振る舞い検知・ランサムウェア自動バックアップ／復元 |
| 提供形態 | 通信をミラーリングして取り込み （クラウド／オンプレは非公表） | スポット／定期実施の遠隔診断 Windows・Mac対応（最大100台） | 各PCにインストール ブラウザから一元管理 |
| 料金 | 要問い合わせ | 1台あたり500,000円（税別） トライアル200,000円／初期費用200,000円 | 要問い合わせ（台数・契約期間で個別見積もり） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
守る対象ごとに製品を幅広く比較したい場合は、社内セキュリティソリューション全体の比較も参考になります。端末・ネットワーク・ID・データ・監視運用という守る対象別に、代表的な製品と選び方をまとめた記事です。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
1. Network Blackbox（株式会社クワッドマイナージャパン）
ネットワークを流れる全パケットを保存し、その中からサイバー攻撃の兆候を可視化・分析するNDR（Network Detection and Response）製品です。クワッドマイナージャパンが提供し、通信を複製して取り込むミラーリング方式のため、既存のネットワークへの影響を抑えて導入できます。
収集・検知・ハンティング・フォレンジック・対応の5つの機能を1製品に備え、脅威ハンティング（能動的な脅威の探索）はMITRE ATT&CKにもとづいて行います。通信そのもの（パケット）を保存するため、攻撃を受けた後に通信をさかのぼって調べる調査（フォレンジック）に強く、EDRやSIEMと連携して使える点も特徴です。料金は要問い合わせとなっています（2026年11月時点）。
2. CoWorker 端末侵害診断サービス（CoWorker株式会社）
常時監視する製品とは別に、「すでに侵害や情報漏えいが起きていないか」をタイミングを区切って調べる、端末フォレンジック診断サービスです。退職時やインシデントの疑いがあるとき、年1〜2回の定期点検といった場面で実施します。
対象のパソコンからログを収集し、自社開発のAI「Blue Agent」とセキュリティ専門家が解析する二段構えで、マルウェア感染・認証情報の漏えい・USBやクラウド経由のデータ持ち出し・生成AI利用時の情報漏えいの痕跡などを調べます。Windows・Macに対応し、最大100台までまとめて診断できます。
料金は1台あたり定価500,000円（税別）、導入事例への協力を条件とするトライアル価格は200,000円（税別）です。このほか、導入時の初期費用として200,000円（ヒアリング・導入稼働費）がかかります（カタログ掲載情報にもとづく。2026年11月時点）。
外部から届く脅威情報が、実際に調査の起点になる場面も少なくありません。提供企業は、カタログの取材で次のように話しています。
多いのは、退職された方のPCから情報の持ち出しがなかったかを確かめたいという、内部不正の調査のご相談です。最近では、Webサービスで広く使われているソフトウェアに深刻な脆弱性が公表されたことをきっかけに、「自社のサーバーや端末がすでに侵害されていないか、まずは手早く確かめたい」というご相談も増えています。
3. Eye”247″ Safety Zone（株式会社フーバーブレイン）
1台1台のパソコンを守るエンドポイントセキュリティソフトで、ウイルス対策（EPP）と、不審な挙動を検知・調査するEDRを1つにまとめた製品です。東京証券取引所スタンダード市場に上場するフーバーブレインが提供しています。
ネットワーク全体を見るNetwork Blackboxに対し、Eye”247″ Safety Zoneは1台ごとの端末で未知の脅威を検知する入口にあたります。EDRが収集するログは、不審な挙動の調査にも役立ちます。
Bitdefenderと共同開発した検知エンジンを採用し、アプリの動作を常時監視する振る舞い検知（ATC）や、ランサムウェアを監視してファイルを自動でバックアップ・復元する機能を備えます。ブラウザから一元管理でき、少人数での運用にも向く構成です。料金は導入台数や契約期間に応じた個別見積もりとなっています（2026年11月時点）。
まとめ
脅威インテリジェンスは、攻撃者やその手口に関する情報を集めて分析し、自社の守りの判断に生かす一連の流れです。脅威情報・IoC・OSINTといった用語は、情報の「段階」「中身」「集め方」という別々の切り口を指しており、ここが整理できると全体像がつかめます。
種類は「経営層か現場か」という使い手の視点で捉えると分かりやすく、情報は「目的を決める→集める→分析する→届ける→振り返る」という流れで回ります。体制の規模を問わず、無料の情報源や既存製品の活用から段階的に始められます。
自社の検知や調査に脅威情報を生かすには、この記事で紹介したような製品・診断が入口になります。まずは資料で機能や費用感を確認し、自社に合うものから検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 脅威インテリジェンスとは何ですか？
A. 脅威インテリジェンスとは、攻撃者やその手口に関する情報を集めて分析し、自社のセキュリティ対応の判断に使える形にした一連の流れ（ライフサイクル）のことです。特定のツールやサービスそのものを指す言葉ではなく、「情報を集めて分析し、意思決定に生かすまでの営み」を指します。サイバー分野に限定して「サイバー脅威インテリジェンス（CTI）」と呼ぶこともあります。
Q. 脅威インテリジェンスと脅威情報は何が違うのですか？
A. 脅威インテリジェンスと脅威情報は、情報の「加工段階」が違います。脅威情報は集めたそのままのデータや情報を指し、それを分析して自社の判断に使える形にまで仕上げたものが脅威インテリジェンスです。
データ→インフォメーション→インテリジェンスという段階で考えると、脅威情報は入口のデータ・情報、脅威インテリジェンスは分析を経た最終段階にあたります。集めただけの脅威情報を眺めていても判断にはつながりにくく、自社の状況に当てはめる分析があって初めて動ける情報になります。
Q. 脅威インテリジェンスは中小企業にも必要ですか？
A. 脅威インテリジェンスが必要かどうかは、企業の規模よりも「攻撃対象になりやすいか」で考えるのが実態に合っています。重要インフラ・製造・金融など狙われやすい業種や、取引先経由で狙われうる企業は、規模が小さくても脅威情報を押さえる意味があります。
むしろ専任者が少なく人員が限られる組織ほど、やみくもに全部対策するのではなく、脅威情報で「どこから手をつけるか」の的を絞れる効果が大きくなります。いきなり高価な専用ツールを導入する必要はなく、無料の情報源や既存製品の活用から始められます。
Q. 脅威インテリジェンスは無料で始められますか？
A. 脅威インテリジェンスは、無料で公開されている脅威情報ソースから始められます。代表的なものに、脅威情報を共有するコミュニティ「LevelBlue Open Threat Exchange（旧 AlienVault OTX）」や、米国CISAが提供する脅威指標の共有（AIS）・悪用が確認された脆弱性のカタログ（KEV）があります。
ほかに、攻撃手法を体系化した知識ベース「MITRE ATT&CK」も無償で使えます。国内では、JPCERT/CCが重要インフラ等の組織向けに「早期警戒情報」という枠組みを提供しています。まずは無料で使えるソースから情報に触れ、いま使っているEDRやSIEMに取り込んで検知に生かすところから段階的に取り組むのが現実的です。
Q. 脅威インテリジェンスとSIEM・SOC・SOARはどう関係しますか？
A. 脅威インテリジェンスとSIEM・SOC・SOARの関係は、脅威インテリジェンスが「判断に使える情報」、SIEM・SOC・SOARはそれを実際の監視・運用・対応に落とし込む仕組みや体制、という役割分担で捉えると整理できます。
SIEMはログを統合して監視する仕組み、SOCはセキュリティ監視を担う組織・チーム、SOARは検知後の対応を自動化する仕組みです。脅威インテリジェンスで得た攻撃者の手口やIoC（侵害の痕跡）をSIEMの検知ルールに取り込んだり、SOCの運用やSOARの対応手順に反映したりすることで、これらの仕組みの精度が高まります。
Q. 脅威インテリジェンス製品とサービスは何が違うのですか？
A. 脅威インテリジェンス製品とサービスの違いは、製品は脅威情報を取り込むツールや脅威フィードを自社で使うもの、サービスは情報の収集・分析や運用を外部の専門家が代行してくれるものという点にあります。
TIP（脅威インテリジェンス共有プラットフォーム）や脅威フィードといった製品は自社に運用の手間と知見を要する一方、分析代行型のサービスは社内に専門人材を抱えなくても必要な範囲で外部の知見を取り入れられます。自社に運用できる人員・スキルがあるかを見極めて、製品の自前運用と外部サービスを使い分けるとよいでしょう。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、脅威情報を検知・調査に生かすセキュリティ製品の最新資料を無料で一括請求できます。機能や提供形態を見比べて、自社に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
