社内のセキュリティ対策を検討していると、「サイバー脅威インテリジェンス（CTI）を導入すべきか」という話が、経営層や外部ベンダーから持ち上がることがあります。しかし、言葉の中身をはっきり説明できないまま判断を迫られて、戸惑う担当者は少なくありません。
サイバー脅威インテリジェンスは、攻撃者や手口に関する情報を集めて分析し、自社の守りに生かすための考え方です。独立行政法人情報処理推進機構（IPA）は2024年7月に「脅威インテリジェンス導入・運用ガイドライン」を公表し、組織的な取り組みの指針を示しています。一方で、種類や情報源、始め方は説明の切り口がさまざまで、全体像をつかみにくいのも実情です。
本記事では、サイバー脅威インテリジェンスとは何か（脅威データ・脅威情報との違い）から、戦略的・運用・戦術的という種類の違い、ライフサイクル、使いどころ、情報源、始め方と注意点までを、IPAガイドラインをもとに整理します。導入を検討する前に、自社に必要かどうかを自分の言葉で判断できる状態を目指して読み進めてください。
目次
一括ダウンロードする
サイバー脅威インテリジェンス（CTI）とは — 脅威データ・脅威情報との違い
サイバー脅威インテリジェンス（CTI：Cyber Threat Intelligence）とは、攻撃者や攻撃手口に関する情報を収集・分析し、自社のセキュリティ対応の判断に使える形にしたものを指します。単なる脅威の情報そのものではなく、「自社が何をすべきか」を決めるための材料になっている点が核心です。
IPAの「脅威インテリジェンス導入・運用ガイドライン」は、脅威インテリジェンスを次のように定義しています。
脅威インテリジェンスとは、サイバーセキュリティに関する脅威情報を収集・加工し、またそれらを分析することによって得られるインテリジェンスに基づく組織のセキュリティ対応における意思決定のライフサイクルを指す
出典：脅威インテリジェンス導入・運用ガイドライン｜独立行政法人情報処理推進機構（IPA）
なお同ガイドラインは、脅威インテリジェンスの定義が「取り扱われる組織、媒体によって異なり」と、あらかじめ断っています。言葉の使われ方には幅があるため、本記事ではIPAの定義を軸に整理します。
「データ」「情報」「インテリジェンス」の違い
混同されやすいのが、「脅威データ」「脅威情報」「脅威インテリジェンス」の違いです。IPAガイドラインは、収集した素材を加工・分析して文脈を付け足していく段階として、次のように整理しています。
| 段階 | 内容 | 具体例 |
|---|---|---|
| データ | 収集したそのままの素材 | 通信ログに現れたIPアドレス、ファイルのハッシュ値、ドメイン名など |
| インフォメーション（情報） | データに背景情報（コンテキスト）を付け足し、それが何を意味するかを示したもの | 「このIPアドレスは既知の攻撃インフラと通信している」といった意味づけ |
| インテリジェンス | 情報に、自社が行動するために必要なコンテキストを付け足したもの | 「この通信は遮断すべき」「この資産を優先的に守るべき」という判断材料 |
IPAガイドラインは、この違いを次のように述べています。
このとき収集する情報を「データ」、データに背景情報といったコンテキストを追加したものを「インフォメーション」、インフォメーションに各組織の活動に活用可能なコンテキストを追加したものを「インテリジェンス」と呼ぶ。
出典：脅威インテリジェンス導入・運用ガイドライン｜独立行政法人情報処理推進機構（IPA）
つまり、IPやハッシュ値の羅列（データ）をそのまま眺めても、自社が次に何をすべきかは見えてきません。それらを分析し、自社の環境に照らして「どう行動するか」までたどり着いたものが、脅威インテリジェンスです。
「脅威」は意図・機会・能力の3要素で捉える
そもそも「脅威」とは何を指すのでしょうか。IPAガイドラインは、脅威をシステムや組織に害を与える潜在的な原因と位置づけ、「意図×機会×能力」の3要素で構成されると説明しています。
- 意図：脅威アクター（攻撃者）が自社を狙う目的・動機
- 機会：自社内に、攻撃の実行を可能にする環境・条件がそろっている状態
- 能力：目的を達成するために攻撃者が使う手法と、それを実現するリソース・スキル
この3要素のうち、攻撃者の「意図」や「能力」を知る手がかりになるのが脅威インテリジェンスです。自社でコントロールできる環境・条件（機会）をふさぐ判断にも役立ちます。
出典・参考資料（1件）
一括ダウンロードする
サイバー脅威インテリジェンスの種類
脅威インテリジェンスは、誰が何の判断に使うかによって種類が分かれます。IPAガイドラインは「戦略的」「運用」「戦術的」の3つに分類し、それぞれの利用者とアウトプットを示しています。まずは、この3分類を一覧で押さえます。
| 種類 | 焦点 | 主な利用者 | 時間軸 | アウトプット例 |
|---|---|---|---|---|
| 戦略的インテリジェンス | 近年のサイバー攻撃の脅威動向や外部環境を分析し、リスクを明確にする | 経営層、セキュリティ責任者 | 中長期 | 経営層向けレポート（投資判断・方針策定の材料） |
| 運用インテリジェンス | 攻撃手法（戦術・技術・手順）の観点から脅威を理解する | セキュリティ責任者、SIRT（インシデント対応部門） | 短〜中期 | 攻撃シナリオ |
| 戦術的インテリジェンス | 攻撃シグネチャや脆弱性情報をもとに、短期的にインシデントを予防・検知・対応する | SOC（セキュリティ運用部門） | 短期 | IoC情報（侵害の痕跡） |
上から順に、経営層が投資や方針を決めるための「戦略的」、セキュリティ部門が攻撃手法を踏まえて守りを改善する「運用」、現場のSOCが日々の検知・対応に使う「戦術的」という使い分けです。自社でCTIの話をするとき、どのレベルの話をしているかを当てはめると、議論がかみ合いやすくなります。
出典・参考資料（2件）
「3分類」と「4分類」の違いに戸惑わないために
解説記事を読み比べると、種類が3つのものと4つのものがあり、混乱しがちです。IPAガイドラインは上記の3分類ですが、Microsoftなど一部のベンダーは、これに「技術的インテリジェンス」を加えた4分類で説明しています。
技術的インテリジェンスは、悪意あるIPアドレスやマルウェアの実装といった、より技術寄りのIoC（侵害の痕跡）を指すもので、おおむね戦術的インテリジェンスに近い内容です。
分類の数そのものにこだわる必要はありません。大切なのは「経営判断に使うのか、現場の検知に使うのか」という利用目的の違いを押さえることです。記事ごとに数が違っても、利用者と目的で読み替えれば整理できます。
サイバー脅威インテリジェンスのライフサイクル
脅威インテリジェンスは、一度ツールを買えば完成するものではなく、継続的に回していく活動です。IPAガイドラインは、実施のライフサイクルを次の5つのフェーズで示し、評価から再び方針策定へ戻る循環として説明しています。
- 方針策定フェーズ：組織課題に応じて、求めるインテリジェンスの目的と要件を明確にし、必要なデータの収集方針を定める
- 収集・加工フェーズ：収集方針に従ってデータを集め、分析しやすいように情報（インフォメーション）へ加工する
- 分析フェーズ：自社の要件を満たすように情報を分析し、意思決定に必要なコンテキストを付け足してインテリジェンスにする
- 配布フェーズ：作成したインテリジェンスを、必要とする利用者へ届ける
- 評価フェーズ：プロセス全体を評価し、次のライフサイクルの改善につなげる
この5フェーズを一巡させて終わりではなく、評価の結果を方針策定に反映して回し続ける点が重要です。運用の体制や人の手間が前提になる、という手触りがここに表れています。
配布するインテリジェンスの品質基準「4A」
作ったインテリジェンスが利用者の役に立つかどうかは、配布の質に左右されます。IPAガイドラインは、石川朝久氏の著書『脅威インテリジェンスの教科書』を引く形で、配布の品質基準として「4A」を挙げています。
- 正確であること（Accurate）
- 利用者目線であること（Audient Focused）
- 次のアクションに繋がること（Actionable）
- 適切なタイミングであること（Adequate Timing）
※英語表記「Audient Focused」はIPAガイドラインの原文のままです（一般には「Audience Focused」と綴られます）。
どれほど精緻な分析でも、利用者が読んで次の行動に移せなければ意味がありません。CTIは「集めること」ではなく「意思決定に使えること」がゴールだと示す基準です。
出典・参考資料（1件）
サイバー脅威インテリジェンスの使いどころ・メリット
ここからは、脅威インテリジェンスを使うと自社のセキュリティ対応が具体的にどう変わるかを整理します。IPAガイドラインは、脅威インテリジェンスの意義の筆頭に「セキュリティ対応の優先順位付け」を挙げています。
- セキュリティ対応の優先順位付け：脅威を分析し、自社への影響・攻撃可能性・発生頻度・対策状況を確認することで、脅威ベースのリスクアセスメントができ、どこから手を付けるべきかが分かる（主に戦略的・運用インテリジェンス）
- プロアクティブなセキュリティ対応：攻撃の観測情報をタイムリーに収集・分析することで、自社に攻撃が到達する前に準備・対応できる
- インシデント対応能力の向上：インシデント発生時に攻撃の痕跡をもとに関連する脅威情報を分析し、見えている痕跡以外の侵害の有無まで確認できる
- 現場の検知・調査の効率化：戦術的インテリジェンス（IoC情報）をSOCの検知・遮断に活用し、アラートの優先順位づけや誤検知の絞り込みに役立てる
- 経営判断の材料：戦略的インテリジェンスで脅威動向を把握し、セキュリティ投資や体制づくりの判断に使う
いずれも、前章で見た種類（戦略的・運用・戦術的）と対応しています。経営判断は戦略的、攻撃手法を踏まえた改善は運用、日々の検知は戦術的、というように、使いどころごとに適したレベルのインテリジェンスがあります。
出典・参考資料（1件）
CTIが必要になるのはどんな企業・規模か
では、どんな企業に脅威インテリジェンスが必要なのでしょうか。扱う情報の重要度や、想定される攻撃の深刻度によって、取り組むべき水準は変わります。
顧客情報や技術情報など、漏えいすると事業に大きく響くデータを扱う企業は、たとえ規模が大きくなくても脅威の動向を把握しておく意味があります。
一方で、専任のセキュリティ担当者を置ききれない中堅・中小企業では、いきなり高度なCTIに取り組むより、まず自社に届いている攻撃の兆候を把握し、既存のセキュリティ製品のログを生かすところから始めるのが現実的です。「自社はどのレベルから関わるべきか」を見極めることが、最初の一歩になります。
一括ダウンロードする
サイバー脅威インテリジェンスの情報源
脅威インテリジェンスは、どこから情報を集めるかによって性質が変わります。IPAガイドラインは、収集の技法を「OSINT」「HUMINT」「SIGINT」の3つに整理しています。
- OSINT（Open Source Intelligence）：公的機関の公開情報、ソーシャルメディア、有償・無償の脅威インテリジェンスベンダーなど、外部ソースからの情報収集
- HUMINT（Human Intelligence）：JPCERT/CCによる早期警戒情報、業界団体コミュニティでの情報共有、ベンダーによるダークウェブモニタリングなど。業界コミュニティの代表例として、業種ごとに脅威情報を共有するISAC（Information Sharing and Analysis Center）が挙げられる
- SIGINT（Signal Intelligence）：自組織のテレメトリー（IDSやファイアウォール、プロキシ、EDRなどから収集できるネットワークトラフィックやログ・アラート情報）による情報収集
ここで注目したいのが、3つ目のSIGINTです。IPAガイドラインは、自社のファイアウォールやプロキシ、EDR、アンチウイルスソフトのログを情報源として挙げています。つまり、新たに外部の情報を買う前に、自社がすでに持っている既存製品のログそのものが、内部の脅威情報源になるということです。この点は、後述する既存ツールとの接続の話につながります。
無償で使える情報源と、有償の情報源
情報源は、費用の面から大きく2つに分けて考えると整理しやすくなります。
| 区分 | 代表的な情報源 | 特徴 |
|---|---|---|
| 無償の情報源 | JPCERT/CCの早期警戒情報、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）などの公的機関の勧告・注意喚起、ISACなど業界の情報共有コミュニティ、自組織のログ（SIGINT） | 公的機関や業界コミュニティから広く提供される。自社ログは追加費用なしで活用できる |
| 有償の情報源 | 商用の脅威データフィード、脅威インテリジェンスベンダーのサービス（CTIサービス） | ダークウェブの監視や独自の分析など、無償では得にくい情報や分析を提供する |
JPCERT/CCは日本で最初に設立されたCSIRT（インシデント対応の専門組織）で、ネットワーク事業者やセキュリティベンダー、政府機関、業界団体と連携しながら早期警戒情報を提供しています。
CISAは米国の政府機関で、重要インフラの保護を担い、民間と脅威情報を共有して勧告を公開しています。まずはこうした無償の情報源と自社のログから始め、必要に応じて有償サービスを組み合わせていくのが現実的な進め方です。
出典・参考資料（3件）
押さえておきたい用語と標準フレームワーク
脅威インテリジェンスの解説では、いくつかの専門用語と標準フレームワークが繰り返し登場します。ここで意味を押さえておくと、各社の資料やベンダーの説明が格段に読みやすくなります。
IoCとTTP
IoC（Indicator of Compromise／侵害の痕跡）は、攻撃が差し迫っている、あるいはすでに発生した可能性を示す技術的な観測事実です。米国のNIST（国立標準技術研究所）の用語集でもこのように定義されており、具体的には悪意あるIPアドレス、ファイルのハッシュ値、不審なドメイン名などが該当します。前章の戦術的インテリジェンスのアウトプットが、このIoC情報にあたります。
TTP（Tactics, Techniques, and Procedures／戦術・技術・手順）は、攻撃者の振る舞いを指す言葉です。
NISTの用語集は、最上位の大きな狙いを「戦術（Tactics）」、その中での具体的なやり方を「技術（Techniques）」、さらに細かい手順を「手順（Procedures）」として整理しています。IoCが「痕跡」なのに対し、TTPは「攻撃者の手口そのもの」を捉える点が違いです。
MITRE ATT&CK
MITRE ATT&CK（マイター・アタック）は、実際に観測された攻撃者の戦術・技術を体系的に整理した、世界中で使える知識ベースです。提供元のMITREは、現実世界の観測にもとづく攻撃者の戦術と技術の知識ベースで、誰でも無償で利用できると説明しています。
攻撃手口を共通の枠組みで表せるため、運用インテリジェンスの分析でよく使われます。IPAガイドラインも、攻撃手法の分析にMITRE ATT&CKなどのフレームワークの利用を検討するよう挙げています。
STIXとTAXII
脅威情報を組織間でやり取りするための標準が、STIXとTAXIIです。標準化団体OASISによれば、STIX（Structured Threat Information Expression）は脅威情報を記述・直列化するための言語・フォーマットで、「何を伝えるか」を定めます。
TAXII（Trusted Automated Exchange of Intelligence Information）は、そのCTIをHTTPS上でやり取りするためのアプリケーションプロトコルで、「どう運ぶか」を担います。この2つがそろうことで、脅威情報を機械が読める形で共有・交換できるようになります。
出典・参考資料（5件）
サイバー脅威インテリジェンスの始め方と導入時の注意点
最後に、自社で脅威インテリジェンスに取り組むときの進め方と注意点を整理します。IPAガイドラインは、始め方について実務に即した留意事項を示しています。
ツールの選定から入らない
脅威インテリジェンスは、特定のツールやサービスそのものを指すものではなく、取り組み自体を意味します。そのためIPAガイドラインは、開始時点でのツール・サービスの選定を推奨していません。
脅威インテリジェンスは取り組み自体を意味するもので、特定のツールやサービスを指すものではない … 脅威インテリジェンスの開始時点でツールやサービスの選定を実施することは推奨されない。
出典：脅威インテリジェンス導入・運用ガイドライン 概要資料｜独立行政法人情報処理推進機構（IPA）
まずは自社の課題と目的を定め、どの脅威動向を把握したいのかをはっきりさせることが先です。ツールはそのあとで、目的に合うものを選びます。
一定のセキュリティ成熟度と、運用リソースが要る
IPAガイドラインは、脅威インテリジェンスの活用には一定のセキュリティ成熟度が求められると述べています。前提として、ログを集めて分析できる体制や、検知後に対応できる運用が必要です。
情報を集めても、読み解いて行動に移す人手がなければ、アラートが積み上がるだけで活用しきれません。情報過多による「アラート疲れ」を避けるためにも、自社でどこまで回せるかを見極めることが欠かせません。
組織単独では難しく、情報共有が効く
IPAガイドラインは、脅威インテリジェンスを組織単独で実施するのは困難であり、信頼できるグループでの情報共有によって効果を発揮すると指摘しています。公的機関との連携や、組織間でのインシデント情報の共有が、自社に影響する脅威へのプロアクティブな対応につながります。
一方で日本には固有の課題もあります。IPAガイドラインは、米国などと比べてインシデント情報の共有・報告の義務化が進んでおらず、報告が自社の対策不足の露呈につながるという意識から、情報共有に文化的な障壁があると述べています。あわせて、脅威インテリジェンス分野の専任人材が不足している実態も挙げています。
内製するか、外部に委託するか
専任人材の不足を踏まえると、すべてを自社で抱え込む必要はありません。自社のSOCで運用する「内製」と、外部のSOCサービスやMSSP（マネージドセキュリティサービスプロバイダー）、CTIサービスに任せる「外部委託」を、自社の体制に合わせて選ぶことになります。
すべてを一度にそろえる必要はありません。まずは自社の既存ログ（SIGINT）を生かして内部の兆候を把握し、足りない部分を無償の情報源や外部サービスで補うという段階的な進め方が、現実的な出発点になります。次章では、その「既存ログを検知・調査に生かす」ための具体的なソリューションを見ていきます。
出典・参考資料（1件）
脅威情報を検知・調査に生かすソリューション（EDR/NDR/SIEMとの接続）
ここからは、脅威インテリジェンスを実際の検知・調査につなげるためのソリューションを紹介します。前章で見たように、自社のファイアウォールやプロキシ、エンドポイント（端末）のログは、内部の脅威情報源（SIGINT）になります。これらを集めて分析する基盤が、EDR・NDR・SIEMです。
- EDR（Endpoint Detection and Response）：端末（PC・サーバー）の挙動を監視し、不審な動きを検知・調査・対応する
- NDR（Network Detection and Response）：ネットワークを流れる通信を監視し、侵入や不審な通信を検知・調査する
- SIEM（Security Information and Event Management）：各機器のログを集約・相関分析し、脅威の兆候を見つける
外部から得た脅威情報（IoCなど）をこれらの仕組みに取り込むと、「この通信パターンが来たら検知する」「この痕跡があれば調査する」といった形で、脅威インテリジェンスを日々の守りに直接生かせます。IPAガイドラインも、脅威インテリジェンスの活用にあたっては、テレメトリー情報を収集できる機器とSIEMの導入が必要な要件になると述べています。
このうちEDRは、端末の挙動を監視して脅威の兆候を検知・対応する仕組みで、脅威情報を実際の守りに生かす中心になります。専任のセキュリティ担当を置きにくい中小企業で、クラウド型のEDRなどから自社に合う製品を具体的に比べたいときは、以下の記事が選び方の参考になります。
これらはCTIそのものではなく、外部の脅威情報（IoC）を取り込んで検知に生かしたり（NDR・EDR）、自社の内部ログ（SIGINT）を解析して侵害を調査したり（侵害診断）する、脅威インテリジェンスを実務につなぐためのソリューションです。ここでは、守る対象（領域）別に代表的な3つを紹介します。
守る対象で選ぶ3つのソリューション（比較表）
| サービス名 | Network Blackbox | CoWorker 端末侵害診断サービス | Eye"247" Safety Zone |
|---|---|---|---|
| 守る対象（領域） | ネットワーク全体 （流れる通信＝全パケット） | 社内の端末（PC） Windows・Mac | 社内の端末（PC・サーバー） Windows・Mac |
| 脅威情報との関わり・検知/調査方式 | 全パケットを保存し、シグネチャ検知・ユーザー行為ベースの検出（BAD）・コンテンツ分析で検知。MITRE ATT&CKベースの脅威ハンティングに対応 | 内部ログ（SIGINT）を事後に解析し、AI「Blue Agent」と専門家が侵害の痕跡を調査するスポット／定期型のフォレンジック診断 | Bitdefenderエンジンの機械学習検知と振る舞い検知（ATC）で常時監視し、EDRで不審な挙動を検知・調査 |
| 主な用途 | 侵入・不審通信の検知と、保存パケットを遡っての事後調査（フォレンジック） | 退職者PCの情報持ち出し確認、マルウェア感染・内部不正の有無チェック、AI利用環境の情報漏えい調査 | マルウェア・ランサムウェアの防御と、侵害時の検知・調査・復旧（EPP＋EDR） |
| 提供形態 | 公式に明記なし （ミラーリング方式で導入） | ツール実行→ZIP送信による遠隔診断 （オンプレ・エアギャップ環境にも対応可） | 端末にインストールするソフト＋ブラウザ管理コンソール （クラウド／オンプレの別は公式未記載） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
※上記は各社の公式情報に基づく要約です。提供形態・料金などの詳細は各社の最新情報をご確認ください。
ここで取り上げるのは、守る対象（ネットワーク・端末）別の代表的な3つです。社内のセキュリティソリューションを守る対象ごとに広く見比べて、自社に必要なタイプから探したい場合は、以下の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れるパケットを収集し、サイバー脅威を可視化・分析・対応するNDR（ネットワーク検出および対応）製品です。
公式サイトはNDR（ネットワーク検出および対応）ソリューションと位置づけ、ネットワーク全区間のフルパケットを収集・保存する全数検査を基盤としています。ネットワーク側の通信を起点に、外部からの侵入や内部の不審な通信を捉える役割を担います。
検知方式として、公式サイトは次の3つを挙げています。
- シグネチャベースの検知：既知の攻撃を捉える
- ユーザー行為ベースの検出（BAD）：ネットワーク上のユーザー行為をメタデータとして記録し、通常と異なる行為やポリシー違反の兆候を捉える
- コンテンツ分析ベースの脅威検出：送受信データを分析して元のファイルや内容を復元し、情報の外部流出を捉える
シグネチャだけに頼らず、行為の分析とコンテンツの分析を組み合わせる構成になっています。
通信そのものを保存する方式のため、インシデント後に通信記録を遡って調べるフォレンジック（事後調査）に対応できる点も特徴です。脅威インテリジェンスとの関連では、脅威ハンティングにMITRE ATT&CKをベースにしたTTP分析を用いると公式に記載があります。
また、EDRやSIEMとはSyslog（CEF）やREST APIを通じて連携する設計で、既存の仕組みを置き換えるのではなく補完する位置づけです。料金は要問い合わせとなっています。
2. CoWorker 端末侵害診断サービス（CoWorker株式会社）
CoWorker 端末侵害診断サービスが調べるのは、会社が管理するPCなどの端末に、ランサムウェア感染や情報漏洩・内部不正の痕跡がないか、という点です。端末のログを解析して挙動を調べる「フォレンジック」を起点にした診断サービスにあたります。
用途は大きく2つあります。退職者のPCを解析して機密情報の持ち出しがなかったかを確認する使い方と、在籍社員の支給PCを定期的にチェックして感染や内部不正の有無を確認する使い方です。常駐して守るEDRとは異なり、必要なときに端末の状態を調べる事後調査・定期診断型という位置づけになります。
同社が開発するAIエージェント「Blue Agent」を使い、端末のログ解析（フォレンジック）をAIで高速化している点が特徴です。AIの作業内容はすべてログに残り、根拠が薄い箇所は「ハルシネーションリストあり」と明示したうえで、最終レポートを人の目で確認・承認する「エキスパート・イン・ザ・ループ」の運用をとっています。
導入の手間を抑える運用も用意されています。実行ファイルをオンラインで送付し、ダブルクリックするだけで調査に必要なデータが自動収集され、そのZIPファイルをクラウド経由で送れば、解析は同社側で行います。
機密情報をクラウドに上げることに不安がある場合は、現地での対応も相談できます。料金は端末1台あたり20万円（税別）で、10台以上・20台以上・30台以上と台数の段階に応じた数量割引（ボリュームディスカウント）が適用され、具体的な金額は見積もりによります。
端末のログを事後に解析するこうした診断が広がってきた背景には、従来のフォレンジックが抱えていたコストの壁と、攻撃側の変化があるといいます。同サービスを提供するCoWorker株式会社の一ノ瀬氏は、独自インタビューで次のように述べています。
フォレンジックはこれまで、1台あたり100万円から200万円ほどの費用がかかり、専門家も少ないという課題がありました。そこにAIの発達が組み合わさって、高速化・低価格化が実現できるようになったことが、このサービスを開発した大きなきっかけです。従来のフォレンジックは、何か大きな問題が起きてから重い腰を上げて対応するというイメージが強かったのですが、問題がまだ小さいうちに、より簡易でスピーディーに診断できるものが必要だと考えました。あわせて、攻撃者側もAIを使ってランサムウェアを高速化させていますので、年に1回ではなく、より定期的な診断が不可欠になってきているという背景もあります。
3. Eye“247” Safety Zone（株式会社フーバーブレイン）
東証スタンダード市場に上場する株式会社フーバーブレインが手がけるEye“247” Safety Zoneは、EPP（Endpoint Protection Platform）とEDRを組み合わせたエンドポイントセキュリティソフトウェアです。
公式サイトは「次世代型のエンドポイントセキュリティソフト」と説明し、Bitdefenderと共同開発したエンジンを採用しています。端末そのものを守り、不審な挙動を検知・調査する役割を担います。
検知・防御の方式として、アプリケーションの動作を常時監視して不審な動きを捉える振る舞い検知（Advanced Threat Control）や、機械学習ベースの検知エンジンを備えます。
ランサムウェア対策では、動作を監視してファイルを自動でバックアップし、直近のバックアップからリストアできます。このほか、Webアクセスコントロールやフィッシングサイトの自動ブロックといったネットワーク保護、不審な挙動の検知・ログ収集・調査・分析を行うEDR機能を持ちます。
各PCのスキャン状況やデータベースの更新状況を、ブラウザベースの管理コンソールでまとめて確認でき、PC資産管理としても利用できます。専任のセキュリティ担当者を置きにくい中堅・中小企業に向くサービスとされています。料金は導入台数や契約期間に応じた個別見積もり（要問い合わせ）です。
サイバー脅威インテリジェンスに関するよくある質問（FAQ）
Q. サイバー脅威インテリジェンス（CTI）とは何ですか？
A. サイバー脅威インテリジェンス（CTI）とは、攻撃者や攻撃手口の情報を収集・分析し、自社のセキュリティ対応の意思決定に使える形にしたものです。IPアドレスやファイルのハッシュ値といった生の「脅威データ」そのものではなく、それらを自社の環境に照らして「次に何をすべきか」まで落とし込んである点が、脅威データ・脅威情報との違いです。
Q. サイバー脅威インテリジェンスの導入には何が必要ですか？
A. サイバー脅威インテリジェンスの導入には、ログを集めて分析できる体制と、検知後に対応できる運用リソース（人手）が前提になります。
IPAガイドラインは、活用には一定のセキュリティ成熟度が求められ、テレメトリー情報を収集できる機器とSIEMの導入が必要な要件になると述べています。情報を集めても読み解いて行動に移す人がいなければアラートが積み上がるだけなので、ツールの選定より先に、自社でどこまで運用を回せるかを見極めることが欠かせません。
Q. 脅威インテリジェンスの「ツール（製品）」と「サービス」は何が違いますか？
A. 製品（ツール）は脅威データを収集・分析する仕組みそのもので、サービスはその製品の選定・運用や分析の代行まで含めて自社の守りに乗せる人的な支援を指します。
専任人材を置きにくい企業では、ツールを買うだけでは運用しきれないことがあり、外部のSOCサービスやMSSP（マネージドセキュリティサービスプロバイダー）、CTIサービスに分析や運用を任せる選択肢があります。自社の運用リソースに合わせて、ツール単体で使うか支援込みで使うかを選ぶことになります。
Q. サイバー脅威インテリジェンスはどんな企業・組織が使うべきですか？
A. 顧客情報や技術情報など、漏えいすると事業に大きく響くデータを扱う企業は、規模が大きくなくても取り組む意味があります。政府機関や重要インフラ事業者、グローバル企業のように狙われやすい組織は特に必要性が高い一方、専任担当者を置ききれない中堅・中小企業は、いきなり高度なCTIに取り組むより、まず自社に届いている攻撃の兆候を把握し、既存製品のログを生かすところから始めるのが現実的です。
Q. サイバー脅威インテリジェンスは無償で始められますか？
A. JPCERT/CCの早期警戒情報やCISAなど公的機関の勧告、ISACなどの業界コミュニティ、そして自社がすでに持つログ（SIGINT）を使えば、追加費用をかけずに始められます。ダークウェブの監視や独自分析など無償では得にくい情報は、有償の脅威データフィードやCTIサービスで補えます。まずは無償の情報源と自社ログから着手し、必要に応じて有償サービスを組み合わせていくのが現実的な進め方です。
Q. サイバー脅威インテリジェンスは内製と外部委託のどちらがよいですか？
A. 判断の軸は自社の運用リソースで、ログを分析して対応まで回せる体制があれば内製、人材が足りなければ外部のSOCサービス・MSSP・CTIサービスへの委託が向いています。
日本では脅威インテリジェンスの専任人材が不足しているため、すべてを自社で抱え込む必要はありません。まずは既存ログ（SIGINT）を内製で生かして兆候を把握し、足りない部分を外部サービスで補う段階的な進め方が、現実的な出発点になります。
Q. サイバー脅威インテリジェンスはEDR・NDR・SIEMとどう関係しますか？
A. EDR・NDR・SIEMは、脅威インテリジェンス（IoCなどの脅威情報）を取り込んで日々の検知・調査に生かすための基盤になります。
外部から得た「この痕跡があれば調査する」「この通信パターンを検知する」といった情報をこれらの仕組みに反映すると、CTIを実際の守りに直接つなげられます。同時に、自社のEDRやファイアウォール、プロキシのログは内部の脅威情報源（SIGINT）にもなるため、CTIと既存ツールは双方向で補完し合う関係です。
まとめ
サイバー脅威インテリジェンス（CTI）は、攻撃者や手口の情報を集めて分析し、自社の意思決定に使える形にする取り組みです。生のデータそのものではなく、「自社が何をすべきか」まで落とし込まれている点が、脅威データ・脅威情報との違いでした。種類は戦略的・運用・戦術的に分かれ、誰が何の判断に使うかで使い分けます。
始めるにあたっては、ツールの選定から入るのではなく、自社の目的を定め、既存のログ（SIGINT）や無償の情報源を生かすところから検討するのが現実的です。そのうえで、自社の運用リソースを見極め、内製か外部委託かを選びます。
脅威情報を実際の検知・調査に生かすには、EDR・NDR・侵害診断といったソリューションが入り口になります。まずは各サービスの資料を取り寄せて、自社の守る対象に合うものを比べてみてください。
一括ダウンロードする
社内セキュリティ対策の料金・資料を一括チェック
MCB FinTechカタログでは、脅威情報を検知・調査・対応に生かすNDR・端末セキュリティ・侵害診断などのサービスの最新資料を無料で一括請求できます。守る対象や検知の仕組みを横並びで比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
