1⽇86,000件のアラートから逃げるな

脅威インテリジェンスが変えた、意思決定の話

Transcript

1. Hack Fes. 2026 | 2026.7.18（⼟） 秋葉原UDX 1⽇86,000件の アラートから 逃げるな 脅威インテリジェンスが変えた、意思決定の話 ⻑⾕川 隆司
2. Part 1 — 3分 個⼈で⼤規模SOC相当の“アラート地獄”を再現する そして、その地獄を脅威インテリジェンスで解決する
3. Part 1 — 3分 86,000件の朝 ハニーポットをSIEMに繋いだ翌朝、何が起きたか
4. ハニーポットをSIEMに繋いだ 翌朝⸺1⽇86,427件の アラートが来ていた （いわゆるSIEMです）
5. 1⽇あたりのアラート件数（過去90⽇） ★ = 86,427件（2026-05-21）
6. Part 2 — 4分 量と質、 2つの問題 なぜ意思決定が⽌まるのか
7. Part 2 — 課題 問題① 量の問題 「全部⾒るのは無理」 1⽇86,427件。8時間勤務で 1秒に3件処理しても追いつかない。
8. Part 2 — 課題 問題② 質の問題 「1件⾒ても意味わからん」 185.220.101.45 → これは何？危険？無視してOK？ ⽣のIPアドレスだけでは、何も判断できない
9. アラートの内訳：「全部危険」ではない 直近7⽇ 244,858件のうち、即対応必要（level 12+）は 0.33%（806件）しかない
10. Part 2 — 課題 アラート疲れ = 量じゃなく、 判断できないことが問題 この2つが揃って「意思決定が⽌まる」状態になる
11. Part 3 — 10分 CTIという答え 3ステップ 意思決定がどう変わったか
12. Part 3 — CTIという答え
13. Part 3 — Step 1 / 3 エンリッチ — ⽣IPに「⽂脈」を与える 使うもの: AbuseIPDB
14. Part 3 — Step 1 / 3
15. Step 1 — エンリッチ Before ⽣のIPアドレスだけ 185.220.101.45 203.0.113.99 198.51.100.14 何者かわからない → 判断できない 対処できない ▶ After 国‧ASN‧タグが付いた 185.220.101.45 国: Germany 利⽤形態: Data Center / Hosting 通報カテゴリ: SSH攻撃（多数） 203.0.113.99 国: Netherlands 利⽤形態: Hosting / VPN 通報カテゴリ: ポートスキャン 「⾒るべきか」が判断できる
16. Step 1 の変化 「このIPは⾒るべきか？」 が判断できるようになった ⽂脈がなければ、優先順位はつけられない。エンリッチは意思決定の起 点。
17. Part 3 — Step 2 / 3 スコアリング — 数値で「どれから⾒るか」を決める 使うもの: AbuseIPDB confidence スコア
18. Step 2 — スコアリング Before 全IP並列、優先順位なし score: ??? 185.220.101.45 score: ??? 203.0.113.99 score: ??? 198.51.100.14 score: ??? …… どれから⾒ればいい？ 判断の根拠がない ▶ After 数値で並べられる score:100 185.220.101.45 ← ま ず score: 94 2.57.122.177 score: 78 203.0.113.99 score: 0 ……（未報告） 上から順に⾒ればいい 「どれを先に⾒るか」が決まった
19. スコア分布 — score 76〜100 が全体の 63.0% score=0（未報告）は安全ではない。「まだ報告されていない」だけ。
20. Step 2 の変化 「どれを先に⾒るか」 が決まった 数値化で「上から順番に⾒ればいい」という判断軸が⽣まれた。
21. Part 3 — Step 3 / 3 ノイズ除去 — 「⾒なくていいもの」を増やす 使うもの: GreyNoise（ノイズIPフィルタリング）
22. Part 3 — Step 3 / 3
23. Part 3 — Step 3 / 3
24. 3,884件 件のIPを調査対象にした #HackFes2026
25. 98 件 97.5% がノイズとして除外された #HackFes2026
26. Step 3 の変化 「⾒なくていいアラート」 が増えた ノイズIPは脅威ではない。 除外できれば、残りに集中できる。
27. Part 3 — 3ステップの結果 3ステップで意思決定が変わった 86,427件/⽇ Step 1 : エンリッチ — ⽣IPに⽂脈を与える Step 2 : スコアリング — 優先順位をつける Step 3 : GreyNoise — ノイズを除く ※ アラートをIPに集約すると3,884件（86,000件/⽇は重複あり）  GreyNoiseでノイズを除くと98件。 優先して調査すべきIPが決まった → 意思決定が変わる
28. Part 4 — 3分 この体験、アラートだけでは 終わりませんでした。 脆弱性管理でも、 まったく同じことが起きた
29. Part 4 — 脆弱性トリアージ Before CVSSだけで⾒ると 対象: 37件 「どれを先に直すか わからない」 CVSS = 技術的深刻さ （TIではない） 意思決定が⽌まる ▶ After EPSSを加えると 対象: 3件 「今すぐ対応すべきは これだけ」 しかもその3件は CVSSでは"High" （Criticalリストにない） 「何を先に直すか」が決まった #HackFes2026
30. 今後の展望 — 3分
31. 今後の展望 — 3分
32. Part 5 — 3分 まとめ
33. 3つのステップ — 意思決定がこう変わった ① エンリッチ 「⾒るべきか」 がわかる ② スコアリング 「どれから」 が決まる ③ ノイズ除去 「⾒なくていい」 が増える
34. 1⽇86,000件の アラートから 逃げるな 脅威インテリジェンスは、意思決定の武器になる