伝統的な脅威インテリジェンスは、セキュリティ組織SANS Instituteのインターネット早期警戒プロジェクト「Internet Storm Center」（ISC）や、米国国土安全保障省（DHS）配下の情報セキュリティ対策組織US-CERTから、脅威データフィードを得て情報源としている。

　Kudelski Securityでマネージドセキュリティサービスアーキテクチャの責任者を務める熟練のセキュリティ専門家フランシスコ・ドノソ氏は次のように語る。「これまでの脅威インテリジェンスには、脅威の痕跡（IOC：Indicators of Compromise）のように、機械が解釈できる実用性の高いデータが含まれる。そのようなデータには、マルウェアのハッシュ値、コマンド＆コントロール（C＆C）サーバのIPアドレス、ホスト名、ファイルパスなどがある」

　「これまでの脅威インテリジェンスのソースには非常に多くのデータが含まれるものの、そのデータが提供するのは2種類の脅威に関する情報しかない」。こう語るのは『Cyber Fraud：Tactics, Techniques and Procedure』（サイバー詐欺の戦術、手法、手順）の共著者ライアン・オルソン氏だ。1つは、対象を特定しない脅威インテリジェンスだ。これは、現在行われている攻撃やツールに関する情報を提供する。こうした脅威とツールに関する情報は、業界が既に認識している攻撃に基づいて学べるものだ。これらの脅威は、必ずしも特定の企業や業界を標的にしているわけではない。

　もう1つは特定の企業固有の脅威インテリジェンスで、特にある企業を標的とする既知のアクティブな脅威に関する情報を提供する。例えば、金融業界を標的とする攻撃があるとする。金融業界に所属する企業が、犯罪をもくろむハッカーが標的とするソフトウェアを使うと、その企業は直接攻撃を受ける恐れがある。

　ただし、これまでの脅威インテリジェンスは、企業のシステム内に具体的な脆弱性があるかどうかや、犯罪をもくろむハッカーがどのような新しいツールや脅威を開発しているかは教えてくれない。これに対し、ホワイトハットハッカーは侵入テストを提供するだけでなく、ある企業とその企業のIT環境固有の脅威に関する情報を収集することもできる。

伝統的な脅威インテリジェンスが役に立たない理由

　伝統的な脅威インテリジェンスは、被害者第１号、つまり最初に攻撃を受けたデバイスが現れてから始まる。このような脅威インテリジェンスは、まだ出現していないゼロデイ攻撃や、全く新しい脆弱性や攻撃手法には役に立たない。「Weaponized AI」「Meltdown」「Spectre」「Process Doppelganging」などが初めて出現したときがいい例だ。こう語るのは、CISSP（Certified Information Systems Security Professional）を保有し、10年の経験を持つベテランのサイバーセキュリティ専門家レネ・コルガ氏だ。

　MeltdownとSpectreの攻撃は、コンピュータプロセッサの新しい脆弱性を標的とする。Process Doppelgangingは、マルウェアの検出を回避するために利用する新たなファイルレスコードインジェクション手法だ。Weaponized AIは、人工知能（AI）を悪用するマルウェアや攻撃手法を指す。

　これらは非常に高度な攻撃に見えるが、ハッカーにとって新しい攻撃を利用するのは難しいことではない。

　「パッカー（自動実行型の圧縮ファイル作成ツール）やクリプター（マルウェア実行可能ファイルを暗号化するツール）を使えば、簡単に悪意のあるバイナリに変更できる。インターネットで入手可能な無料ツールや3000円程度の安価なツールを利用すれば、誰でも数分で達成できる」（コルガ氏）

　パッカーとクリプターは、暗号化、圧縮、難読化などの手法を用いてマルウェアファイルに変更を加え、セキュリティ製品による検出を免れるためのソフトウェアだ。

　コルガ氏によると、攻撃者は新しいマルウェアをとあるファイル共有サイトにアップロードするという。そのファイル共有サイトは、上位35個のウイルス対策エンジンを利用して、悪意のあるコードが検出されるかどうかをテストする。同サイトはスキャン結果を誰にも公表しないため、そのような脅威や兆候に関する情報を脅威インテリジェンスやマルウェア対策ソフトウェアに追加することができない。

　これは有用な情報源だが、悪意のあるコードがこれまでの脅威インテリジェンスサービスを簡単に回避できることを示している。