CISA、デジタル・フォレンジック向けオープンソースプラットフォームを提供

ThoriumはSandia National Laboratoriesとの共同開発で、ソフトウェアアナリスト、デジタルフォレンジックチーム、インシデントレスポンスの専門家を支援することを目的としています。このプラットフォームは、サイバーセキュリティの専門家が商用、オープンソース、カスタムツールを統一されたシステムに統合できるように設計されています。目標は、大規模な自動化分析ワークフローをオーケストレーションすることです。Dockerイメージとしてパッケージ化されたコマンドラインツールも、ツールの種類に関係なくシームレスに統合できます。また、CISAによれば、追加の設定作業によって複雑なツールも仮想環境やベアメタル環境に統合可能です。

🌐Introducing Thorium: A scalable platform for automated file analysis & result aggregation—­integrate tools, automate workflows, & scale to 10M+ files/hour. Ideal for malware analysis, forensics, & incident response. Learn more here 👉 https://t.co/ykbTZDeMWH pic.twitter.com/l67ThcmsA3

— CISA Cyber (@CISACyber) 2025年7月31日

現代のサイバー・ワークフローのために開発

Thoriumは、アナリストがツールの出力をタグや全文検索でフィルタリングしたり、自動化されたワークフローを定義したりできるように設計されています。「パッケージ」には厳格なグループベースのアクセス制御も含まれており、入力データだけでなくツール自体やその結果も安全に保つことができます。ユーザーはイベントトリガーやツール実行シーケンスを使って自動化ワークフローを定義できます。ThoriumはRESTfulAPIを通じて完全なコントロールを提供し、米国当局によればブラウザやコマンドラインツールからも操作可能です。

さらにこのプラットフォームは、KubernetesやScyllaDBと連携してワークロード要件に応じてスケールできます。Thoriumはインフラストラクチャとともに拡張でき、1時間あたり1,000万ファイル（およびパーミッショングループごと）を処理し、1秒あたり1,700以上のジョブをスケジューリングする能力があります。それでもクエリパフォーマンスは高い水準を維持します。

「Thoriumは、機能の積み重ねからスタックコントロールへの意思決定の軸を移します。オープンプラグインモデルのおかげで、CISOはさまざまな脅威プロファイルに合わせて分析ワークフローを調整し、オープンソースツールやカスタムスクリプト、商用モジュールを必要に応じて統合できます」と、Sanchit Vir Gogia氏（Greyhound Researchチーフアナリスト）は述べています。

マルウェア分析の再考

エンタープライズ向けのマルウェア分析ツールやプラットフォームは、セキュリティ業界で広く利用されています。しかし多くは有料ライセンスが必要で、大規模なオーケストレーションができなかったり、ワークフローへの統合が困難だったりします。そのため、Thoriumの業界への意義は大きいとEllRTrend & Pareekh ConsultingのCEO、Pareekh Jain氏は強調します。「これにより、堅牢でスケーラブルなフレームワークへのアクセスが民主化されます。プラットフォームが複雑な分析ワークフローの自動化・オーケストレーションを可能にすることで、官民のセキュリティ専門家は、これまで高価な商用ソリューションでしか利用できなかった機能を手に入れることができます。」

ThoriumはITおよびセキュリティ意思決定者に、ツールの統合や複雑性の低減をもたらすだけでなく、これまで大規模SOCだけが享受していたデータ駆動型インシデントレスポンスの可能性も開きます、とJain氏は述べています。彼はまた、Thoriumのリリースがオープンでモジュラーなサイバーセキュリティアーキテクチャの普及を後押しすると見ています。企業はベンダーロックインを避け、コストを削減し、コミュニティ主導のイノベーションの恩恵を受けたいと考えているからです。

「Thoriumは、商用マルウェア分析プラットフォームでユーザーが直面するコスト構造や妥協点に根本的な疑問を投げかけます」とGogiaアナリストは付け加えます。これにより、企業や組織は予算やデジタル主権を犠牲にすることなく、より深い洞察を得ることができます。

ただし現実として、Thoriumを展開するには事前に構成されたKubernetesクラスタと、ブロックストアおよびオブジェクトストアへのアクセスが必要です。Dockerコンテナやクラスタ管理に関する高度な知識も、プラットフォームを成功裏に導入するためには推奨されます。（tf/fm）

ITセキュリティに関する他の興味深い記事を読みたいですか？ 無料ニュースレターで、セキュリティ意思決定者や専門家が知っておくべき情報をすべて、あなたの受信箱にお届けします。