インシデント対応・フォレンジック重要度:★★出題: AM2・PM1

脅威インテリジェンスと STIX / TAXII / IOC

きょういいんてりじぇんす / すてぃっくす / たくしー / Cyber Threat Intelligence / STIX / TAXII / Indicator of Compromise

攻撃者の戦術・技術・手順（TTP）や侵害指標（IOC）を構造化して組織間でリアルタイム共有・自動防御に活用する仕組みと標準フォーマット。

3行速習ポイント

IOC（Indicator of Compromise：侵害指標）：マルウェアのハッシュ値、C2サーバのIPアドレス・ドメイン名、特徴的な通信URLなどの痕跡情報
STIX（Structured Threat Information Expression）：脅威情報（攻撃者、キャンペーン、TTP、IOC）をJSON形式で構造化記述する表現フォーマット
TAXII（Trusted Automated Exchange of Indicator Information）：STIX形式で記述された脅威情報をHTTPS上で安全に自動交換するための通信プロトコル

図解

図STIX / TAXII と ISAC による脅威インテリジェンス自動共有・防御サイクル

11. 侵害指標 (IOC) ＆ TTP の抽出

情報生成

マルウェアハッシュ・C2サーバIP・攻撃戦術を特定

インシデント調査やハニーポット観測から、ファイルハッシュ値、不正ドメイン、MITRE ATT&CKの戦術・技術（TTP）を抽出

22. STIX による構造化記述

フォーマット (STIX)

攻撃者・キャンペーン・IOC・対策を機械可読JSON化

標準表現フォーマット「STIX」を用いて、単なるIPリストだけでなく脅威の文脈や関連性を構造化データとして記述

33. TAXII プロトコルと ISAC 共有

通信交換 (TAXII)

業界横断組織（ISAC等）とHTTPS上で安全に自動配信

専用交換プロトコル「TAXII」を介して、金融ISACやJPCERT/CC等の信頼コミュニティから脅威フィードを自動受信

44. SIEM / EDR / FW への自動反映

プロアクティブ防御

受信したIOCを即時ブロックルール・過去ログ検索に適用

他社で観測されたばかりの最新C2通信先やマルウェアハッシュを自社FW/EDRへ自動適用し、未然防御とスレットハンティングを実行

💡 午前IIの鉄板知識：「STIX ＝脅威情報の構造化記述フォーマット（JSON等）」、「TAXII ＝ STIXデータをHTTPS上で交換する通信プロトコル」

概要と本質

一企業だけで未知の攻撃に対処するのは限界があるため、業界横断のISAC（情報共有分析センター：金融ISAC、ICT-ISAC等）やJPCERT/CCを通じて脅威インテリジェンスを共有します。STIX/TAXIIにより、共有されたIOCを自社のSIEMやEDR、FWへ自動で取り込み即座に検知・遮断できます。

重要ポイント・コア概念

痛みのピラミッド（Pyramid of Pain）：ハッシュ値やIPアドレス（ピラミッド下層）は攻撃者が容易に変更できるが、攻撃者のTTP（戦術・技術・手順：最上層）を捉えた検知ルールは攻撃者にとって回避コストが極めて高い
OSINT（Open Source Intelligence）：公開情報から収集・分析されるインテリジェンス
ISAC（Information Sharing and Analysis Center）：同業種間でサイバー攻撃情報や脆弱性情報を共有・連携する組織