サイバー攻撃の手法が高度化・多様化するなか、攻撃を受けてから対処する従来の対策だけでは不十分です。
脅威情報を収集・分析し、先回りして対策を講じる「脅威インテリジェンス」の代表的なサービスが「Google Threat Intelligence（GTI）」です。
結論からいうと、GTIを使えばGoogleとMandiantの膨大な脅威情報をもとに、アラートの優先順位付けや脅威ハンティングを効率化できます。
本記事ではGTIの特徴や活用法、導入時の課題を解説します。
- この記事で分かること
-
- Google Threat Intelligenceの概要とできること
- SOC運用などでの活用ケースと導入事例
- 導入時の課題、ライセンス、よくある質問
Google Threat Intelligenceとは
Google Threat Intelligenceとは、Google Cloudが提供する脅威インテリジェンスサービスです。脅威を自動で防ぐ製品ではなく、セキュリティ上の判断を支援するツールです。
GTIでは、VirusTotal Enterpriseが有するVirusTotal APIや大量スキャンなどの機能と、Googleが保有する膨大な脅威情報を活用できます。またGoogle Cloud傘下のMandiantの高度な知見を利用できることも特徴です。
脅威インテリジェンスの概要と課題
脅威インテリジェンスの定義と種類、求められる背景、課題を解説します。
脅威インテリジェンスとは
「脅威インテリジェンス」とは、脅威情報を収集・加工・分析し、得られた知見（インテリジェンス）に基づいてセキュリティ対応の意思決定を行うライフサイクルを指します。単なるデータ収集ではなく、意思決定や行動に直結させる点が特徴です。
脅威インテリジェンスは、活用する層や目的によって、下記3種類に分類されます。
- 戦略的インテリジェンス：経営層によるセキュリティの意思決定や投資判断を支援するための情報
- 運用インテリジェンス：セキュリティ責任者やSIRT部門が、既存の対策や運用の有効性を検証・改善するための情報
- 戦術的インテリジェンス：SOCが、短期的なインシデントの予防・検知・対応に活用する情報
なぜ脅威インテリジェンスが求められるのか
脅威インテリジェンスが求められている背景には、サイバー攻撃の高度化があります。
マルウェア感染やシステムの脆弱性を悪用した攻撃、標的型攻撃、AIの利用を巡るサイバーリスクなど、現在は多様な脅威が存在し、被害の発生後に対処する従来型の対策では不十分です。先回りして予測・予防する「プロアクティブ」な視点が重要です。
脅威インテリジェンスの課題
最大の課題は、情報量の多さです。脅威情報には重要性の低いデータも含まれており、重要度にかかわらずアラートが発出されると、担当者が疲弊して重要な脅威を見逃す恐れがあります。そのため、情報の収集・分析・対応のプロセスを効率化することが必要です。
脅威インテリジェンスについて詳しくは下記コラム記事をご参照ください。
Google Threat Intelligenceでできること
GTIでできることは、主に「脅威情報の収集・分析」「脅威ハンティング」「脆弱性管理の最適化」「AI主導の状況把握」の4つです。
脅威情報の収集・分析
 |
Googleが保有するマルウェアや脅威アクターの膨大なデータと、Mandiantの脅威分析情報を活用できます。 攻撃者の手口や背景などを深く分析した戦略的インテリジェンスが提供されます。 |
脅威ハンティング
脅威ハンティングとは、組織に潜在していてセキュリティ機器が検知していない脅威を、能動的に探索することです。
GTIでは、マルウェア解析や脅威レポートから、検知ルールであるYARA、Sigmaなどを作成可能です。これらのルールを活用し、マルウェアや攻撃の痕跡を調査できます。
脆弱性管理の最適化
脆弱性に対して優先順位を付け、リソースの効率的な割り当てが可能になります。優先順位付けには、外部に露出した自社資産を検出する「アセット露出検出」、リスク・攻撃キャンペーン・修復情報などの「脆弱性インテリジェンス」、早期脅威検出が組み合わされます。
※攻撃キャンペーン：一定期間内に行われる複数の攻撃のまとまり
AI主導の状況把握
脅威の状況の把握には、常駐型AI「Gemini in Threat Intelligence」が活用されます。自然言語で状況が要約され、会話型インターフェースで「このマルウェアの特徴は？」と質問すると、AIが関連する脅威情報を提示します。
Google Threat Intelligenceの活用ケース
主な活用ケースは「SOC運用の高度化」と「インシデント対応」の2つです。実際に導入した企業の事例とあわせて紹介します。
SOC運用の高度化
サイバー攻撃の検知・分析・対策を担う専門組織「SOC」での活用です。SOCで発生したアラートの危険度を評価して優先順位を付け、システムやユーザーなど状況判断に必要な情報「コンテキスト」を付与して迅速な対応を支援します。
インシデント対応
攻撃に関連するIPアドレスやドメイン、マルウェアの情報をもとに、侵害の痕跡を示す指標である「IoC」や攻撃者の手口「TTP」、過去の脅威情報との関連性を調査します。これらの情報は、迅速な原因分析や影響範囲の特定に役立ちます。
導入事例：ＪＢサービスのSOC運用
ＪＢサービスでは、GTIをSOAR（セキュリティ運用を自動化する仕組み）に組み込み、SOC運用を高度化しています。約2か月のPoC（概念実証）と約1年間の社内運用を経て、次の効果を確認しました。
- 膨大なEDR （端末の脅威を検知・対応する製品）のログに埋もれた脅威を迅速に特定
- 対応すべきアラートを効率的に絞り込み
- 担当者の経験による判断のばらつきを抑え、検知精度と対応品質を向上
この成果をもとに、2026年7月にはGTIとSOARを組み合わせた新たなSOCサービスの提供を開始しています。
参考：Google Cloud導入事例としてＪＢサービスが掲載されました～Google Threat Intelligenceを活用したSOCサービス高度化の取り組みを紹介～
Google Threat Intelligence導入時の課題
 |
導入時の主な課題は、「ライセンスコスト」と「運用体制の整備」の2つです。 1つめはライセンスコストです。高度なサービスである分、導入には費用がかかります（後述）。 2つめは、運用体制の整備です。脅威情報を十分に活用するには、専門知識を持つ人材を確保し、分析結果をインシデント対応や対策の改善につなげる体制が必要です。自社での構築が難しい場合は、外部のSOCサービスを活用する方法もあります。 |
Google Threat Intelligenceのライセンスと価格
GTIのライセンスは次の4種類です。
| ライセンス | 対象となる組織 |
|---|---|
| Standard | イベントのトリアージと検出の強化を目指す組織 |
| Enterprise | 脅威アクターの詳細把握や効率的な脅威ハンティングなど、プロアクティブな防御を行いたい組織 |
| Enterprise+ | 強固なサイバー脅威インテリジェンスチームを持つ大規模組織 |
| OEM | 自社の製品やサービスにGTIのインテリジェンスを直接組み込みたい企業 |
APIリクエスト数や脅威プロファイル数、ASM （攻撃対象領域管理）の管理資産数などの利用上限は、ライセンスごとに異なります。価格は公表されていないため、取り扱い代理店への問い合わせが必要です。
Google Threat Intelligence活用はＪＢサービスへご相談を
ＪＢサービスでは、SOCサービスにおいてGTIとSOARを組み合わせるなど、最新の脅威インテリジェンスを活用したセキュリティ監視・分析の高度化に取り組んでいます。
GTIをはじめとする次世代のセキュリティ技術を活用し、お客様の安心・安全なIT活用を支援します。セキュリティ対策の強化や、セキュリティ運用を支援するパートナーをお探しの際は、下記よりお問い合わせください。
