c4.6 脅威インテリジェンスを構築する
ローカルおよびグローバルな脅威、アクター、戦術、侵害の指標（IoC）を研究し、その知見をセキュリティサービス（GuardDuty の脅威リスト、AWS WAF のレピュテーションルール）に取り込んで、既知の悪性活動を検知・ブロックする脅威インテリジェンス能力を作ります。
実装ガイダンス
研究し、そして知見を取り込む
脅威インテリジェンス機能は、セキュリティニュース・脅威アクター・戦術・侵害の指標（IoC）を研究し、そして重要な点として、学んだことをセキュリティサービスに取り込んで検知を改善します。
自分の IoC で GuardDuty を強化する
Amazon GuardDuty は、Amazon のインテリジェンスに加え、サードパーティやオープンソースのフィードを既に使っています。独自の信頼 IP リストと脅威 IP リストを追加できます。たとえば、オンプレミス環境を攻撃していた悪性 IP や、商用フィード（Talos、X-Force、Mandiant など）の IoC です。対応形式にはプレーンテキスト、STIX、いくつかの CSV フィード形式が含まれます。
エッジでのレピュテーション統制
AWS WAF のマネージドルールには、既知の悪性ボットネットや匿名化サービスからの攻撃を減らす Amazon IP レピュテーションリストと匿名 IP リストが含まれます。AWS Marketplace のパートナーのレピュテーションフィードがこれらを拡張します。AWS WAF Security Automations ソリューションは Spamhaus や Emerging Threats などのフィードを追加します。
自分のシグナルを生成する
成熟したチームは、ハニーポットやおとりを運用して、鮮度の高い一次情報を収集できます。プライベートなおとりリソースで不審な活動を検出する方法を参照してください。
How to validate
- 侵害の指標（たとえばローカル CIRT からの通知や、オンプレミスへの攻撃）を GuardDuty の脅威リストに取り込んでいますか？
- サードパーティの脅威インテリジェンスフィードは、検知と WAF に統合されていますか？
- 脅威インテリジェンス機能があり、攻撃者を知るためにハニーポット/おとりを使っていますか？
Threats addressed
- 最新の脅威インテリジェンスを検知に取り込んでいないと、他組織が既に観測している既知の悪性 IP・ドメイン・手法を、自組織の統制は見逃します。
AWS サービス
Amazon GuardDuty 
AWS WAF