利用すべき脅威インテリジェンスフィード6選

脅威インテリジェンスフィードとは、さまざまなサイバーセキュリティ脅威、その発生源、そしてそれらの脅威によって影響を受けた、または影響を受けるリスクのあるインフラについてユーザーに知らせる、継続的に更新されるデータストリームです。

こうしたフィードは、多くの場合STIX/TAXIIのような標準形式で提供されるため、EDR、SIEM、ファイアウォール、脅威インテリジェンスプラットフォーム、その他のネットワークセキュリティツールなどと連携でき、侵害の痕跡（IoC）や悪意のあるドメインなど、その他のサイバー脅威を監視するための、リアルタイムまたはほぼリアルタイムの脅威情報源を追加できます。さらに、多くのツールは無料で利用でき、さまざまな業界や分野に特化したフィードを備えています。

ここでは、セキュリティチームが防御体制に加えるべき、主要な脅威インテリジェンスフィードを紹介します。

• AlienVault Open Threat Exchange：コミュニティ主導の脅威フィードに最適
• FBI InfraGard：重要インフラのセキュリティに最適
• abuse.ch URLhaus：悪意のあるURLの検出に最適
• Proofpoint ET Intelligence：コンテキスト付きの脅威情報に最適
• Spamhaus：メールセキュリティとスパム対策に最適
• SANS: Internet Storm Center：脅威の解説に最適

主要な脅威インテリジェンスフィード比較

脅威インテリジェンスフィードにはさまざまな形式があり、ウェブ上の多様な情報源から情報を収集しています。主要な脅威インテリジェンスフィードの各ソリューションが提供するものをより詳しく知るには、以下の比較表をご覧ください。

目次：

• 脅威インテリジェンスフィードの主な機能
• ビジネスに最適な脅威インテリジェンスフィードの選び方
• 脅威インテリジェンスフィードの評価方法
• よくある質問（FAQ）
• 結論：脅威インテリジェンスフィードでセキュリティを強化

AlienVault Open Threat Exchange

コミュニティ主導の脅威フィードに最適

AT&T CybersecurityのAlienVault Open Threat Exchange（OTX）は、現在最大かつ最も包括的な脅威インテリジェンスフィードコミュニティの1つです。140カ国を代表する10万人以上の参加者が、毎日1,900万件を超える脅威インジケーターを提供しています。OTXは、脅威インテリジェンスのための完全にオープンなコミュニティであることを誇りとしており、セキュリティ専門家からあらゆるユーザーまで、脅威に関する調査や共有された専門知識にアクセスできるようにしています。

AlienVault Open Threat Exchangeは、あらゆるユーザーがフィードを利用できるようにするだけでなく、詳細なダッシュボードを通じてデータを見やすく、アクセスしやすくすることにも注力しています。ダッシュボードには、侵害の痕跡（IoC）の数と種類が明確に示され、脅威とその影響をすばやく要約するPulsesも提供されます。さらに、脅威名、関連する参照URL、タグ、攻撃者とマルウェアのファミリー、攻撃IDに関するデータも共有されます。

料金

AlienVault Open Threat ExchangeやOTX Endpoint Securityを含む、すべてのOTX製品と機能は、単体で無料利用できます。OTXやOTX Pulsesをサードパーティ製ソフトウェアやアプリケーションに統合する場合は、追加費用が発生することがあります。また、ユーザーがOTXに接続することの多いUSM製品にも費用がかかります。

機能

• 140カ国から10万人の参加者と貢献者
• 侵害の痕跡、標的ソフトウェア、脅威の概要をリアルタイムで確認できるOTX Pulses
• DirectConnect APIによる他のツールとの連携
• AlienVault USMおよびAlienVault OSSIMとの組み込み連携
• ブログ、脅威レポート、メール、PCAP、テキストファイルからIoCを自動抽出するPulse Wizard

メリット

• オープンなコミュニティ方式により、さまざまな経歴を持つ、世界中の脅威・セキュリティ専門家が知見を提供できます。
• 利用可能な脅威提供ソリューションの中でも特に包括的で、毎日1,900万件を超える脅威インジケーターが投稿されます。
• 脅威ダッシュボードは非常に直感的で見やすく設計されています。
• Pulse Wizardを使えば、さまざまな形式の情報源からIoCを簡単かつ自動的に抽出できます。

デメリット

• 無料のツールや連携機能も利用できますが、OTXはAlienVault USMなどの有料のAT&T Cybersecurity製品と組み合わせた場合に最も効果を発揮します。
• OTXの大規模なクラウドソーシング方式では、効果的な品質保証が難しくなります。

FBI InfraGard

重要インフラのセキュリティに最適

InfraGardは、FBIとその他の政府機関、そして関心を持つ民間企業関係者との間で構成される、脅威インテリジェンスフィードおよびネットワークパートナーシップです。この脅威インテリジェンスコミュニティの目的は、有用な脅威情報を相互に共有することです。民間企業のリーダーは、FBIが持つ内部知識やトレーニング、ベストプラクティスにアクセスできる一方、FBIやその他の政府機関は、米国のさまざまな重要インフラの状況を把握する目を増やせます。参加は無料ですが、InfraGardのリソースにアクセスするには会員登録が必要です。

InfraGardのフィードと会員向けトレーニングリソースは、16の重要インフラカテゴリーに分かれています。

• 化学
• 商業施設
• 通信
• 重要製造業
• ダム
• 防衛産業基盤
• 緊急サービス
• エネルギー
• 金融サービス
• 食品・農業
• 政府施設
• 医療・公衆衛生
• 情報技術
• 原子炉・核物質・核廃棄物
• 輸送サービス
• 上下水道システム

これらの重点分野により、民間企業の会員は、自社の業界に特化した脅威情報やセキュリティに関するヒントを入手できます。

料金

InfraGardへの登録と、InfraGardのツールやフィードの利用は無料です。

機能

• 脅威インテリジェンスフィードを16の重要インフラセクターに分類
• FBIやその他の政府機関が、脅威に関する勧告、インテリジェンス速報、分析レポート、脆弱性評価を民間企業の会員と共有
• 最新のFBIインテリジェンスにアクセスできる会員限定ウェブポータル
• 米国各地の地域InfraGard Member Alliance支部
• 政府と民間企業の間で脅威情報を双方向に共有

メリット

• 16種類の専門的な脅威フィードにより、ユーザーは自分のセクターに関連する脅威に集中できます。
• 米国の重要インフラに対する脅威の検知と緩和に特化した、数少ない脅威インテリジェンスソリューションの1つです。
• 政府機関の専門知識や知見と、民間企業の専門家を組み合わせています。
• 会員は、National Sector Security and Resiliency Program（NSSRP）やCross-Sector Council（CSC）から、セクター固有のトレーニングやリソースにアクセスできます。

デメリット

• 会員登録やネットワーキングを重視しているため、専用の脅威インテリジェンス活動に割けるリソースが少なくなります。
• 米国のインフラにのみ焦点を当てているため、グローバル企業や分散型の従業員を抱える組織にとっては効果が低い選択肢です。

abuse.ch URLhaus

悪意のあるURLの検出に最適

abuse.chのURLhausフィードプロジェクトは、悪意のあるURLに関するデータを、使いやすいデータベースにまとめています。この無料のフィードコレクションと、そこから作成される詳細なデータベースには誰でもアクセスできますが、abuse.chは、このソリューションがネットワーク事業者、インターネットサービスプロバイダー（ISP）、コンピューター緊急対応チーム（CERT）、ドメインレジストリのニーズに最も適していると明記しています。

URLhausは、特定のIPアドレスやドメイン名の異常に焦点を当てた3つの主要フィードを管理しています。これらのフィードは、URLhausのウェブサイトから直接取得して最新情報を入手できます。ただし、このツールを使ってブラックリスト化したり、侵害の痕跡を確認したり、解析可能なデータセットにアクセスしたりするユーザーは、URLhaus APIをダウンロードする必要があります。また、自分で発見した悪意のあるURLを送信できるのは、abuse.chのアカウントを持つユーザーに限られます。

料金

URLhausは、商用利用・非商用利用のいずれも無料です。

機能

• 特定のAS番号を持つIPアドレスに解決されるドメイン名のURLを追跡するASNフィード
• 特定の地理的なIPロケーションまたは国コードを持つIPアドレスに解決されるドメイン名のURLを追跡するCountryフィード
• 特定のccTLDまたはgTLDに関連付けられたドメイン名のURLを追跡するTLDフィード
• 追加日、URL、ステータス、タグ、報告者の身元などの情報を含む、包括的で定期的に更新されるマルウェアURLデータベース
• マルウェアURLをダウンロード・送信するためのURLhaus API

メリット

• URLhausの3つの主要フィードは、オンラインとオフラインの両方の悪意のあるURLの追跡に利用できます。
• URLhausは、ユーザーから寄せられる無関係なマルウェアの送信を除外するため、詳細な送信ポリシーを定めています。
• URLhausのデータベースは適切にラベル付けされ、頻繁に更新されています。
• データベースダンプ用CSVオプションを含むURLhausのAPIとダウンロードオプションは、ユーザーのさまざまな好みに対応できるほど充実しており、多様です。

デメリット

• ブラックリスト化など、いくつかのカスタマイズや機能は、URLhausのフィードではなくURLhaus APIのデータセットを使用する場合に限り利用できます。
• ウェブ経由でマルウェアURLを送信するには、Twitter、Google、LinkedIn、GitHubのいずれかでログインする必要があり、その情報は一般公開されます。このルールを回避する唯一の方法は、API経由で送信することです。

Proofpoint ET Intelligence

コンテキスト付きの脅威情報に最適

Proofpoint ET Intelligenceは、包括的なアプローチで脅威インテリジェンスを提供しており、同社が「リッチ脅威インテリジェンス・コンテキストポータル」と呼ぶサービスを通じてフィードを提供しています。過去の脅威データを提供する主要プロバイダーであり、IPアドレス、ドメイン、その他のIoCについて、現在および過去のメタデータを提供します。さらに、ETはIPアドレスとドメインを適切に分離、分類、スコアリングし、リストを毎時更新しています。

このガイドで紹介するすべてのソリューションの中で、Proofpoint ET Intelligenceは最も包括的なものの1つですが、同時に最も高価です。エンタープライズレベルの脅威解説や調査支援を必要とする企業に最適なソリューションであり、小規模企業や個人ユーザーはおそらくこの価格を避け、無料の脅威インテリジェンスフィードを選ぶことになるでしょう。

料金

• Proofpoint ET Intelligence：サブスクリプション料金は、ユーザー数、リセラー、その他の要因に応じて、年間20,000～130,000米ドルと見積もられます。
• Proofpoint ET Pro: Ruleset：Rulesetは別料金です。年間750～1,000米ドルと見積もられます。
• 無料トライアルあり。

機能

• IP、ドメイン、その他のIoCに関する過去のメタデータへのアクセス
• IPおよびドメインのレピュテーションフィード
• トレンド、タイムスタンプ、脅威の種類、エクスプロイトキットのラベル、関連サンプルを備えた検索可能な脅威インテリジェンスポータル
• 厳格なエージング運用と毎時のリスト更新による信頼度スコアリング
• TXT、CSV、JSON、圧縮形式に対応

メリット

• Splunk、QRadar、Anomali、ArcSightなどのサイバーセキュリティツールや脅威インテリジェンスプラットフォームと連携できます。
• 追加料金を支払えば、ET Pro Rulesetに付属する充実したドキュメントにアクセスできます。
• ETインテリジェンスのダッシュボードには、視認性の高い色分けされたグラフが表示されます。
• 自社のITインフラが少ないユーザーは、追加の脅威検知支援として、特定のベンダーに依存しない脅威フィードを利用できます。

デメリット

• 市場で最も高価な脅威インテリジェンスフィードの1つであり、価格は上昇し続けています。
• 既存のツールセットにある他のサイバーセキュリティツールと機能が重複する可能性があります。

Spamhaus

メールセキュリティとスパム対策に最適

Spamhausは、メールサービスプロバイダーやインターネットサービスプロバイダー向けの脅威インテリジェンスフィードおよびブラックリスト／ブロックリストを提供する最大手の1つで、そのソリューションは30億人を超えるユーザーをカバーしています。ユーザーは、ポリシー、エクスプロイト、ドメイン、一般的なIPアドレスのスパム問題に関するブロックリストを利用・適用できます。また、Blocklist Removal Centerで誤ったスパム登録を修正したり、最新ニュースやISP向けの専門情報にアクセスしたり、スパム対策からメールマーケティングまで、あらゆるベストプラクティスに関する専用ドキュメントを読んだりできます。

6つの主要なフィードとリストを備えるSpamhausは、包括的なメールセキュリティとスパム対策のソリューションです。実際、正確なリアルタイムのスパムフィルターデータを提供する最良のソリューションと見なされることもあります。複数のSpamhaus脅威フィードを同時に扱いたくないユーザー向けに、SpamhausはSBL、SBLCSS、XBL、PBLの各ブロックリストを組み合わせたSpamhaus Zenも提供しています。

料金

Spamhausのほとんどの機能とDNSBLフィードは無料で利用できます。ただし、大規模な商用スパムフィルタリングを必要とするユーザーやサイトは、Datafeed Query Service（DQS）を契約する必要があります。DQSの料金はユーザー数とクエリ量に基づき、年間250米ドルからです。30日間の無料トライアルも利用できます。

機能

• Spamhaus Block List（SBL）は、迷惑な大量メールに関連付けられたIPアドレスのデータベースで、ユーザーはそこからのメールを受信すべきではありません。
• Exploit Block List（XBL）は、第三者のエクスプロイトによって乗っ取られ感染したPCのIPアドレスを収録するリアルタイムデータベースです。
• Policy Block List（PBL）は、動的な顧客IP範囲やMTA以外の顧客IP範囲を扱う際に、ネットワークが適正利用ポリシーを適用できるよう支援するデータベースです。
• Domain Block List（DBL）は、評判が悪いため避けるべきドメイン名のリストです。
• Don’t Route Or Peer Lists（DROP）は、プロのサイバー犯罪者に乗っ取られたネットブロックへの全トラフィックを遮断するリストです。
• Register of Known Spam Operations List（ROKSO）は、複数の主要な継続的スパム活動の名称と国を特定します。

メリット

• Spamhausの脅威フィードとブロックリストにより、30億を超えるユーザーの受信トレイが保護されています。これはインターネット上のスパムとマルウェアを遮断する最大級（最大でなければ最大）のサービスの1つです。
• 特定のブロックリストに関する質問や、DNSBLの使用方法に関する一般的な質問があるユーザー向けに、詳細なFAQガイドが用意されています。
• 1つのDNSBLツールだけを使いたいユーザー向けに、SpamhausはSBL、XBL、PBLのソリューションをSpamhaus Zenという1つのソリューションにまとめています。
• Spamhausには、安全なROKSO LEAポータルがあり、法執行機関はこれを使って、スパム活動に関する機密記録により安全にアクセスできます。

デメリット

• 一部の商用機能や性能は、Datafeed Query Serviceへの有料アップグレードでのみ利用できます。
• Spamhausのブラックリスト登録手続きでは、安全なパブリックIPアドレスがブラックリストに登録されることがあります。これらのIPをリストから削除してもらう手続きは面倒です。

SANS: Internet Storm Center

脅威の解説に最適

Internet Storm Centerは、市場で最も古く、最も信頼されている脅威インテリジェンスフィードの選択肢の1つです。これは完全に協力を基盤としたフィード兼コミュニティで、少人数のボランティアチームが日々の脅威の監視と記録を担当しています。こうした日々の担当者に加え、ISCはファイアウォールや侵入検知システムの稼働データを自発的に共有する他のユーザーからも支援を受けています。

Internet Storm Centerはいくつかの点で他のサービスと差別化されています。まず、独自のセンサーネットワークと報告体制が、ある意味で天気予報を模倣しており、新たな脅威に対する早期警告の提供においてISCを有効なものにしています。さらにISCは、脅威に関する技術情報だけでなく、脅威への対処方法に関する手順上のガイダンスの提供にも重点を置いています。

料金

Internet Storm Centerは無料のサービスです。

機能

• 50万のIPアドレスと50カ国以上にまたがるセンサーから情報を収集
• 異常や検知された脅威を、ボランティアのインシデント対応担当者が分析
• 日々のダイアリーで担当者の分析を詳しく説明
• 頻繁に更新されるDShield侵入検知システムとデータベース
• 受信データを自動分析ツールとグラフィカルな可視化ツールで監視

メリット

• 日々のダイアリーに加えて、Internet Storm Centerのチームは、ユーザーの要望に応じてグローバルなカスタムサマリーレポートも作成します。
• ISCのボランティア担当者ネットワークは、長年の経験を持つサイバーセキュリティ専門家で構成されています。
• 日々の担当者ダイアリーは、新たな攻撃ベクトルに関する初の公開レポートとなることも少なくありません。
• ISCの分散型センサーネットワーク設計により、チームはウェブ上のあらゆる場所に存在する脅威を迅速に特定できます。

デメリット

• ISCの脅威フィードをカスタマイズしたり、ツールをプライベートネットワークや独自システムに統合したりする機能は、極めて限定的です。
• ISCのボランティアネットワークは専門家ぞろいですが、それでも比較的小規模なチームであり、報告内容や分析の深さに一貫性が欠ける可能性のある体制です。

脅威インテリジェンスフィードの主な機能

脅威インテリジェンスフィードが有効であるためには脅威を発見して特定する必要がありますが、脅威インテリジェンスフィードには他にどのような重要機能を求めるべきでしょうか。これまでの経験から、脅威インテリジェンスフィードに含まれているべき最も重要な機能は次のとおりです。

侵害の痕跡（IoC）

侵害の痕跡とは、ネットワークまたはネットワークの特定の部分が侵害されたことを示す証拠です。より一般的な脅威インテリジェンスフィードやブラックリストでは、必ずしもIoCが提供されるとは限りませんが、脅威対応に関する追加の指針を求めるチームにとっては価値のある機能です。IoCの例としては、悪意のあるIPアドレスやメールアドレス、疑わしいドメイン名やURL、通常とは異なるファイルパスやファイル名、予期しないネットワークトラフィックパターン、頻繁な不正アクセス試行といった行動上の異常などがあります。

リアルタイム更新

脅威は数時間で進化したり消滅したりし、新たな脅威が発生する可能性もあるため、リアルタイム更新またはほぼリアルタイムの更新は、脅威インテリジェンスフィードに不可欠な機能です。多くのフィードは随時または1時間ごとに更新される一方、ほぼすべてのフィードが少なくとも毎日更新されます。多くの脅威インテリジェンスフィードプロバイダーは、新たな脅威が発生したときや新しい日次レポートが公開されたときにアラートを受け取るための購読オプションをユーザーに提供しています。

コンテキスト分析

脅威インテリジェンスフィードでは、脅威がどこから来たのか、どのような種類のインフラに影響を与えているのか、どの程度の被害を引き起こしているのか、また過去の脅威と比べてどうなのかをユーザーが理解できれば、脅威データの有用性は大幅に高まります。簡単にアクセスできるコンテキスト分析において最も重要な機能はダッシュボードです。ただし、コンテキスト化された過去のメタデータ、専用のルールセット、拡充されたログデータなどの機能も、より優れたセキュリティ対応と緩和策に役立ちます。

履歴データへのアクセス

履歴データは、脅威がどのように発生したか、また類似する過去の脅威と比べてどうなのかという観点から、現在の脅威を位置づけるのに役立ちます。多くの脅威インテリジェンスフィードが提供する履歴データには、攻撃の発生源、脅威アクターの身元と過去の行動、過去と現在の攻撃手法、過去と現在の被害などが含まれます。こうした履歴データにアクセスできれば、特定の脅威ベクトルがどれほど速く拡大したかを把握し、将来の脅威の亜種や戦術・技術・手順（TTP）の変化を予測できます。

統合

他のサイバーセキュリティツールとの統合により、脅威インテリジェンスフィードはサイバーセキュリティ管理の取り組みにおいて、よりコンテキストに即した関連性の高いものになります。最良の脅威インテリジェンスフィードは単独でも利用できますが、他のサイバーセキュリティソリューションと統合し、プラットフォーム内でのインサイトも提供します。こうした統合は、ネイティブに提供される場合もあれば、APIを通じて利用できる場合もあります。

ビジネスに最適な脅威インテリジェンスフィードの選び方

ビジネスに最適な脅威インテリジェンスフィードを選ぶには、まず、予算、統合要件、脅威インテリジェンスフィードにアクセスするチームメンバーの役割と責任について、社内の方針を定める必要があります。また、より一般的なフィードが必要なのか、それとも専門的な業界特化型フィードのほうが自社に適しているのかも検討するとよいでしょう。特に、これらの脅威インテリジェンスフィードの多くが無料で利用できることを考えると、複数の脅威インテリジェンスフィードを組み合わせて使う価値があるケースも少なくありません。

基本的な脅威フィードを超える追加機能を求めているなら、脅威インテリジェンスプラットフォームや脅威調査サービスのほうが適したソリューションかもしれません。このバイヤーズガイドで主要な脅威インテリジェンスプラットフォームについて学ぶ。脅威インテリジェンスサービスやその他の脅威管理リソースについては、次のいずれかを検討してください。

• Cisco Talos
• Palo Alto Networks WildFire
• Mandiant Threat Intelligence Services
• Sophos Managed Detection and Response
• Palo Alto Networks Unit 42 Threat Research
• Flashpoint Managed Intelligence

脅威インテリジェンスフィードの評価方法

このガイドで取り上げた中核的な脅威インテリジェンスフィード以外にも、約15種類の脅威インテリジェンスフィードとソリューションを評価しました。このガイドで選定した製品は、以下の評価基準における性能に基づいています。各項目に記載した割合は、各製品の総合スコアに占める重みを示しています。

評判と性能 – 50%

脅威インテリジェンスでは信頼性がすべてであるため、評価の大部分を評判と性能に充てました。各フィードについて、情報源の信頼性、情報を取得する情報源の多様性、カバレッジの範囲と深さ、コンテキスト分析とダッシュボード機能、セキュリティおよびコンプライアンスに関するポリシーと手順、専門家による説明と緩和策のヒントの有用性に基づいて評価しました。

一般的な脅威インテリジェンスフィードと機能特化型の脅威フィードの両方を評価し、どちらのタイプもリストに加えました。いずれの場合も、指定された対象ユーザーに対して、ツールが中核的なタスクを適切に実行できることを示す証拠を探しました。また、情報が得られた場合は、各脅威インテリジェンスフィードについて、ユーザーレビューにおける評価と性能も基準に加えました。ただし、これらのフィードの性質上、利用できるユーザーレビューは限られていました。

適時性 – 25%

適時性の高い脅威インテリジェンスフィードの提供では、速度、正確性、網羅性がすべて重要な要素です。評価プロセスでは、リアルタイムで複数の情報源からデータを更新するフィードを探しました。また、この情報が購読ユーザーにどれほど速く配信されるか、どのような形式で共有されるかも考慮しました。

統合と設定・カスタマイズの柔軟性 – 25%

脅威インテリジェンスフィードは重要でありながら用途が限定された役割を担うため、多くの組織では、既存のサイバーセキュリティツールスタックにスムーズに統合できることが求められます。さまざまなフィードを評価する際には、包括的なAPIを備えたソリューションに加え、ポートフォリオ内の製品やサードパーティ製サイバーセキュリティソフトウェアとネイティブ統合できるソリューションを探しました。他のサイバーセキュリティツールに接続できるだけでなく、ユーザーが特定の要件に応じてフィードを設定・カスタマイズできる自由度を備えたフィードには特に注目し、評価を高めました。

よくある質問（FAQ）

結論：脅威インテリジェンスフィードでセキュリティを強化

脅威インテリジェンスフィードだけで、組織のサイバーセキュリティ態勢を効果的に管理するために必要なすべての機能や是正措置を提供できるわけではありません。しかし、さまざまな攻撃ベクトルにわたるプロアクティブな脅威の特定に役立つ優れたリソースです。現在は無料または低コストで利用できる脅威インテリジェンスフィードが数多くあるため、セキュリティに関する知識と検知機能をさらに高める目的で、1つまたは複数のフィードをサイバーセキュリティのワークフローやツールに統合するのは賢明な選択です。

次に読む：ネットワーク保護：ネットワークを安全にする方法