Team Cymruロゴ
Team Cymruスクリーンショット
Team Cymruスクリーンショット
概要
Team Cymruは、グローバルなインターネットテレメトリを基盤に、外部脅威の可視化、調査、エンリッチメント、自動化を支援する脅威インテリジェンスソリューションを提供しています。
公式Productsページでは、Pure Signal Recon、Pure Signal Scout、IP Reputation Feed、Controller Feed、Botnet Analysis & Reporting（BARS） が中核製品として案内されています。加えて、Passive Asset Discovery Tool や Insights Threat Feed などの関連ソリューションも展開されており、用途に応じて組み合わせて利用できます。
また、Microsoft Security Copilot、Google SecOps、Microsoft Sentinel、OpenCTI、Vertex Synapse、Splunk、Palo Alto XSOAR、Tines、ThreatQuotient、Cyware、Anomali などとの連携により、既存のSIEM／SOAR／TIPやSOC運用へ組み込みやすい点も特長です。
製品概要と価値提案
今日のセキュリティ運用では、社内ログだけでは見えにくい「組織の外」で起きている脅威の把握が重要です。Team Cymruは、この外部可視性を強化し、脅威の兆候をより早く捉え、より確信を持って運用に反映するための製品群を提供しています。
価値は大きく次の3点に整理できます。
- 外部脅威をより広く可視化：IP、ドメイン、通信、証明書、ポート、関連インフラなど、外部インターネット上の手がかりを横断して把握
- より早い判断を支援：完成済みの静的インテリジェンスだけでなく、リアルタイム性の高い外部シグナルを調査や優先度判断に活用
- 調査から運用まで接続：ポータル調査、API連携、STIX/TAXII、各種プラットフォーム連携により、SOC運用や自動化に組み込みやすい
Pure Signal とは（データ基盤）
Pure Signal は、Team Cymru の商用ソリューションを支えるデータ基盤です。グローバルなインターネットテレメトリをもとに、脅威の可視化・調査・エンリッチメントに使いやすい形へ整理された外部インテリジェンスとして活用されます。
特に Pure Signal Recon では、40以上のデータセットを横断し、最大90日分の履歴テレメトリにアクセスできます。単発のIOC確認にとどまらず、関連インフラの追跡、時間軸を含めたスコーピング、攻撃者インフラのマッピングまで進めやすい点が強みです。
調査で扱う代表的なデータには、NetFlow、OpenPorts、PDNS、X.509証明書、Fingerprints、Whois などが含まれます。
製品紹介
Pure Signal Scout（リアルタイム脅威インテリジェンス・プラットフォーム）
Pure Signal Scout は、外部脅威に対するリアルタイム可視性を提供し、SOCアナリストやインシデントレスポンダーの調査を高速化するプラットフォームです。単一検索から直感的に調査を進められる設計で、タグ付けされた結果や視覚的な表示を活用しながら、IPやドメインを中心に文脈を素早く把握できます。
主な特長
- リアルタイム性：外部脅威の兆候を迅速に把握
- AIで強化された結果：タグや要約を通じて、結果の理解を支援
- 単一検索での調査：1回の検索から多面的な情報へピボット
- 可視化：調査結果を見やすく把握しやすいUI
- 統合：複数のデータタイプやソースを一画面に集約
- 連携：SIEM／SOAR／TIPと組み合わせて運用可能
Scoutで把握できる代表的なデータ
- NetFlow
- OpenPorts
- PDNS（パッシブDNS）
- X.509証明書
- Fingerprints
- Whois
なお、AIを活用した調査の効率化を重視する場合は、関連ソリューションとして Pure Signal Scout Insight や Microsoft Security Copilot 連携も選択肢になります。
Pure Signal Recon（脅威インテリジェンス・クエリツール）
Pure Signal Recon は、サイバーセキュリティアナリスト向けの脅威インテリジェンス・クエリツールです。外部脅威を特定し、マッピングし、遮断につなげるための深い調査を支援します。
主な特長
- 40以上のデータセット横断クエリ：NetFlow、PDNS、X.509、OpenPorts などを統合的に検索
- 履歴分析：最大90日分の履歴テレメトリで、過去から現在までの関連性を追跡
- 自動化：スケジュールクエリやフルAPI連携に対応
- 脅威マッピング：IP・ドメイン単体ではなく、周辺インフラや第三者インフラまで含めて把握
ScoutとReconの使い分け
- Scout：即時性の高い調査、視覚化、現場での迅速なトリアージ向け
- Recon：深いクエリ、履歴分析、自動化、継続的な調査ワークフロー向け
Passive Asset Discovery Tool
Passive Asset Discovery Tool は、スキャンを行わずにインターネット公開資産や関連インフラを可視化する、パッシブ型の資産発見ソリューションです。組織自身の外部露出だけでなく、サプライチェーンや第三者インフラまで含めて把握しやすく、検出した対象は Scout や Recon へピボットして追加調査できます。
主な特長
- パッシブな可視化：スキャンによるノイズを発生させずに状況把握
- 資産発見：未知資産、シャドーIT、第三者関連インフラの把握
- 文脈付きの表示：IP、ドメイン、CVE、KEV、タグなどを関連付けて確認
- 調査への接続：Scout／Reconへピボットして深掘り可能
- マップ表示：ライブのインタラクティブマップで把握しやすい
Threat Intelligence Feeds（取り込み重視のフィード製品）
Team Cymru の Threat Intelligence Feeds は、既存のセキュリティ基盤へ取り込みやすいフィード型製品です。監視、相関分析、遮断、優先度付け、自動化ワークフローに適しています。
中核となるフィードは次の3種類です。
- IP Reputation Feed
- Controller Feed
- Botnet Analysis and Reporting Service（BARS）
IP Reputation Feed
IP中心の軽量フィードで、訪問元評価、ファイアウォール最適化、不正アクセス対策、低優先度アラートの自動デプリオリタイズなどに活用できます。
- 毎時更新
- 直近24時間のアクティビティ集約
- 過去30日間の観測パターンに基づくレピュテーションスコア
- XML形式で取り込みやすい構成
Controller Feed
マルウェアのコントローラ（C2）に特化したフィードです。URL、DNSリソースレコード、マルウェアハッシュなどの詳細情報を含み、より精度の高い監視・相関・遮断を支援します。
- 60分ごとに更新
- DNS中心のC2データ
- 完全なURL、マルウェアハッシュ、DNS情報を含む
- 信頼度情報を利用して運用側で判断しやすい
Botnet Analysis and Reporting Service（BARS）
BARS は、ボットネットやマルウェアキャンペーンの分析・追跡・履歴把握を支援するフィードです。単なるIOC配布ではなく、マルウェアファミリー単位での理解に向いています。
- 40以上のマルウェアファミリーを追跡
- ボット、C2、DDoSなどの文脈を含む分析に対応
- マルウェア研究、脅威ハンティング、インフラ追跡に適合
- XMLベースで運用へ組み込みやすい
Insights Threat Feed（関連ソリューション／大規模エンリッチメント向けフィード）
Insights Threat Feed は、SIEM／SOAR／TIP での大規模エンリッチメントを目的とした関連ソリューションです。現行の中核5製品とは別枠で案内されている一方、専用ページや発表でも継続して訴求されているフィードで、アラートの優先度判断や文脈付与を効率化します。
主な特長
- 4,000万超のIPアドレス／CIDRに関する日次情報
- 24のタグファミリー、2,000超のタグによる分類
- ボットネット、スキャナ、IoT、モバイル、ルータなどの性質を識別
- API（JSON）および STIX/TAXII に対応
- SIEM／SOAR／TIPのエンリッチメント基盤として利用可能
主な連携
Team Cymru は、既存のSOC運用や脅威インテリジェンス運用へ組み込みやすいよう、多数の連携を用意しています。
代表的な連携先
- Microsoft Security Copilot：Scoutプラグインを通じて、生成AIで要約や調査支援を実施
- Google SecOps：Scout や Insights Threat Feed を活用した脅威インテリジェンスのエンリッチメント
- Microsoft Sentinel：Insights Threat Feed をTAXIIベースで連携可能
- OpenCTI：Scoutの外部脅威テレメトリをTIP内で活用
- Vertex Synapse：分析基盤と Team Cymru の脅威インテリジェンスを統合
- Splunk：脅威データの可視化・相関分析を支援
- Palo Alto XSOAR：調査・エンリッチメント・自動化ワークフローを支援
- Tines：SOAR/自動化フローへの組み込みに対応
- ThreatQuotient：TIP上で Team Cymru の脅威インテリジェンスを運用
- Cyware：TIP/SOAR連携による脅威インテリジェンス運用を支援
- Anomali：TIP連携による脅威データの取り込みと活用を支援
導入メリット
1) 外部脅威のリアルタイム可視性を強化
内部ログだけでは見えにくい外部インフラや通信の兆候を把握し、脅威を「発生後」ではなく「動いている最中」に捉えやすくします。
2) 調査スピードと文脈把握を向上
Scout と Recon により、IPやドメイン単体の確認にとどまらず、周辺インフラや関連通信、証明書、ポート、Whois まで含めた調査を短時間で進めやすくなります。
3) スキャン不要の受動的資産発見
Passive Asset Discovery Tool により、組織やサプライチェーンのインターネット公開資産をパッシブに把握できます。第三者との摩擦を避けながら、未知資産や露出リスクの確認に役立ちます。
4) 既存運用基盤へ組み込みやすい
ポータル型の調査ツールだけでなく、API、STIX/TAXII、各種連携を通じて、SIEM／SOAR／TIP やSOCワークフローへ実装しやすい構成です。
主なユースケース
Team Cymru のリアルタイム可視性は、ランサムウェア、国家支援型脅威アクター、フィッシングを含む複雑な外部脅威への対応を支援し、NetFlowベースの外部可視性を通じて、調査・優先度判断・封じ込めを加速します。
ユースケース1：アラートトリアージの高速化
- Scout や Insights Threat Feed で、IP／ドメインの文脈を即時に付与
- アラートの優先順位付けや誤検知削減に活用
ユースケース2：インシデント対応でのスコーピング
- Scout で起点IOCから周辺情報を把握
- Recon で履歴テレメトリや関連インフラを追跡
ユースケース3：外部公開資産とサプライチェーンの把握
- Passive Asset Discovery Tool で未知資産や第三者インフラを可視化
- 疑わしい対象は Scout／Recon へピボットして調査
ユースケース4：不正ログイン・不正取引対策
- IP Reputation Feed でアクセス元IPのリスク評価を実施
- ログインや購入フローの追加判定に活用
ユースケース5：C2インフラの検知と遮断
- Controller Feed を利用してC2のURL、DNS、ハッシュ情報を運用へ反映
- 監視・相関・ブロックルール強化に活用
ユースケース6：ボットネット／マルウェア調査の高度化
- BARS でマルウェアファミリーやキャンペーン全体像を把握
- 脅威ハンティングやマルウェア研究を支援
ユースケース7：SIEM／SOAR／TIPのエンリッチメント
- Insights Threat Feed や Scout 連携を使って既存基盤へ外部文脈を追加
- Google SecOps、Microsoft Sentinel、Splunk、Palo Alto XSOAR、ThreatQuotient、Cyware、Anomali などとの運用連携を強化
コミュニティサービスとの違い
Team Cymru には、商用製品とは別に Nimbus Threat Monitor、UTRS（DDoS Mitigation with Unwanted Traffic Removal Service）、BOGON Reference、MHR - API（Malware Hash Registry）、CSIRT Assistance Program などのコミュニティサービスがあります。本ページでは、主に商用ソリューションである Recon、Scout、Passive Asset Discovery Tool、Threat Intelligence Feeds、Insights Threat Feed を中心に紹介しています。
FAQ
Q1. Team Cymru の主要製品は何ですか？
A. 公式Productsページでは、Pure Signal Recon、Pure Signal Scout、IP Reputation Feed、Controller Feed、Botnet Analysis & Reporting が中核製品として案内されています。加えて、Passive Asset Discovery Tool や Insights Threat Feed も公式サイト上の専用ページや発表で確認できます。
Q2. Pure Signal とは何ですか？
A. Team Cymru の商用製品を支えるデータ基盤で、グローバルなインターネットテレメトリをもとに外部脅威の調査・可視化・エンリッチメントを支援します。
Q3. Scout と Recon の違いは何ですか？
A. Scout は迅速な調査、可視化、トリアージに適したプラットフォームです。Recon は、より深いクエリ、履歴分析、自動化を含む継続的な調査ワークフローに向いています。
Q4. Passive Asset Discovery Tool は一般的なスキャン型ASMと何が違いますか？
A. Passive Asset Discovery Tool は、スキャンを行わないパッシブ型の可視化を特長とし、外部にノイズを出さずにインターネット公開資産や関連インフラを把握できる点が大きな違いです。
Q5. Threat Intelligence Feeds と Insights Threat Feed の違いは何ですか？
A. Threat Intelligence Feeds は IP Reputation、Controller、BARS の3種類からなる取り込み型フィードです。Insights Threat Feed は、4,000万超のIP／CIDRに対する大規模なタグ・文脈付与を目的とした関連ソリューションで、より広範なエンリッチメントに適しています。
Q6. どのような製品と連携できますか？
A. Microsoft Security Copilot、Google SecOps、Microsoft Sentinel、OpenCTI、Vertex Synapse、Splunk、Palo Alto XSOAR、Tines、ThreatQuotient、Cyware、Anomali などとの連携が確認されています。
Q7. Community Services は商用製品ですか？
A. いいえ。Nimbus Threat Monitor、UTRS（DDoS Mitigation with Unwanted Traffic Removal Service）、BOGON Reference、MHR - API（Malware Hash Registry）、CSIRT Assistance Program などは、商用製品とは区別して理解するのが適切です。
Q8. AIを活用した運用もできますか？
A. はい。Scout のAI強化結果に加え、Scout Insight や Microsoft Security Copilot 連携を通じて、要約・文脈提示・調査効率化を強化できます。
メーカーの製品サイト
https://www.team-cymru.com/
【言語】英語
