サイバースレットインテリジェンス（CTI）は、長きにわたり現代のデジタル防御の礎として機能してきましたが、ある画期的な長期的研究により、20年間にわたる報告が、統一されたグローバルな戦略というよりも、ベンダーのサイロ化によって定義された断片的な状況を生み出していることが明らかになりました。研究者の Mauro Conti、Manuel Suarez-Roman、Francesco Marciori は先日、13,308件のオープンソースCTIレポートに対して大規模な自動分析を実施し、この業界が深刻な「エコーチェンバー」現象に陥っていることを突き止めました。この断片化は、インテリジェンスの量は爆発的に増加している一方で、長期的な脅威アクターと被害者のダイナミクスに対する集団的な理解が、一貫性のない報告基準やセキュリティベンダーのエコシステムに固有の構造的バイアスによって妨げられていることを意味します。
この研究の必要性は、デジタル地政学の複雑化と、セキュリティ企業が生成する膨大な量の非構造化データに起因しています。歴史的に、サイバースレットインテリジェンス（CTI）はブログ記事から技術白書まで、バラバラな形式で公開されてきたため、人間のアナリストが20年分のトレンドを手動で統合することはほぼ不可能でした。このギャップを埋めるため、研究チームは大規模言語モデル（LLM）を活用してデータを読み込み、構造化する高精度パイプラインを開発し、特定された脅威アクター、動機、技術的指標などの重要なエンティティを抽出しました。この自動化されたアプローチにより、業界のアウトプットに関する初の包括的なメタ分析が可能となり、インテリジェンスが実際にどのように生成され、共有されているかが定量化されました。
ベンダー固有の特性はCTI分析にどのような影響を与えるのか？
CTI分析におけるベンダー固有の特性は、レポートを特定のベンダーの製品やサービスに結びつけることで広範な洞察を制限し、エコーチェンバーを作り出したり、サプライチェーン全体の脅威を見逃したりする可能性があります。 この特化した焦点は、しばしば地域的なブラインドスポットをもたらします。ベンダーの地理的な本社所在地や主要な顧客基盤によって、どの脅威を監視し報告するかが規定されてしまうのです。その結果、単一のインテリジェンスソースに依存している組織は、グローバルな脅威状況を歪んだ視点で捉えることになり、デジタルエコシステム全体で相互に関連する脆弱性を考慮できない断片的なリスクアセスメントにつながる恐れがあります。
この研究では、レポーティング・バイアスが個々のセキュリティ企業の商業的利益や技術的な可視性と深く結びついていることが判明しました。ベンダーは明確なセクター・バイアスを示しており、自社の特定の市場リーチに基づいて、金融や政府などの業界を優先しています。例えば、北米で強いプレゼンスを持つベンダーは、東アジアからの国家主導のハッキングについて深い洞察を提供する一方で、南米やアフリカで台頭しつつある脅威には事実上無関心である場合があります。この専門化は「サイロ」効果を生み出し、インテリジェンスは深まるものの範囲が狭まり、脅威アクターが時間の経過とともに異なるセクターや地域をどのように移動していくかという全体的な理解を妨げています。
さらに、この固有の特性は、実務者がインテリジェンスの完全性を評価することを困難にしています。レポートはしばしば特定のセキュリティツールやサービスの価値を実証するために仕立てられるため、提供されるメタデータや技術的指標（IoC）が恣意的になる可能性があります。Mauro Conti 教授らは、このような標準化の欠如が、プロバイダー間でのデータのクロスリファレンスを困難にしていると主張しています。統一されたフレームワークがなければ、CTIエコシステムは、グローバルなサイバー活動の連続的な高精細ビデオではなく、個別のスナップショットの集まりにとどまったままとなります。
20年分のCTI分析において、自動化はどのような役割を果たすのか？
自動化は、ベンダーを横断したリアルタイムのアラート、リスクスコアリング、脅威の相関分析を提供することで、20年間にわたるCTIの膨大なデータセットの処理と分析を可能にします。 大規模言語モデル（LLM）を利用することで、研究者は数千もの非構造化ドキュメントを、脅威アクターの動機や被害者のプロファイルに関する構造化されたデータベースに変換できます。このAI駆動のアプローチは、歴史的なバイアスを暴き、手動分析では見えない長期的なパターンを特定するために不可欠であり、数十年の生データを実効性のあるインテリジェンスへと効果的に変換します。
研究チームのLLMベースのパイプラインは、異なる時代の技術レポートにおける言語的なニュアンスを処理するように特別に設計されました。調査対象となった20年間で、戦術、技術、手順（TTP）を記述するために使用される用語は大きく進化しました。自動化によって、研究者はこれらの用語を正規化し、2005年に記述された「バックドア」を現代の持続的標的型攻撃（APT）のメカニズムと正確に比較できるようにしました。レポートが簡潔な事例の要約から、数千の侵害指標を含むデータ重視の文書へとシフトする中で、このような粒度の高い抽出は、情報密度の進化を理解するために極めて重要です。
単純なデータ抽出にとどまらず、自動化は新しいインテリジェンスソースを追加することの価値を定量化する限界網羅性分析を促進します。この研究では、機械学習を用いて、追加のベンダーレポートが新しい情報の提供を停止し、単に既知のデータを繰り返すだけになるポイントを特定しました。この定量的なアプローチは、複数のインテリジェンス・フィードのコストと、それによって得られる実際のインテリジェンス・ゲインのバランスを取らなければならないセキュリティ・オペレーション・センター（SOC）にとって不可欠です。研究者の発見は、ますますノイズの多い情報環境において状況認識を維持するためには、自動化が唯一の実行可能な方法であることを示唆しています。
情報密度と脅威の動機の進化
過去20年間で、サイバースレットインテリジェンス（CTI）レポートの性質は、量と技術的な深さの両面で劇的な変化を遂げました。この研究は、データが一般にどのように提示されるかについてのいくつかの主要なトレンドを強調しています：
- 技術的詳細の増加： 現代のレポートは、2000年代初頭のレポートと比較して、るかに高密度の侵害指標（IoC）とTTPを含んでいます。
- 動機の追跡： 研究者は、特定の脅威アクターと、スパイ活動、金銭的利益、ハクティビズムといった彼らの主な動機との間に明確な相関関係があることを特定しました。
- 戦略的シフト： 近年、国家主導のハッキングへの重点が高まっており、レポートはデジタル地政学や国家安全保障への影響に、より焦点を当てるようになっています。
- データの標準化： 密度は増加したものの、一貫した報告基準の欠如が、業界全体でのデータの相互運用を依然として妨げています。
なぜサイバー脅威のレポートに重複が生じるのか？
サイバー脅威レポートの重複は、ベンダーが個々のデータの限界を克服し、クラスタリングやコミュニティ構造を通じて競争上の優位性を得るためにインテリジェンスを共有することから生じます。 この冗長性は、多くの場合、CTIのコモディティ化を反映しています。市場での存在感を維持するために、複数の企業が同じ注目度の高いインシデントについて報告するのです。このような共有は集団的な知識を向上させる一方で、同じバイアスがかかった、あるいは不完全なデータが数十のソースで繰り返される「エコー」を生み出し、誤った合意形成を与えてしまうこともあります。
この研究の限界網羅性分析により、主要なプロバイダー間でのインテリジェンスの重複が驚くほど高いことが明らかになりました。大規模な国家主導のキャンペーンが検出されると、ほぼすべての主要ベンダーがレポートを公開しますが、多くの場合、同じ基礎となるテレメトリや公開されているIoCに依存しています。これは防御側にとって収穫逓減の状況を招きます。最初の数件のレポート以降、その後のインテリジェンスは新しい技術的洞察という点では「限界的な」価値をほとんど、あるいは全く提供しません。この冗長性は、脅威に対する深い理解をもたらすことなくアナリストの時間を消費するため、実際には有害となる可能性があります。
この重複は、業界における構造的バイアスも指摘しています。つまり、検出が容易であったり、すでにトレンドになっていたりする「目に見える」脅威が、関心の大部分を占めているのです。その一方で、ニッチなセクターを標的とした、より巧妙で長期的なサイバースパイキャンペーンは、主要ベンダーの報告テンプレートや商業的優先事項に合致しないため、全く報告されない可能性があります。Mauro Conti 教授のチームは、少数の注目を集めるアクターに労力が集中することで、世界のデジタルインフラの大部分が、あまり「人気」はないが同様に危険な脅威に対して脆弱なままになっていることを強調しています。
グローバルなセキュリティ可視化に向けた今後の展望
エコーチェンバーを超えて進むために、研究者たちは サイバースレットインテリジェンス（CTI）がどのように生成され、消費されるべきかについて、いくつかの重要な転換を提案しています。何よりもまず重要なのは、報告の標準化です。共通の言語と構造化された形式がなければ、データの量が増えるにつれてエコシステムの断片化は悪化する一方です。冗長な観察ではなく、独自の洞察に焦点を当てた自動化されたリアルタイム共有プロトコルを実装することで、現在の情報のギャップを埋めることができる可能性があります。
さらに、AIと自動化の役割は、単純なデータ抽出からバイアス検出へと移行する必要があります。将来のCTIプラットフォームは、インテリジェンスソースが地理的またはセクター別のバイアスに基づいて、状況を歪んで伝えている場合にユーザーに警告を発することができるようにならなければなりません。これらの高精度LLMパイプラインを標準的な防御ワークフローに統合することで、組織はデータの完全性をより適切に評価し、真の限界価値を提供する多様なソースを求めることができるようになります。最終的な目標は、デジタル地政学をベンダー固有の物語の断片から、透明性のあるグローバルなサイバー防御科学へと変革することです。
Comments
No comments yet. Be the first!