サイバースレットインテリジェンス（CTI）は急速に拡大している分野です。サイバースレットインテリジェンスについて、最初にもっとも基礎的な要素と考え方を定義し、専門用語について理解していきます。インテリジェンス用語、スパイ活動に関する技術、およびインパクトに関する重要なポイントを理解することは、サイバースレットインテリジェンスの理解と使用には不可欠です。このセクションでは、インテリジェンス、スパイ活動に関する技術、およびサイバースレットインテリジェンスのレベルの最も重要な概念、および組織に加えることができる価値について紹介します。すべてのセクション同様に、受講生には演習をして理解を深めてもらいます。

演習

• インシデント対応においてIOC（Indicators of Compromise：脅威が存在することを示す痕跡）を使用する
• OpenIOCでIOCを作成する
• CRITSとThreat_NoteにIOCを格納する
• 戦略的脅威モデリングとVERIS

トピック

Case-Study: Carbanak, "The Great Bank Robbery"

Understanding Intelligence

• Intelligence Lexicon and Definitions
• Traditional Intelligence Cycle
• Sherman Kent and Intelligence Tradecraft

Understanding Cyber Threat Intelligence

• Defining Threats
• Understanding Risk
• Cyber Threat Intelligence and Its Role
• The Expectation of Organizations and Analysts
• Indicators of Compromise

Tactical Threat Intelligence Introduction

• The Role of a Tactical Threat Intelligence Analyst
• Expected Skills and Tradecraft
• The Kill Chain and Intrusion Analysis
• The Indicator Lifecycle

Operational Threat Intelligence Introduction

• The Role of an Operational Threat Intelligence Analyst
• The Need for Information Sharing and Peers
• Models and Methods for Managing Intelligence
• The Diamond Model
• Campaigns and Threat Actors

Strategic Threat Intelligence Introduction

• The Role of a Strategic Threat Intelligence Analyst
• Threat Modeling
• Organizational Change and Security Posturing
• Event Recording and Incident Sharing (VERIS)

戦術的なサイバースレットインテリジェンスでは、アナリストはインジケータと侵害を侵入解析から抽出し分類する必要があります。これらのアクションは、組織に関連する観察や事実に基づいて、他のすべてのレベルのスレットインテリジェンスを有効にします。敵の侵入を評価するために最も一般的に使用されるモデルの1つは、「キル・チェイン」です。このモデルは、敵対者が成功するために達成しなければならないステップを理解するためのフレームワークです。
このセクションでは、戦術的スレットインテリジェンスが、キルチェインをガイドとして成功するために必要なスキルを開発するのに役立ちます。受講生は、侵入について分析して理解を深めるために、オープンソースの情報収集技術でスパイ活動を抽出することになります。また、敵対活動の最初の通知からイベント分析の完了までの多段階の侵入を通して理解を深めます。このプロセスが敵対的キャンペーンを構造化し定義することの重要性についても強調しています。

演習

• ログとネットワークトラフィックからの指標の収集
• IOCと新たな情報の特定によってホストを抽出する
• 組織全体の脅威を理解する
• Diamondとキルチェインマッピング
• Maltegoオープンソースインテリジェンス

トピック

Kill Chain Courses of Action

• Passively Discovering Activity in Historical Data and Logs
• Detecting Future Threat Actions and Capabilities
• Denying Access to Threats
• Delaying and Degrading Adversary Tactics and Malware

Tactical Threat Intelligence Requirements

• Preparing Your Organization for Threat Intelligence
• The Role of Logs, Packet Capture, and Other Data Sources
• Keys to Success with Technology and Security Products

Kill Chain Deep Dive

• Scenario Introduction
• Notification of Malicious Activity
• Pivoting Off of a Single Indicator to Discover Adversary Activity
• Identifying and Categorizing Malicious Actions
• Using Network and Host-Based Data
• Interacting with Incident Response Teams
• Interacting with Malware Reverse Engineers
• Effectively Leveraging Requests for Information

Handling Multiple Kill Chains

• Identifying Different Simultaneous Intrusions
• Managing and Constructing Multiple Kill Chains
• Linking Related Intrusions

Pivoting to Open-Source Intelligence

• Data Pivoting
• Most Pivotable Indicators
• Maltego and Data Transforms
• Enriching Internal Data

敵対的キャンペーンやスパイ活動の技術への理解を深めるには、個々の侵入とデータポイントをつなぎ合わせる必要があります。どのような規模の組織であれ、オープンソースのインテリジェンス（OSINT）による内部分析から、既知の情報を補完して情報を充実させ、検証する必要があります。これにより、セキュリティ担当者は専属的な敵からより完全に、そして一貫してその環境を守ることの理解へとつながります。
このセクションでは、キャンペーンの内容、重要な理由、定義方法について学習します。このベースラインインテリジェンスから、現在の状況とのギャップや収集した情報を元に、オープンソースのリソースと方法を通じて目的達成のために特定されます。オープンソースデータリポジトリの一般的なタイプと実装、およびそれらの使用については、クラスルームでの議論と演習を通じて詳細に調査します。これらのリソースは、キャンペーンやアクターをさらに明らかにする、曖昧なパターンを含む侵入の可能性に関して、膨大な量のインテリジェンスを生成する可能性があります。高次分析を通じてこれらのパターンをデータ内に公開するためのツールとテクニックは、ストーリーと動作の形で実証されます。結果としてインテリジェンスの適用は、相関、行動のコース、キャンペーンの組み立てなどのために明確にされます。

演習

• DomainToolsでのOSINTおよびドメイン抽出
• Maltegoのインテリジェンス集約と抽出
• Excelでのデータの可視化と抽出
• キャンペーンヒートマップの作成

トピック

Case Study: Axiom

OSINT Pivoting, Link Analysis, and Domains

• Utilizing Temporal Analysis to Validate OSINT
• Adversary Infrastructure Identification

OSINT From Malware

• VirusTotal Uses and Limitations
• Malware Configuration Data Analysis

Case Study: GlassRAT

Intelligence Aggregation and Data Visualization

• Common Cyber Threat Intelligence Analytical Mistakes
• Maltego and Casefile Data Visualization

Defining Campaigns

• Key Indicators and Campaign Identification
• Behavioral Tactics, Techniques, and Procedures
• Campaign Naming and Identification

Communicating About Campaigns

• Incident One-Sliders and Metrics
• Developing Campaign Heatmaps
• Communicating to Executives about Cyber Threat Intelligence

多くの組織はインテリジェンスを共有しようとしますが、共有情報の価値、その限界、各オーディエンスに適したフォーマットを理解することはしばしば敬遠されます。このセクションでは、受講生に利用可能なオープンソースツールとプロフェッショナルツールの両方を認識し、内部と外部のサイバースレットインテリジェンスの各レベルの標準を共有することに焦点を当てます。次にYARAについて学び、YARAルールを生成して、インシデント対応者、セキュリティ運用担当者、マルウェアアナリストを支援する方法を学びます。そしてSTIXの実践的な経験を得るとともに、組織間で情報を共有するためのCybOXとTAXIIのフレームワークを理解します。最後に、組織が永続的な脅威に対処するために必要な変更を行い、ビジネスオペレーションの保護を支援するために、レポート、ブリーフィング、分析評価の形で、戦略レベルでインテリジェンスを共有することに焦点を当てます。

演習

• RecordedFutureのOSINTの大規模インデックス作成と分析
• ThreatConnectでのインテリジェンスの保存と共有
• YARAルールの開発
• STIXフレームワークを用いたIOCの抽出と開発
• スレットインテリジェンスレポートの重要な分析

トピック

Storing Threat Intelligence

• Storing Platform Considerations
• Best Practices for Managing Intelligence
• Malware Information Sharing Platform
• Professional Tools and ThreatConnect

Sharing: Tactical

• Understanding the Audience and Consumer
• Threat Data Feeds and Their Limitations
• YARA
• Advanced YARA Concepts and Examples

Case Study: Sony Attack

Sharing: Operational

• Partners and Collaboration
• Government Intelligence Sharing
• Traffic Light Protocol Standard
• Information Sharing and Analysis Centers
• CybOX, STIX, and TAXII
• STIX Elements and Projects
• TAXII Implementations

Sharing: Strategic

• Making the Business Case for Security
• Expectations of Executives and Decision-makers
• Threat Intelligence Reports
• Estimative Language
• Confidence Assessments
• Tips on Effective Report Writing
• Critical Evaluating Intelligence Reports

どのようなレベルでのインテリジェンス分析であっても、そのコアコンポーネントは、バイアスに影響されることなく、情報を分析する能力です。サイバースレットインテリジェンスの戦略的レベルでは、批判的に考える必要のあるスキルは非常に重要で、組織全体または国レベルに影響を及ぼす可能性があります。このセクションでは、論理的な誤謬や認知的な偏見、そしてそれらに影響されないための方法について学習します。それらは、国家の特性について、それに意味があるケース、それが単なる錯乱のケースなどについても学びます。受講生は、以前に特定されたキャンペーンから国レベルでの特性について学び、サイバースレットインテリジェンス業界のこれまでの全体像を払拭します。クラスの最後には、組織に大きな変更を加えるために、スレットインテリジェンスを消費し、実行可能な対応策の整理を行うことについての議論で終わります。

演習

• メディアレポーティングにおける認知バイアスの特定
• 競合する仮説分析 - HAVEX
• 競合する仮説分析 - ウクライナのサイバー攻撃
• インテリジェンスの収集と分析 - ウクライナのサイバー攻撃

トピック

Logical Fallacies and Cognitive Biases

• Identifying and Defeating Bias
• Logical Fallacies and Examples
• Common Cyber Threat Intelligence Informal Fallacies
• Cognitive Biases and Examples

Analysis of Competing Hypotheses

• Analysis of Competing Hypotheses Steps
• Evoltin Threat Scenario Walkthrough

Case Study: Stuxnet

Human Elements of Attribution

• Attribution Uses and Limitations
• When to Seek or Avoid Attribution
• Intrusion to Campaign Attribution

Nation-State Attribution

• Geopolitical Motivations to Cyber Attacks
• Espionage and Sabotage
• Attributing Campaigns to National Actors

Case Study: Sofacy

A Look Backward

• Campaigns Attributed to Nation-States
• Lessons Learned from National-level Attribution

Case Study: Cyber Attack on the Ukrainian Power Grid

Active Defense

• Intelligence Generation vs. Intelligence Consumption
• Consuming Intelligence in Security Operations