OpenID ファウンデーション・ジャパン

OIDF、『不正・詐欺防止に関する国家戦略』をサポート

By tshibata | 2025年10月03日

翻訳元: https://openid.net/oidf-supports-national-strategy-on-fraud-and-scam-prevention/

本日、アスペン研究所金融セキュリティプログラムが、画期的な「不正・詐欺防止に関する国家戦略」を発表しました。

OpenID Foundationは、タスクフォースのメンバーとして参加できたことを嬉しく思います。80以上の分野を横断するパートナーと共に、この取り組みに貢献しました。これは、米国において政府、法執行機関、民間企業、市民社会のリーダーたちが、不正や詐欺の防止を目的とした戦略を策定するために、幅広く集結した初めての機会です。

OpenID Foundationは、アスペン報告書における厳密な分析、包括的なアプローチ、そして実行可能な提言を高く評価しています。提言には以下が含まれます:

  • 政府、産業界、市民社会全体にわたるエコシステム全体での対応体制の確立
  • 迅速な検知、より強力な執行、適切な責任保護を可能にする法的枠組みのモダナイズ
  • データ共有、防御の強化、詐欺被害の削減のための業界間の連携改善 - 目標達成のための標準規格の活用を含む
  • 被害者への効果的な支援の提供、これらの犯罪が引き起こす実害の認識
  • 詐欺を単なる規制問題ではなく、国家安全保障と経済的脅威として扱うこと

OpenID FoundationのエグゼクティブディレクターであるGail Hodges氏は次のように述べています。「OpenID Foundationは、タスクフォースのメンバーとして参加できたことを嬉しく思っており、アスペン研究所が『不正・詐欺防止に関する国家戦略』の策定のために招集した専門家の幅広さに感銘を受けています。グローバルなオープン標準化団体として、この報告書が、Shared Signals 1.0、OpenID for Verifiable Presentation、OpenID for Verifiable Credential Issuance、OpenID for Identity Assuranceなど、政策をプロトコルレベルでも実現できる標準に関するタイムリーな政策とデューデリジェンスを促進することを期待しています。これらの標準は、一般市民、政府、民間セクターすべてに役立ちながら、不正を軽減するために必要なデジタルアイデンティティインフラストラクチャの提供において、意義のある役割を果たすことができます。」

Shared Signals 1.0 最終版

Shared Signalsは、プラットフォーム間でセキュリティインテリジェンスをリアルタイムに共有できるようにします。Apple、Google、CISCO、SailPoint、Oktaなどの主要実装企業が、すでにこれらの標準を導入しています。この技術はGartner Hype Cycleで注目され、CISAからも推奨されています。

勢いはさらに加速しています。Googleは最近、Shared Signalsを用いた新しいエンタープラットフォーム機能を発表し、OpenID Foundationは10月15日にカリフォルニア州カールスバッドで開催されるAuthenticateで、4回目の相互運用性セッションの実施に向けて準備を進めています。

OpenID Foundationの理事でありShared Signals WG共同議長のAtul Tulshibagwale氏もタスクフォースに参加しました。彼は次のように述べています。「オンラインの詐欺は、前例のない重大な規模に達しており、多くの人々や企業に深刻な影響を与えています。アスペン報告書の調査結果と提言は、不正行為者に対する私たちの共同防衛にとって極めて重要です。Shared Signalsフレームワークが、潜在的な不正活動に関する準リアルタイムの更新を伝達するオープン標準を提供することで、米国コミュニティに貢献できることを願っています。これにより、産業セクター全体、そして官民の垣根を越えたすべての参加者が、より賢明な意思決定を行えるようになります。」 

OpenID for Verifiable Presentation 1.0 最終版

この標準は、ISO/IEC SC17 18013-5のmdocクレデンシャルタイプを使用するモバイル運転免許証や、IETFのSD-JWTなどのデジタルクレデンシャルの安全な検証を可能にします。OpenID Foundationは、mDLsを「銀行口座開設」に利用するためのNISTのモバイル運転免許証に関するNCCoEプロジェクトと提携し、今年は、両仕様が最終仕様として承認される前に、OpenID for Verifiable Presentation(OpenID4VP)とOpenID for Verifiable Credential Issuance(OpenID4VCI)に関する8回の相互運用性イベントを共同開催しました。 

現在、OpenID Foundationは、米国の金融機関がモバイル運転免許証の使用をプロセスに採用・統合するにあたりCustomer Identification Program （顧客身元確認プログラム：CIP）やその他の米国金融規制要件への準拠を妨げている、NISTが特定したギャップ解消に積極的に取り組んでいます。

OpenID Foundationは、NIST、および米国金融エコシステム(独立系の銀行やアメリカ銀行協会など)を支援し、金融機関がモバイル運転免許証が「そのまま」CIP/KYC規制をどのように満たすかを理解できるよう努めています。また、発行機関、ウォレット、金融機関が協力してmDLsへの信頼性を高め、金融機関によるより迅速な採用を可能にする方法についても支援しています。

OpenID FoundationはNISTと協力して、NISTが特定したギャップを埋める方法に関する具体的な提案を作成しています。この提案により、米国の利害関係者の合意形成が加速し、NIST SP 800-63-4 Digital Identity GuidelinesとOpenID Foundation　eKYCおよびIDAワーキンググループ仕様の拡張で、一部のギャップを埋める方法を示されることが期待されています。

OpenID4VP標準は、すでにGoogle Wallet、Android、Amazon.com、Samsung Wallet、1Password、NIST NCCoEプロジェクト向けNIST、EU Digital Identity Wallet、スイス、英国、西バルカン6カ国、オープンソースコードサービスのマーケットプレース向けMOSIPに採用されており、カリフォルニア州車両管理局(DMV)によって実運用されています。2027年末までに、OpenID Foundationは37カ国でOpenID4VCが稼働すると見込んでいます。 

OpenID for Verifiable Credential Issuance 1.0 最終版

この標準は、公的機関または民間組織がデジタルクレデンシャルをデジタルウォレットに安全に発行することを可能にします。このOpenID4VCI仕様は、Google Wallet、Android、EUデジタルウォレット向けEU、スイス、英国、西バルカン6カ国、オープンソースマーケットプレース向けMOSIPなど、主要な公的・民間セクターのプラットフォームにすでに採用されており、カリフォルニア州車両管理局で実運用されています。 

グローバルな影響と将来の展開

High Assurance Interoperability Profile（HAIP）は今年後半に最終版となる予定です。このプロファイルは来年末までにヨーロッパのデジタルアイデンティティインフラの基盤となり、Google、Amazon、1Password、カリフォルニア州、および米国の多くの組織に採用される見込みです。

OpenID Foundationは、グローバルサウス全体での大規模展開を支援するため、11月に国際政府機関との重要な発表を準備しています。

OpenID Foundationは、80を超える分野横断的パートナーと共に、この画期的な戦略に貢献できたことを誇りに思います。現在、グローバル標準が確定し、世界的な採用が進む中、OpenID Foundationは戦略策定から実装段階へと移行しています。

続きを読む

ホワイトペーパーへの公開コメント募集：『The Unfinished Digital Estate: Culture, Law, and Technology After Death』

By tshibata | 2025年09月25日

DADE-e1758721071707.jpg

デジタルライフが私たちの寿命を超えて広がる現代において、多くの社会は、人々が亡くなったり判断能力を失ったりした際に、オンライン資産がどのように扱われるべきかについて、十分な準備ができていません。このたび、新たな包括的研究論文が一般公開され、コメントを募集しています：『The Unfinished Digital Estate: Culture, Law, and Technology After Death』（未邦訳）。

本稿はOpenID Foundationによって発表され、デジタル遺産管理の複雑化に対応する内容となっています。従来の金融資産にとどまらず、メールアカウント、共有写真、創作物から、私たちを超えて存在し続ける可能性のあるAI生成コンテンツに至るまで、デジタルライフ全体を網羅しています。

調査は、利害関係者からの意見を取り入れたものであり、遺産計画の専門弁護士やデジタル上の損失を経験した家族の視点も反映されています。また、異文化間での遺産管理に直面する人々にも配慮し、文化的多様性を尊重しつつ、デジタルアフターライフのための実用的な枠組みを提供する必要性を強調しています。この研究には、ドラフト版の「計画ガイド」も付属しており、こちらも一般コメントを募集しています。このガイドは実践的なツールを提供することを目的としており、専門的な法律アドバイスの代替を意図するものではありません。

この論文は、OpenID Foundationのメンバーであり、デジタルアイデンティティ標準の分野で長年貢献してきたDean H. Saxe氏、Mike Kiser氏、Heather Flanagan氏によって作成されました。特に「計画ガイド」の作成は、Death and the Digital Estate Community Group（DADE CG）による支援を受けています。DADE CGは、この論文の提言の実施を推進するとともに、デジタル遺産管理における標準の開発を提唱し続ける予定です。

政策立案者、技術者、法学者、遺産計画の専門家、デジタル権利擁護者、そしてオンライン生活を送るすべての人々に、この世界規模の問題の範囲を探求する本論文への意見をお寄せいただくよう呼びかけています。具体的には以下の通りです：

  • 拡大するデジタル遺産危機- 死亡者数の増加により、創作物、ソーシャルプロフィール、接続デバイスを含む大規模なデジタル遺産が残されているが、多くの法制度、技術プラットフォーム、文化的伝統では適切に管理できず、家族に大きな影響を与えている。
  • 文化による死生観の違い- 死に対する文化的アプローチの違いが、デジタル遺産計画の理解と実施の仕方を社会間で根本的に左右している。
  • 利害関係者とリスク- デジタル遺産計画が失敗したり不適切なままである場合に、誰がリスクにさらされ、何が失われるかを論文で特定している。
  • 既存のガバナンスの空白- 死亡、判断能力の喪失、権限委譲を管理する現在のシステムは一貫性を欠き、重要な分野で不足しており、統一的な政策解決策に抵抗している。
  • 技術ツールの限界- 利用可能なデジタル遺産管理ツールは一貫性がなく、不完全であり、主にプロプライエタリプラットフォームによって管理されている。
  • アイデンティティ委譲の複雑性- デジタル遺産計画は資産移転を超えて、アイデンティティ、権限、代理権の委譲を含み、セマンティクス、標準、脅威モデルへの慎重な注意が必要である。
  • AIとデジタル表現- 生成AIは死後のデジタル存在の新しい可能性を創造する一方で、デジタル人間性に関する根本的な問題を提起している。
  • 実装フレームワーク- 法制定者、標準化団体、実装者は、文化的多様性に配慮しながら個人の自律性を保護する拡張可能なシステムを必要としている。

本稿は、2年間にわたってIIW、EIC、Identiverse、その他の公開フォーラムでの広範なコミュニティ協議を経て、2025年4月にOpenID Foundation理事会によって委託されました。こちらは、同Foundationの標準的なホワイトペーパー開発プロセスに従っています。

皆様からのフィードバックは、この論文がデジタル遺産管理における政策開発と業界標準の強固な基盤となることを確実にすることに貢献します。特に、遺産計画の専門家、プラットフォーム運営者、プライバシー擁護者、そして死と相続に関する多様な伝統について語ることができる様々な文化的背景を持つ方々からの意見を歓迎します。

コメント期間は10月24日（金）まで開かれています。
フィードバックはdirector@oidf.orgまでお送りください。テンプレートを使用し、提案する変更について具体的な行番号を参照してください。さらに、編集者は最終文書に含める価値があるデジタル遺産管理ツールやプラットフォームの紹介やリンクをいただければ幸いです。

最終的な成果と提言は、2025年から26年にかけてのDigital identity and estate planning conferencesで共有される予定であり、論文が今年後半に最終版となる前に、さらなる議論が深まることを期待しています。

続きを読む

Australian Digital Trust Community Groupが、Productivity Commissionのデジタル技術報告書に対応

By tshibata | 2025年09月25日

オーストラリアのデジタルトラストエコシステムの支援

 OpenID FoundationのAustralian Digital Trust Community Group（ADT CG）は、Interim Report covering data and digital technology policy（データおよびデジタル技術政策を対象とした中間報告書）について、オーストラリアのProductivity Commissionにコメントを提出しました。これは、専門的な技術指導と業界協力を通じてオーストラリアの政策策定を支援するというFoundationのコミットメントを示しています。

 ADT CGは、デジタルアイデンティティとトラストシステムに携わる専門家のための中立的なプラットフォームとして機能しています。オーストラリアにおける標準ベースのデジタルトラストサービスにおいて、技術ベンダー、産業セクター、消費者グループ、政府からのステークホルダーを結集し、協力を促進しています。

 ADT CGがフィードバックを提供したすべての分野の詳細を含む書簡と資料を含む、オーストラリア生産性委員会への公式提出文書は、こちらでご確認いただけます。

 OpenID Foundationは、この重要な政策議論に貢献する機会を提供してくださったオーストラリア政府に感謝いたします。この協力は、FAPI 2.0のセキュリティ分析への共同資金提供を含む、オーストラリア当局との継続的なパートナーシップを基盤としており、安全なデジタルインフラの推進への共通のコミットメントを示しています。

 ADTによる主要なコメントには以下が含まれます：

  • デジタルアイデンティティの枠組み: 政策は、一つの政府システムを優遇するのではなく、オープンな国際標準を使用する複数のデジタルアイデンティティプロバイダーをサポートすべきです。このアプローチにより、消費者の選択肢が広がり、競争が促進され、コストが削減され、セクターや国境を越えた相互運用性が可能になります。OpenID ConnectやFAPI 2.0などの仕様は、すでにオーストラリアで導入されている標準の例です。
  • データ最小化: 代替手段として「assertion-based sharing」を奨励し、組織が素データではなくverified claims（例：「18歳以上」）を共有します。このアプローチはサイバーセキュリティコストを削減し、同意疲れに対応します。
  • インセンティブ: データ共有エコシステムには、内在的なインセンティブだけでなく、参加者のためのビジネスモデルと価値交換メカニズムが必要です。Shared Signalsは、組織がデータセキュリティのための効果的な「神経系」を作るために、侵害されたアカウントやセッションに関するリアルタイムのリスク情報を共有するためのインセンティブが必要な例です。

 OpenID Foundationは、Australia's digital trust communityの知見を結集したこれらの包括的な提案の策定に際し、ADT CGメンバーのソートリーダーシップと技術的な専門知識にも感謝しています。

National Australia Bank のDigital Identity & Accessプロダクト責任者であり、ADT CGの共同議長であるOlaf Grewe氏は次のように述べています：「政府と産業界が規制の枠組みの確立のために協力し、顧客と商業的な要件を考慮し、OpenID ConnectやFAPIなどの実証済みの国際標準を活用することで、より安全で相互運用可能、かつ競争力のあるエコシステムを構築できます。」

 ADT CGのメンバーシップは、オーストラリアにおける相互運用可能な標準ベースのデジタル信頼の推進に関心のあるすべてのステークホルダーに開かれています。このグループは定期的な会議を通じて運営され、オーストラリア市場から生じる課題や学びに基づいて継続的に更新されるトピックのロードマップを維持しています。

続きを読む

OpenID Foundation ハイブリッドワークショップ（Cisco開催、2025年10月20日（月））参加登録受付中

By tshibata | 2025年09月16日

OpenID Foundationは、2025年秋のInternet Identity Workshop（IIW）直前の2025年10月20日（月）に、ハイブリッド形式のワークショップを開催します。（OIDFメンバー向けの割引コードは現在準備中です。準備ができ次第ご案内します！）

このハイブリッドイベントは、米国カリフォルニア州サンノゼのCisco Santana Rowオフィスでの対面参加と、オンライン参加の両方が可能で、世界中からご参加いただけます。

イベント詳細

  • 日時：2025年10月20日（月）※日本時間：2025年10月21日（火）
  • 時間：12:30～15:45（PDT）※日本時間：午前4:30 〜 午前7:45
  • 場所：Cisco, Santana Row | SJC34, 3098 Olsen Drive, San Jose, California, 95128, United States
  • 会場：SJC34-1-トレーニングルーム
  • バーチャル参加：登録者には開催日が近づきましたらオンライン参加方法をメールでご案内します

このミーティングは、コミュニティの専門家同士が交流し、最新のOIDF仕様やコミュニティグループの進捗を共有・協力できる絶好の機会です。IIW直前の開催となるため、今後の取り組みを調整し、本番ワークショップに向けて貴重な知見を得るチャンスです。

 

アジェンダの主な内容

  • OIDFの最新情報と2025年の今後の予定
  • ワーキンググループのアップデート
  • 新たなデジタルIDトレンドに関する議論
  • AIアイデンティティ管理やデジタル遺産と死に関する最新ホワイトペーパーの深掘り

参加するメリット

  • 業界をリードする専門家と交流できる
  • ファウンデーションの活動に関与し、未来を形作る
  • IIWに向けた関連ディスカッションで事前準備ができる

サンノゼでの現地参加でも、バーチャル参加でも、デジタルアイデンティティ標準の次なるフェーズを共に創る皆さまのご参加をお待ちしています。 

ご注意

  • 登録者全員に、ワークショップ前にバーチャル参加用リンクをお送りします
  • 本イベントは昼食後の開催で、現地参加者には飲み物と軽食をご用意します
  • 現地参加者およびIIW参加メンバーには、Mountain Viewでのイブニングドリンクにもご招待予定です（詳細は追ってご案内します）
  • ファウンデーションの「Note Well Statement」はこちらでご確認いただけます。ワークショップ運営の指針となっています

詳細なアジェンダは近日中に公開予定です。今すぐご登録いただき、参加を確定してください！

Eventbriteからご登録をお願いします。

皆さまのご参加を心よりお待ちしております！

続きを読む

SSF/CAEPとSTIX/TAXIIのセキュリティ領域における働きの違い

By tshibata | 2025年09月16日

Shared Signals Framework WG Contributor, Apoorva Deshpande, Okta

サイバーセキュリティの領域には、組織がセキュリティ情報を共有して活用する方法に、役割は異なる極めて重要な二つのフレームワークがあります。それは、Continuous Access Evaluation Protocol（CAEP）を含むShared Signals Framework（SSF）と、Structured Threat Information eXpression（STIX）を伝送するために構築されたTrusted Automated eXchange of Indicator Information（TAXII）プロトコルです。

どちらもセキュリティ体制の強化を目的としていますが、基本的な設計思想の違いにより適した利用シーンが分かれます。SSF/CAEPは継続的認証とリアルタイム応答が求められる高速な領域で優れている一方、STIX/TAXIIは包括的な脅威インテリジェンス共有と詳細な調査のための標準です。

根本的な違いは、想定する目的と基盤となるアーキテクチャにあります。CAEPを備えたSSFは、継続的かつ動的なアクセス判断を可能にするために、セキュリティイベントをリアルタイムで通信するよう設計されています。これに対して、TAXIIプロトコル上で伝送されるSTIXは、広範な状況を記述するための豊富で詳細な言語を提供し、綿密な分析や調査を目的としています。

これらの標準を救急外来（ER）に例えて考えてみましょう：

  • SSF/CAEPは、患者からのリアルタイムの心電図信号のようなものです。「心拍数が低下している」といった即座で具体的な通知を送信し、アラーム音、コードブルー、除細動器の使用といった緊急対応を要求します。
  • STIX/TAXIIは、患者の詳細なカルテと調査用ライブラリのようなものです。患者が誰であるか、検査結果、遺伝的背景（指標と脆弱性）について、豊富な履歴的・予測的な分析を提供します。資料室にあるキャンペーン（一連の攻撃行動）とTTP（Tactics（戦術）, Techniques（技術）, and Procedures（手順）情報には、疾病と基礎疾患に関する研究データが収蔵されています。医師は、この情報を用いて根本原因を診断し、治療計画を策定します。

SSF/CAEP：アクティブセッションの番人

SSF/CAEPの中核は、標準化されたセキュリティイベントを送信するために汎用的なWebhookを使用したリアルタイム、イベント駆動型、パブリッシュ・サブスクライブモデルで動作します。SSFは、送信者と受信者がCAEPイベントの形でデータを交換する方法を定めています。そして、受信者へのプッシュ機能や、ポーリングメカニズムによるデータ交換を可能にします。つまり、重要なイベントが発生した際、送信者（アイデンティティプロバイダー、モバイルデバイス管理システムなど）は、そうした更新情報の受信をサブスクライブしている受信者（アプリケーション、VPNゲートウェイなど）に対して、即座にシグナルを発行できるということです。これにより、オープンな標準を使用して真の相互運用性を実現し、顧客の環境内の様々なシステム/ベンダー間のセキュリティサイロを橋渡しすることができます。セキュリティイベント共有システムは、いずれかのシステムによって検出されたリスクや脅威から顧客のアイデンティティを保護するのに役立ちます。

 SSFとCAEPは、OpenID FoundationのShared Signals Working Groupにて検討が進められている別々の仕様であり、現在積極的に開発が進められています。

継続的認証の判定にどう寄与しているのか：

このイベント駆動型の性質により、SSF/CAEPは継続的認証とアクセス制御において非常に有用なものとなっています。SSF/CAEPはセッション開始時の一回限りの認証チェックではなく、継続的で動的なリスク評価を可能にします。初期認証後もアクセスの継続的な評価を行うことで、「決して信頼せず、常に検証せよ」というゼロトラストの原則を実現します。実際の動作は以下の通りです：

  • セッション無効化： 例えば、ユーザーの認証情報が漏洩し、脅威インテリジェンスシステムによって検出された場合、そのシステムは直ちにsession-revokedイベントを発行できます。ユーザーがログインしているすべてのアプリケーションがこのシグナルを受信し、ほぼリアルタイムでセッションを終了させ、更なる不正アクセスを防止できます。
  • 認証情報変更： ユーザーがパスワードや多要素認証（MFA）方式を変更した際、credential-changeイベントが送信されます。機密性の高いアプリケーションは、重要な操作を許可する前に、ユーザーに再認証を求めたり、利用可能な機能を制限したりできます。
  • デバイス準拠性変更： ユーザーのデバイスが突然セキュリティ/コンプライアンスポリシーに非準拠となった場合（例：マルウェアの検出、セキュリティ設定の無効化など）、CAEPイベントがトリガーされ、問題が修復されるまでそのデバイスからのアクセスを制限またはブロックできます。
  • リスクと保証レベルの変更： 新しい異常な場所からのログインなど、ユーザーのリスクプロファイルに突然の変化があった場合、アクセス権限を動的に調整するイベントがトリガーされます。例えば、より低い信頼レベルに移行され、機密度の高いデータへのアクセスが制限される場合があります。 

SSF/CAEPの働き：リアルタイム執行の推進

SSF/CAEPイベントは、ログファイル内でじっくりと分析されることを意図したものではありません。これらは迅速に自動化されたアクションを実行するトリガーとなるよう設計された、優先度が高い一方で揮発性のあるシグナルです。取り込めば、これらのイベントはIAMインフラをリアルタイムに支える原動力となります。

  • アクセス制御エンジンへの直接投入： CAEPイベントは、アイデンティティプロバイダー（IdP）、ゼロトラストネットワークアクセス（ZTNA）ソリューション、API、ビジネスにクリティカルなアプリケーションなど、アクセスを許可または拒否するシステムに直接ストリーミングできます。これにより、session-revokedイベントがネットワーク全体でユーザーのセッションを即座に終了させることが可能になります 。
  • リスク計算インフラストラクチャへの投入： これらのシグナルは、ユーザーの信頼スコアを動的に調整するためにリスクエンジンに送り込むことができます。例えば、device-compliance-changeイベントは、アイデンティティのリスクプロファイルを即座に上昇させ、問題が解決されるまで機密データへのアクセスを自動的に制限できます 。

STIX/TAXII：脅威調査のためのアーキビスト

SSF/CAEPの即時性、セッション重視の性質とは対照的に、STIX/TAXIIは包括的な脅威インテリジェンス共有のための堅牢なフレームワークとして機能し、オブジェクト間の相互関係を作り出すSTIXの「Domain」、「Cyber」、「Relationship」オブジェクトタイプのモデルを持っています。TAXIIは伝送メカニズムであり、脅威データがどのように交換されるかを定義し、STIXはそのデータを構造化するために使用される言語です 。

STIXとTAXIIは、OASIS Cyber Threat Intelligence Technical Committee（CTI TC）によって管理される、独立しつつも補完関係にある標準です。この非営利コンソーシアムは、グローバル情報社会のためのオープン標準の開発、収束、採用を推進しています 。

どのように調査に寄与しているのか：

STIXは、サイバー攻撃の「誰が、何を、いつ、どこで、どのように」を記述するための豊富で詳細な表現力を持ちます 。これには以下が含まれます：

  • 脅威アクター： 敵となるグループの詳細なプロファイル（動機、能力、典型的な標的を含む）
  • キャンペーン： 時間をかけて組み立てられた悪意のある活動に関する情報
  • 侵害指標（IoCs）： 悪意のあるIPアドレス、ファイルハッシュ、ドメイン名など、侵害を特定できる特定のアーティファクト
  • 戦術、技術、手順（TTPs）： 攻撃者が使う方法に関する記述（しばしばMITRE ATT&CKなどのフレームワークにマッピングされる）
  • マルウェア： 悪意のあるソフトウェアの詳細な分析
  • 脆弱性： 攻撃者によって悪用されるソフトウェアの弱点に関する情報
  • 関係性： すべてを結び付けるオブジェクト（例：脅威アクターAPT29がSolarWindsキャンペーンでマルウェアSUNBURSTを使用）

STIXには、他の標準やカスタムイベントからの追加情報を収容するための「拡張」という概念もあります。振る舞い指標（Indicators of Behavior：IoB）と協調的且つ自動化された対処行動およびオペレーション（Collaborative Automated Course of Action and Operations：CACAO）は、拡張を使用してSTIXバンドル内に適合し、アクションプレイブック、修復アクションをbase64文字列として埋め込み、関連する侵入やキャンペーンに関するより多くの情報を含めます 。

このインテリジェンス中心のモデルにより、STIX/TAXIIはセキュリティオペレーションセンター（SOC）、脅威ハンター、インシデント対応者にとって非常に価値のあるものとなっています。TAXIIは、クライアントとサーバーがSTIXデータを交換するためにどのように通信するかを定義します。ハブアンドスポークモデル（一つの中央リポジトリ）やピアツーピアモデル（複数のグループが相互に共有）など、様々な共有モデルをサポートしています ：

  • 侵害後フォレンジクス： セキュリティインシデント後、調査担当者はSTIX形式のインテリジェンスを使用して攻撃の全容を理解し、攻撃者のTTPsを特定し、他のどのシステムがリスクにさらされているかを判断できます 
  • 脅威ハンティング： セキュリティアナリストは、STIXレポートに記述されたIoCsとTTPsを自社ネットワーク内で能動的に捜索し、隠れた脅威を発見することが可能です
  • セキュリティアラートの充実化： セキュリティツールがアラートを生成する際、STIXデータで充実化することで、アナリストに潜在的な脅威のより完全な姿を提供し、より情報に基づいた対応を可能にします 
  • 戦略的脅威インテリジェンス： STIXデータで構造化された脅威インテリジェンスの長期的な傾向を分析することで、組織は脅威の状況をより良く把握し、セキュリティ投資と防御についてより戦略的な決定を下すことができます。 

STIX/TAXIIの運用：セキュリティ分析を強化する

CAEPイベントが即時行動のトリガーとなる一方で、TAXII/STIXフィードは、セキュリティ分析と脅威検知能力を大幅に高める深いコンテキストを提供します。

  • SIEMプラットフォームへ：SIEMはTAXIIを用いて脅威インテリジェンスフィードを取り込み、外部ソースのコンテキストでセキュリティログを強化できます。これにより、表面上は軽微な内部アラートを、既知のグローバル脅威アクターのTTPsと相関させ、低レベルのイベントを即座に高優先度インシデントへとエスカレーションできます
  • SOARおよび脅威インテリジェンスプラットフォーム（TIP）へ：セキュリティオーケストレーション／自動化／レスポンス（Security Orchestration, Automation, and Response：SOAR）プラットフォームに取り込まれると、STIXのインジケーターは自動的にプレイブックを起動できます。例えば、新たに判明した悪性のIPアドレスを、人手を介さず企業全体のファイアウォールブロックリストに追加するといった動作です

本質的に、SSF/CAEPとSTIX/TAXIIは競合関係ではなく、相互補完的な技術です。理想的なセキュリティアーキテクチャにおいては、アクティブなセッションを保護するための迅速かつ戦術的な意思決定にSSF/CAEPを、常に変化する脅威の状況を把握し防御するために必要な深く戦略的なインテリジェンスを提供するためにSTIX/TAXIIを、双方活用します。 

行動喚起

Shared Signalsワーキンググループは、これらの標準を橋渡しする可能性を実現するため、STIXおよびTAXIIの実装者と協働できることを楽しみにしています。OpenID Foundationは、OASIS、FS-ISAC、その他のパートナー各位と連携し、私たちのコミュニティが両アプローチの橋渡しによる利点を享受できるよう支援していきます。共に、組織やサイロをまたいで相互運用する、より安全なアイデンティティとセキュリティの基盤の採用を進めましょう。 

このビジョンを実現するには、これらの補完的な標準を相互運用させる実践的な方法を模索することが必要です。例えば、STIXメッセージをSSFインフラ上で伝送し、セキュリティイベントに即時のコンテキストを付与する、といった形です。逆に、CAEPイベントをTAXII上で提供し、さらなる分析のためのアイデンティティ関連アクションとして扱うこともできます。この相互運用性により、即時の強制力と分析的コンテキストが融合し、セキュリティ価値が高まります。これによって、あるエコシステムのアラートが別のエコシステムでのアクションに結びつき、障壁が取り払われ、応答性の高いセキュリティエコシステムが実現できるでしょう。

追加リソース

 

続きを読む

最新の記事 RSS

アーカイブ