[論文レビュー] Research Directions in Cyber Threat Intelligence

Stjepan Groš|arXiv (Cornell University)|Jan 18, 2020

Advanced Malware Detection Techniques参考文献 11被引用数 4

ひとこと要約

本稿では、成熟分野であるインテリジェンス統合、状況認識、知識管理などの確立された手法を活用することで、サイバー脅威インテリジェンス（CTI）研究の加速を提案する。CTIプロセスをこうした実証済み分野にマッピングすることにより、知識やフレームワークの他分野への再利用を通じて、より速く、より効果的な脅威インテリジェンス開発を可能にする実行可能な研究方向性を同定する。

ABSTRACT

Cyber threat intelligence is a relatively new field that has grown from two distinct fields, cyber security and intelligence. As such, it draws knowledge from and mixes the two fields. Yet, looking into current scientific research on cyber threat intelligence research, it is relatively scarce, which opens up a lot of opportunities. In this paper we define what cyber threat intelligence is, briefly review some aspects for cyber threat intelligence. Then, we analyze existing research fields that are much older that cyber threat intelligence but related to it. This opens up an opportunity to draw knowledge and methods from those older field, and in that way advance cyber threat intelligence much faster than it would by following its own path. With such an approach we effectively give a research directions for CTI.

研究の動機と目的

• サイバー脅威インテリジェンス（CTI）研究の未熟な状態に対処するため、移転可能な手法を有する未活用の成熟分野を同定すること。
• 新規にフレームワークを構築するのではなく、関連分野から実証済みのフレームワークを再利用することで、CTIにおける進展までの時間を短縮すること。
• インテリジェンス統合、知識管理、認知コンピューティングなどの長年にわたり確立された分野と一致させることで、CTIのための構造的かつ体系的な研究ロードマップを提供すること。
• 状況認識および不確実性推論の原則を統合することで、CTIの意思決定能力を強化すること。
• CTIプロセスを共通の概念的基盤を有する、既存でよく研究された分野にマッピングすることで、学際的イノベーションを促進すること。

提案手法

• CTIのコアな構成要素（データ収集、情報統合、知識生成、意思決定支援）を、成熟分野における類似プロセスにマッピングする。
• 異種のサイバー脅威データを一貫性のある行動可能なインテリジェンスに統合する基盤フレームワークとして、インテリジェンス統合（DIF）を分析する。
• リアルタイムでのサイバー脅威の認識、理解、予測をモデル化するために、状況認識（SAW）理論を適用する。
• 組織間および時間的経過にわたるCTI知識の構造化、保存、共有を可能にするために、知識管理（KM）の原則を統合する。
• 不確実性下での推論をモデル化し、脅威予測の正確性を向上させるために、認知コンピューティングおよび意思決定理論を活用する。
• インテリジェンスおよびシステム工学分野の代表的モデル（OODAループ、ウォーターフォール、オムニバスモデルなど）と照合する比較分析を用いる。

実験結果

リサーチクエスチョン

• RQ1 インテリジェンス統合や知識管理といった成熟分野を、サイバー脅威インテリジェンスの開発を加速するためにどのように活用できるか。
• RQ2 ビジネスインテリジェンスや競争インテリジェンスといった伝統的インテリジェンス分野と、サイバー脅威インテリジェンスとの間には、どのような共通点があるか。
• RQ3 状況認識フレームワークは、動的環境におけるサイバー脅威の認識および予測を、どのように改善できるか。
• RQ4 不確実性管理および意思決定理論は、CTI出力の信頼性および実行可能性をどのように向上させられるか。
• RQ5 成熟分野から具体的にどのような手法を、CTIのデータ統合、知識表現、運用利用における現在の限界を克服するために適応可能か。

主な発見

• サイバー脅威インテリジェンスは現在、基礎的研究が限定的であり、未熟な段階にあり、学際的知識移転の強力な機会を有する。
• インテリジェンス統合（DIF）は、多様なソースのサイバー脅威データを一貫性のある行動可能なインテリジェンスに統合する成熟したフレームワークを提供し、CTIパイプラインに直接適用可能である。
• 状況認識モデルは、脅威の認識、理解、予測の構造を実証済みの形で提供し、CTIの脅威予測という目的と密接に一致する。
• 知識管理の実践は、組織を越えてエキスパートの脅威知識を体系的に捉え、共有し、保持することを可能にし、CTIに顕著な効果をもたらす。
• 認知コンピューティングおよび不確実性推論技術は、曖昧または不完全な脅威データを処理するCTIの能力を向上させ、意思決定支援の質を高める。
• 意思決定理論、オントロジー工学、ビッグデータ分析といった成熟分野の統合は、CTIを現在の戦術的・技術的焦点を超え、発展させる実現可能な道筋を提供する。