OSINT情報源の実効性を実測｜攻撃の予兆は6分類

「どのOSINTフィードを追えば攻撃を先読みできるのか」に、初めて実測で答えた研究が公開されました。米ボルティモア大学らのチームが、2010〜2024年の重要インフラへの確認済みサイバー攻撃54件を対象に、公開情報源10分類が「攻撃の前に鳴ったか」を照合しています。結果、情報源は予兆型・開示暴露型・広域型の3つにきれいに分かれ、業界で定番とされる情報源のいくつかは「予兆」ではなく「開示」の役割だったと報告されました。攻撃前シグナルのリードタイム中央値は23日。査読前のプレプリントですが、情報収集の優先順位を考え直す材料になります。

この記事でわかること

  • 10の公開情報源が「攻撃の予兆」としてどれだけ機能したかの実測値
  • 3つだけ選ぶなら何を選ぶべきか（研究が示した最適な組み合わせ）
  • NVDやICS-CERTが「予兆源ではない」と分類された本当の意味
  • 日本の情シスがこの結果をそのまま持ち込むときの落とし穴

どんな研究か

論文は A Case-Control Measurement Study of OSINT Source Effectiveness for Critical Infrastructure Defense（Emeksiz ほか、ボルティモア大学ほか、2026年8月21日 arXiv公開）です。査読前のプレプリントであり、結論は今後変わりうる点を先に明記しておきます。

手法の肝は、疫学で使われるケース・コントロール研究の設計を情報源評価に持ち込んだ点です。攻撃事例だけを集めて「この情報源は当たった」と数えると、何にでも鳴る情報源が高評価になってしまいます。そこで研究チームは、対になる「ヌル（対照）事例」——CVSS 7.0以上またはICS-CERT勧告に該当し、重要インフラで実際に使われているのに、180日以内に実被害の公表がなかった脆弱性12件——を用意しました。攻撃54件とヌル12件の両方に対して「その情報源が鳴ったか」を数えることで、初めて精度（鳴ったうち本当に攻撃だった割合）が測れます。

照合は機械的な突き合わせではなく、CVE番号・マルウェアファミリ・攻撃者・インフラ（IP/ドメイン/ハッシュ）の一致など7基準を定めた上で、2名が独立に検証し不一致は合議で裁定する手順を踏んでいます。検証済みシグナルは161件、事前合意率は84.5%でした。

評価された10の情報源は何者か

結果表を読む前に、登場する情報源を押さえておきます。名前を知らないものが混じっていると、順位表を見ても自社に引き寄せて判断できません。

情報源クラス 何者か
Vendor-Tier1 大手ベンダー・IR企業の公開脅威リサーチ（Mandiant、CrowdStrike、Palo Alto Unit 42、Microsoft、Cisco PSIRT、Dragos、Siemens/Schneider の ProductCERT、ESET など）のブログ・レポート群。単一の購読商品ではなく「その層の公開アウトプット全体」を指す
US-CERT（TA/AA） 米CISAが出す注意喚起・共同勧告。攻撃キャンペーン単位でTTPとIoCを出す
NCSC-Tier1 英NCSC・独BSI・仏ANSSI・カナダCCCS といった各国政府CSIRTの勧告
CERT-UA ウクライナ政府CSIRT。有事下の実戦的な観測情報を出す
MalwareBazaar マルウェア検体の公開共有リポジトリ。新種検体の初出が早い
VirusTotal ファイル・URLのマルチエンジン検査サービス。検体の初回投稿日時が観測点になる
OTX AlienVault Open Threat Exchange。コミュニティ型の脅威情報交換基盤
CISA KEV 米CISAの「悪用が確認された脆弱性カタログ」＋CISA共同勧告（本研究では合算して1分類として扱われている）
NVD/NIST 米国の標準脆弱性データベース。CVEの正典
ICS-CERT（ICSA） 制御システム（ICS/SCADA）向けの脆弱性勧告

結果：情報源は3つの「役割」に分かれた

攻撃54件に対する被覆率と、ヌル12件への誤発火（汚染）率を並べたのが下表です。

情報源 攻撃被覆率 ヌル汚染率 精度（95%下限） リードタイム中央値 類型
Vendor-Tier1 77.8% 33.3% 91.3%（83.1） 24日 広域型
US-CERT 27.8% 0.0% 100%（78.5） 32日 予兆型
VirusTotal 11.1% 0.0% 100%（50.2） 0日 予兆型
NCSC-Tier1 11.1% 0.0% 100%（50.2） 13日 予兆型
MalwareBazaar 9.3% 0.0% 100%（43.1） 11日 予兆型
CERT-UA 7.4% 0.0% 100%（34.4） 24日 予兆型
OTX 5.6% 0.0% 100%（23.8） 17日 予兆型
CISA KEV 16.7% 33.3% 69.2%（39.9） 24日 開示暴露型
NVD/NIST 20.4% 91.7% 50.0%（34.9） 62日 開示暴露型
ICS-CERT 7.4% 66.7% 33.3%（11.6） 420日 開示暴露型

予兆型6分類はヌル12件に対して一度も鳴っていません（発火0件）。一方、開示暴露型3分類はヌルへの汚染率が攻撃被覆率と同等かそれ以上でした。両群を統合した検定では p = 3.4×10-8 と、小規模なデータセットとしては強い分離が出ています。

NVDやICS-CERTは「質が低い」のか？

いいえ。役割が違うだけです。論文自身が「品質ではなく運用上のミッションによる分類だ」と明記しています。NVDはCVEを網羅的に載せる正典なので、実被害が起きなかった脆弱性にも定義上ほぼ全件鳴ります（ヌル汚染91.7%）。それは欠陥ではなく仕事です。

問題は使い方の側にあります。論文は「開示暴露型の情報源はパッチ管理のキューに属するのであって、インシデント対応のキューではない。両者の混同こそが、防げるはずのアナリスト疲弊の最大要因である」と指摘しています。ここは実務者として強く頷けるところです。NVDの新着CVEを「今すぐ動くべき警報」と同じチャネルに流し込むと、本当に鳴っている予兆が埋もれます。→ 脆弱性管理とは？プロセスと情シスの進め方、CVEとは？共通脆弱性識別子の仕組み

3つ選ぶなら何を選ぶか

研究は「監視できる本数に上限がある」という前提で、被覆率が最大になる組み合わせを貪欲法（greedy）で求めています。

本数 追加する情報源 累積被覆率 増分
1 Vendor-Tier1 77.8% +77.8pt
2 US-CERT 92.6% +14.8pt
3 MalwareBazaar 96.3% +3.7pt
4 CERT-UA 98.1% +1.9pt
5 CISA KEV 100% +1.9pt

注目すべきは選び方そのものの価値です。3本を無作為に選んだ場合の平均被覆率は56.5%（最悪22.2%）。設計して選んだ3本の96.3%とは39.8ポイント差がつきました。「たくさん購読している」ことと「攻撃を先読みできている」ことは別物だ、という定量的な裏付けです。

また、業種によって2本目以降が変わることも示されています。エネルギーは Vendor-Tier1 → US-CERT、医療は Vendor-Tier1 → CISA KEV → US-CERT、製造は Vendor-Tier1 → CERT-UA → MalwareBazaar。自社の業種と、想定する攻撃者（金銭目的か国家背景か）で最適解が動くわけです。

なお、Vendor-Tier1 を丸ごと失った場合でも残り7分類で70.4%は確保できる一方、政府CSIRTの勧告だけに絞ると38.9%まで落ちる、という感度分析も出ています。

リードタイム中央値23日 ── 週次レビューは警告の半分を捨てている

攻撃日以前に出ていたシグナル117件のリードタイム分布は、7日以内27.4%、14日以内35.9%、30日以内56.4%、60日以内76.9%、180日以内87.2%。中央値23日、四分位範囲6〜59日でした。

論文はここから「中央値23日ということは、週次でまとめてレビューする運用では利用可能な警告のおよそ半分を捨てている。日次で回せばその大半を回収できる」と述べています。個別事例では、Colonial Pipeline（2021年5月）はDarkSideというRaaSグループの登場を報じたベンダーレポートが270日前、アフィリエイト勧誘とTTPのレポートが16日前に出ていました。Change Healthcare（2024年2月）は、ALPHV/BlackCatによる医療機関狙いを警告するCISA共同勧告が64日前です。

一方で、MOVEit（2023年5月）のように事実上のゼロデイでは前もった警告が存在しないケースもデータセットに含まれています。情報源選定は万能ではなく、あくまで「先に鳴りうるものを取りこぼさない」ための話だと押さえておくべきです。

現場目線の課題：この表をそのまま貼ってはいけない

率直に言って、この研究で一番気になったのは日本の情報源が1つも測定対象に入っていないことです。JPCERT/CC、IPA、JVNはデータセットに登場しません。米国の重要インフラ攻撃54件が母集団なので当然といえば当然ですが、裏を返せば「日本の情シスにとってJPCERT/CCが予兆源かどうかは、この研究では分からない」ということです。表の順位を根拠に国内情報源を外す、といった読み方は明確に誤りです。

もう一つ、Vendor-Tier1 が1位という結果はそのまま予算稟議に使えない点にも注意が必要です。この分類は購読できる商品ではなく、複数ベンダーの公開ブログ・レポートの束を指します。研究チームも有料フィードは一切購入していません（つまり「有料フィードを買え」という結論ではない）。実務に落とすと「Mandiant や Unit 42 や Dragos の公開リサーチを毎日拾う担当と時間を確保する」という、地味で人手のかかる話になります。

そして、その毎日の巡回こそが、限られた人員では真っ先に後回しになる作業です。兼務の情シスが月に一度まとめて眺める運用になっている組織は少なくないはずで、中央値23日という数字は「間に合わなくなる境界線」を静かに突きつけてきます。読むだけなら無料、でも読む時間は無料ではない——このギャップこそが本研究の実務的な含意だと感じました。

情シスはどうすべきか

この論文は情報源の選び方を示すもので、対策そのものの手引きではありません。実務の土台は公的機関の指針に寄せるのが確実です。

技術的な仕組みだけでなく、現場のユーザに「怪しいと思ったらすぐ情シスへ」と伝え続ける地道な啓発も、結局は最短の予兆検知チャネルになります。→ SOCとは？監視・検知の役割とCSIRTとの違い

限界と留意点

  • 査読前のプレプリントです。結論は今後変わりうるものとして扱ってください。
  • サンプルが小さい：攻撃54件・ヌル12件。予兆型6分類の「精度100%」は見かけの数字で、95%信頼下限は23.8〜78.5%と大きな幅があります。多重比較補正後に個別に有意だったのは Vendor-Tier1・NVD・ICS-CERT の3分類のみで、予兆型の個別有意性は今後の課題だと論文自身が認めています。
  • 「公表されたか」であって「気づけたか」ではない：論文は「情報源が攻撃前に公表したかを測っており、防御側が実際に観測して行動したかは測っていない」と明記しています。理論上の可視性の上限であって、検知率ではありません。
  • 収集条件によるバイアス：公開シグナルが1つ以上ある攻撃だけが対象なので、静かに進んだ攻撃は最初から入っていません。
  • 時間とともに変わる：MalwareBazaar（2020年）やCISA KEV（2021年）は途中から存在した情報源です。3類型自体は安定していたものの順位は動くため、定期的な再計算が必要と論文は述べています。

データセットと照合ルールは GitHubで公開されており、追試や自組織の事例での再計算が可能です。この点は研究の誠実さとして評価できます。

まとめ

  1. 公開情報源は予兆型・開示暴露型・広域型の3類型に実測で分離した。NVDやICS-CERTが開示暴露型なのは品質ではなく役割の違いで、パッチ管理のキューとインシデント対応のキューを分けることが実務上の要点。
  2. 設計して選んだ3本で攻撃の96.3%を被覆でき、無作為3本（56.5%）と39.8ポイント差。購読数ではなく組み合わせの設計が効く。
  3. 攻撃前シグナルのリードタイム中央値は23日。週次レビューでは警告の半分を捨てる計算になる。ただし日本の情報源は測定対象外であり、順位表をそのまま国内運用に持ち込むことはできない。

出典

タイトルとURLをコピーしました