脅威インテリジェンスは重ならない｜CTI20年研究

オープンソースの脅威インテリジェンス（CTI）レポートを約20年分・16,096本まとめて機械的に解析した研究が公開されました。結論は、CTIを買う側・読む側の前提をひっくり返すものです。ベンダー同士のレポートはほとんど重なっておらず、1社だけを見ていると、ある攻撃者について公開されている情報の4分の1にも届かない——つまり「どこも同じことを書いている」のではなく、「どこも違うことを書いている（＝1社では見えない）」という指摘です。

ただし本記事が扱うのはarXivに投稿された査読前のプレプリント（v3・2026年8月19日版）です。結論は今後の査読で変わりうる点を踏まえてお読みください。

この記事でわかること

  • CTIベンダー間のレポートの重複率が実際どの程度か（平均1.5％〜22.2％）
  • 「1社契約」「無料ソースだけ」で見えなくなる範囲
  • 公開CTIに含まれる地理・業種の偏り（日本の可視性の問題）
  • 情シスがCTIソースを増やす／絞るときの判断材料
  • この研究の限界と、鵜呑みにしてはいけない点

そもそも脅威インテリジェンス（CTI）とは何か

脅威インテリジェンス（CTI: Cyber Threat Intelligence）とは、攻撃者の集団・手口・標的・使用インフラなどを分析し、防御の意思決定に使える形に整理した情報のことです。セキュリティベンダーが公開する攻撃キャンペーンのレポート、IoC（侵害の痕跡＝不正なIPアドレスやハッシュ値）のフィード、MITRE ATT&CKの技術IDに紐づけられたTTP（戦術・技術・手順）の記述などが該当します。

情シスの現場では、SIEMやEDRに取り込むブロックリスト、経営層への報告資料の裏付け、インシデント発生時の「これは何者の仕業か」の当たりをつける材料として使われます。監視・検知の体制そのものについてはSOCとは？監視・検知の役割とCSIRTとの違いを解説もあわせてご覧ください。

どんな研究なのか

Manuel Suarez-Roman、Francesco Marchiori、Mauro Conti、Juan Tapiadorの各氏による論文「The CTI Echo Chamber: Fragmentation, Overlap, and Vendor Specificity in Twenty Years of Cyber Threat Reporting」です。一文でいえば、公開CTIレポートを大規模言語モデル（LLM）で構造化し、「CTI業界そのもの」をメタ分析した研究です。

項目 内容
対象期間 2000年〜2026年（約20年）
解析したレポート 17,380件を収集し、16,096件を構造化
レポート提供元 1,926のベンダー・組織
抽出したIoC 134,915件（レポートの66.9％にIoCの記載あり）
抽出したTTP MITRE ATT&CKの935技術
脅威アクター 名寄せ後で3,867主体
標的の地理／業種 255地域／24業種
抽出パイプライン OpenAI o3（2025-04-16スナップショット）。検証でF1値93.8％（適合率94.6％／再現率93.4％）

抽出そのものをLLMに任せている点は割り引いて読む必要がありますが、F1値93.8％という検証結果を明示し、再現性のためモデルのスナップショットを固定している点は、この種の研究としては誠実な部類です。

ベンダー間で情報はどれだけ重なっているのか

ほとんど重なっていません。研究チームがベンダー同士の報告内容の重なり（Jaccard係数）を測ったところ、データセット全体の平均は1.5％。大手に絞って上位30ベンダー間で見ても平均22.2％にとどまりました。同じ脅威アクターを扱っているベンダー同士に限定しても類似度は最大0.28で、IoCまで含めると0.1を下回ります。

ここが実務的に効いてくる部分です。「CTIフィードを2社契約しても、どうせ同じ情報にお金を払うだけ」という直感は、少なくとも公開レポートの世界では成り立ちません。むしろ逆で、1社では見えない部分が広大に残るということになります。

1社だけだと、どこまで見えるのか

特定の脅威アクターについて深い情報を集めようとした場合、情報源が1つ（N=1）だと中央値で25％未満のカバー率にとどまり、100％に近づくのは約15の異なる情報源を束ねたときだったと報告されています。アクターによるばらつきも大きく、運が悪ければ主要な報告を丸ごと見落とします。

一方で、「どの地域のどの業種が狙われているか」という俯瞰的な状況把握であれば、上位10ベンダーで地理×業種の組み合わせの77.8％、上位50ベンダーで90％に到達します。

知りたいこと 上位10ベンダー 上位50ベンダー
脅威アクター（誰がやっているか） 43.0％ 70％未満
地理×業種（どこが狙われているか） 77.8％ 90％

つまり目的によって必要なソース数がまったく違うのです。全体傾向の把握なら少数のソースで足ります。しかし「うちを狙っているのは誰で、次に何をしてくるのか」という個別の追跡を始めた瞬間に、必要なソース数が跳ね上がります。

公開CTIには、どんな偏りがあるのか

報告される被害地域は極端に集中しています。研究のコアデータセットで最も多く被害地として登場したのは米国（1,603件）で、以下ウクライナ（568件）、韓国（527件）、インド（513件）、ロシア（459件）と続きました。上位5か国に日本は入っていません。

これは「日本が狙われていない」という意味では決してありません。公開CTIレポートを書いているベンダーの多くが英語圏を主戦場としており、報告される国・業種そのものが偏っているということです。国内の事案は国内ベンダーやJPCERT/CC、IPAの発信に載ることはあっても、国際的な公開CTIの分析対象からは抜け落ちやすい構造にあります。

業種別では、政府・公共行政が全体の21.0％で最多、以下IT（16.3％）、金融・銀行（14.0％）でした。動機別では金銭目的のサイバー犯罪が54.9％（6,513件）、スパイ活動が33.8％（4,015件）。ウクライナに限ると「サバタージュ（妨害・破壊）」が18.1％と、全体平均の2.8％を大きく上回っています。

攻撃者は思ったより「一度きり」で「一芸」

興味深いのは脅威アクター側の特徴です。名寄せ後の3,867主体のうち58％はデータセット中に一度しか登場しません。また80.8％は単一の主要な動機しか持たず、5つ以上の動機を持つ主体は0.4％だけでした。一方、10地域以上を標的にする主体は11.8％あり、動機は狭く、地理的には広くという像が浮かびます。

APT系の常連が繰り返し取り上げられる印象とは裏腹に、実際の公開レポートの多くは「一度しか名前が出ない主体」に費やされているわけです。名前のついた攻撃者グループの追跡についてはAPT-C-60の2026年攻撃、正規サービス悪用の手口も参考になります。

レポートの量は2021年をピークに減っている

時系列で見ると、公開CTIレポートは2000〜2010年はごくわずか、2011〜2019年に急増し、2021年の2,520件をピークに、2023年以降は減少に転じています。IoCの掲載量はベンダーの多様性と強く連動（相関係数r=0.98）する一方、動機や標的といった戦略的な属性の記述はそこまで連動していません（r=0.42〜0.72）。

ベンダーが増えればIoCは比例して増えるが、「なぜ狙われたか」という分析はスケールしない——これは、フィード契約を増やしても意思決定に効く情報が同じ比率では増えないことを示唆します。

現場目線の課題

正直なところ、CTIレポートは「読む時間が確保できない資産」の筆頭です。毎日流れてくるベンダーブログを全部追えるはずもなく、結局はIoCフィードを自動でSIEMに流し込んで、レポート本文は積読になる。そして年に一度、契約更新のタイミングで「これ、本当に効いているんだったか」と悩む。多くの現場がそうではないでしょうか。

この研究が突きつけるのは、その悩みが「重複が多くて無駄」ではなく「そもそも見えていない」という別の問題だった可能性です。1社のフィードだけを取り込んで安心していた場合、見えていなかった範囲のほうが広い。かといって15社と契約できる予算も人員もない、というのが現実です。

もう一つ引っかかるのは、日本の可視性です。上位に日本が現れないという事実は、海外製のCTI製品の「日本向けカバレッジ」を額面どおり信じてよいのかという問いにつながります。国内の脅威動向は国内の一次情報で補うしかない——そう腹をくくったほうが、運用としては現実的だと感じます。国内でも観測される境界機器の悪用についてはORB化とは 境界機器が攻撃の中継拠点にされる脅威もご覧ください。

情シスはどうすべきか

この研究を踏まえたとき、CTIとの付き合い方で見直せる点は次のあたりです。

  • 目的を「俯瞰」と「追跡」に分ける：業界動向の把握が目的なら少数の主要ソースで十分（上位10ベンダーで地理×業種の77.8％）。特定アクターの追跡が必要になったときだけ、一時的にソースを広げる。
  • 国内の一次情報を土台にする：JPCERT/CCの注意喚起やIPAの発信は、公開CTIの地理的偏りを埋める位置づけとして扱う。
  • フィードは「重複が少ないこと」を前提に評価する：新しいソースを検討する際、「既存と重複しているか」ではなく「既存で拾えていなかった事象を拾えたか」を評価軸にする。
  • 体制側の整備を先に：情報を増やしても、受け止める運用がなければ意味がありません。IPA「中小企業の情報セキュリティ対策ガイドライン」で自社の到達点を確認し、IPAのセキュリティインシデント対応 机上演習教材で「情報を受け取ってから動くまで」を実際に回してみるほうが、フィードを1本増やすより効果が出やすい局面は多いはずです。
  • 担当者の読解力に投資する：CTIは自動処理しきれない情報が本体です。地道な内部勉強会やインシデント事例の共有といった啓発活動が、結局は最も費用対効果の高いCTI活用になります。

組織としての受け皿づくりについてはCSIRTとは？役割・SOCとの違いと構築の要点を解説もあわせてどうぞ。

この研究の限界

鵜呑みにしないための留意点も明確です。

  • 査読前のプレプリントです（2026年2月投稿、8月19日改訂のv3）。結論は変わりうるものとして扱ってください。
  • 対象は公開CTIのみ。著者自身が、可視性は公開CTIに限られ非公開のインテリジェンスは研究対象外である旨を明記しています。有償の非公開レポートを含めれば、重複率は違う数字になる可能性があります。
  • データセット自体にも欠損がある。主要CTIプラットフォームとの突き合わせ監査では、平均57.7％（ベンダーごとに44.3％〜73.0％）しか収集できていなかったと報告されています。
  • 抽出はLLM依存。F1値93.8％は高いものの、残りの誤りがどの方向に偏っているかまでは分かりません。

まとめ

  1. 公開CTIレポート16,096本・20年分の分析で、ベンダー間の情報の重なりは平均1.5％（上位30社でも22.2％）と極めて低いことが示された。「どこも同じ情報」という前提は成り立たない。
  2. 特定の脅威アクターを追うなら1ソースでは中央値25％未満のカバー率、100％に近づくには約15ソースが必要。一方、業界俯瞰なら上位10ベンダーで地理×業種の77.8％をカバーできる。目的でソース数を切り替えるのが現実解。
  3. 被害地域の上位は米国・ウクライナ・韓国・インド・ロシアで日本は上位5か国に入らない。公開CTIの地理的偏りを前提に、国内はJPCERT/CC・IPA等の一次情報で補う必要がある。ただし本研究は査読前のプレプリントである点に留意。

出典

タイトルとURLをコピーしました