脅威ハンティング

脅威ハンティングとは、自動化されたセキュリティ制御をすり抜けたサイバー脅威を プロアクティブかつ反復的に探索することであり、受動的な防御を攻勢的な戦略へと変えるものです。

脅威ハンティングとは？

脅威ハンティングとは、攻撃者がすでに境界防御を突破していると想定したうえで、 ネットワークおよびエンドポイント上の侵害指標（IOC）と 悪意ある挙動をプロアクティブに探索する取り組みです。受動的な検知とは異なり、ハンターは 脅威インテリジェンスと環境の知識に基づく仮説を用いて、攻撃者の活動の兆候を 能動的に探します。

脅威ハンティングの種類

仮説駆動型ハンティング（Hypothesis-Driven Hunting）

攻撃者がどのように行動しうるかについての仮説に基づきます。「攻撃者が検知を回避するために Living-off-the-Land を使っているとしたら？」ハンターは仮説を立て、 それを裏付ける、あるいは否定する証拠を探します。

インテリジェンス駆動型ハンティング（Intelligence-Driven Hunting）

脅威インテリジェンスを用いて、既知の APT グループに関連する TTP、IOC、インフラを探索します。 例：あるレポートが特定のグループによる業界内での使用を示した後に、 Cobalt Strike の兆候を探す。

ベースラインハンティング（Baseline Hunting）

正常な挙動のベースラインを確立し、統計的な逸脱を探します。例： 通常とは異なる場所から実行されているプロセスや、異常なネットワーク接続を特定する。

ハンティングの方法論

  • 仮説：脅威インテリジェンスやリスク分析に基づいて問いを立てる
  • 調査：SIEM、EDR、ログ、フォレンジックツールを用いてデータを収集・分析する
  • 発見：仮説を裏付けるパターン、異常、IOC を特定する
  • 対応：脅威が確認された場合、インシデント対応を発動する
  • 文書化：findings を記録し、自動化された検知を作成する

ハンティングツール

SIEM とログ分析

Splunk、ELK Stack、Azure Sentinel により、膨大なログに対して複雑なクエリを実行します。 高度な相関分析には KQL、SPL、Lucene を使用します。

EDR と脅威インテリジェンス

CrowdStrike Falcon、Microsoft Defender for Endpoint、Carbon Black により エンドポイントの可視性を確保します。IOC のコンテキスト化には MISP、ThreatConnect を使用します。

ネットワーク分析

Zeek、Wireshark、NetworkMiner により、トラフィック分析と潜伏した C2 の特定を行います。

一般的な攻撃者の TTP

  • Living-off-the-Land：正規ツール（PowerShell、WMI、PsExec）の使用
  • Credential Dumping：Mimikatz、DCSync、LSASS ダンピング
  • Lateral Movement：Pass-the-Hash、Pass-the-Ticket、RDP hijacking
  • Persistence：Registry Run Keys、Scheduled Tasks、WMI Event Subscriptions
  • 回避型 C2：Domain fronting、DNS tunneling、HTTPS 暗号化ビーコン

ハンティングフレームワーク

MITRE ATT&CK

攻撃者の TTP をマッピングする不可欠なフレームワークです。ハンターは ATT&CK を用いて、 特定の戦術（Initial Access、Privilege Escalation、Exfiltration）に焦点を当てた仮説を構築します。

サイバーキルチェーン（Cyber Kill Chain）

7 段階のモデルであり、攻撃者がチェーンのどの段階で活動しているか、 どこでアーティファクトを探すべきかをハンターが特定する助けになります。

ハンティング仮説の例

  • 「攻撃者が難読化された PowerShell を使って payload をダウンロードしている可能性がある」
  • 「攻撃者が Domain Controllers 上の Scheduled Tasks を介して持続性を確立している可能性がある」
  • 「DNS tunneling を介して最近登録されたドメインへデータが持ち出されている可能性がある」
  • 「サービスアカウントからの RDP を介して横展開が発生している可能性がある」

脅威ハンティングの KPI

  • Hunt Success Rate：実際の発見につながったハントの割合
  • Time to Discovery：侵害からハンティングによる検知までの平均時間
  • New Detection Rules：ハント後に作成された自動化ルールの数
  • False Positive Reduction：既存の検知の精度の向上

ベストプラクティス

  • 明確で測定可能な仮説からハントを始める
  • 最新の脅威インテリジェンスに基づいてハントの優先順位を付ける
  • 脅威が見つからなかったものも含め、すべてのハントを文書化する
  • detection rules の作成によって発見を自動化する
  • ハンティングを脅威インテリジェンスプログラムと統合する
  • 新興の TTP についてハンターを継続的に育成する
  • MITRE ATT&CK を用いてハンティングプログラムを構造化する

最終的な提言

脅威ハンティングは、セキュリティ態勢を受動的なものから能動的なものへと変革します。経験豊富なハンターは、 深い技術的知識、コンテキスト化された脅威インテリジェンス、そして創造的な思考を組み合わせて、 自動化ツールが見逃す攻撃者を発見します。成熟したハンティングプログラムへの投資は、 dwell time を劇的に短縮し、重大な侵害を防止します。