MISP
Malware Information Sharing Platform
MISP（オープンソースの脅威情報共有プラットフォーム）とは
ひとことで
IoCなどの脅威情報を、組織内や組織間で保存・共有・関連付けするためのオープンソースのプラットフォーム。STIXなどの形式での入出力にも対応する。
たとえると
町内会の「防犯掲示板」をオンラインにしたようなものです。各家庭が「不審な車のナンバー」や「怪しい訪問販売の特徴」を書き込み、他の家庭がそれを見て自宅の対策に役立てます。同じ車が別の町内でも目撃されていれば、つながりも見えてきます。
現場ではこう使う
業界のISACに参加しているSOCでは、MISPを使って他社から共有されたフィッシングのドメイン名やファイルのハッシュ値を受け取っています。受け取ったIoCは自動でSIEMの検知ルールとファイアウォールのブロックリストに反映されます。自社で見つけたIoCも、共有範囲を示すTLPを付けてMISPに登録し、他社に還元しています。
試験のポイント
EXAM POINT「オープンソースの脅威情報共有プラットフォーム」「IoCの保存・共有・相関」と出てきたらMISPです。STIXは情報を書くための形式、TAXIIは情報を運ぶためのプロトコル、MISPはそれらの情報を実際に管理・共有するためのツール（プラットフォーム）と区別しましょう。
混同しやすい用語との違い
- STIX脅威情報を記述するための形式。MISPはその情報を管理・共有するツール
- TAXII脅威情報を自動でやり取りするためのプロトコル
- ISAC業界ごとの情報共有の組織（コミュニティ）。MISPはその共有に使われるツールの一つ