脅威ハンティングの方法論と仮説生成

脅威ハンティングとは、既存のセキュリティ制御をすり抜けた攻撃者を探すために、ネットワークやエンドポイントを人間が主導してプロアクティブに調査するプロセスです。アラートを待つリアクティブなセキュリティとは異なり、脅威ハンターはインテリジェンスに基づく仮説を使って、侵害の兆候を能動的に探します。脅威ハンティングでは、自動化ツールによってまだ検知されていない攻撃者が、すでに環境内部に存在している可能性を前提とします。

従来のセキュリティ運用は、SIEM、EDRツール、ファイアウォールが生成するアラートにアナリストが対応するという、主にリアクティブなものです。脅威ハンティングは本質的にプロアクティブです。攻撃者が正規ツールを使用したり、検知ルールを回避したりしているために、アラートを生成しない可能性のある脅威を探します。どちらのアプローチも必要です。脅威ハンティングは、通常のアクティビティに紛れ込む高度な脅威との間にある検知のギャップを埋めます。

すべてのハンティングは、環境内での攻撃者の行動について検証可能な仮説を立てることから始まります。優れた仮説は、具体的で、インテリジェンスに基づき、反証可能です。例：「ドメイン資格情報を持つ攻撃者が、営業サブネット内のワークステーション間をラテラルムーブメントするために、PowerShell remotingを使用している可能性がある。」仮説によって、収集するデータ、実行するクエリ、探すべき指標が決まります。

MITRE ATT&CK frameworkは、脅威ハンティングの仮説を作成するために最も広く使われている情報源です。実際の脅威アクターが使用するTactics, Techniques, and Procedures (TTPs)を、攻撃フェーズ（Initial Access、Execution、Persistence、Lateral Movementなど）ごとに整理してまとめています。ハンターはATT&CKを使って、現在の脅威情勢と自組織の公開された攻撃対象領域を踏まえ、どのテクニックが最も使われる可能性が高いかを特定します。

脅威インテリジェンスフィードは、関連性の高いハンティング仮説を生み出す外部コンテキストを提供します。自組織の業界を標的とするランサムウェアグループに関するインテリジェンスレポートや、新たに特定されたC2ドメインを含むIoCフィードは、ハンティングの直接的なきっかけになります。ハンターは、それらのIoCがログに現れているか、記載されたテクニックが環境内で使用されているか、また報告された悪意のあるインフラストラクチャと通信したシステムがないかを確認します。

ハンティング仮説のもう1つの情報源は、環境のベースラインからの逸脱です。通常の状態を把握することで、ハンターは調査する価値のある異常を特定できます。たとえば、夜間にログインするアカウント、DNSリクエストを送信するサーバー、ワークステーション上で通常実行されるプロセスなどを把握します。ベースラインハンティングには、事前のデータ収集とベースライン作成が必要ですが、通常の挙動に近い活動を続けることで既知の悪性シグネチャを回避する巧妙な攻撃者も発見できます。

効果的な脅威ハンティングは、継続的なループに従います。Plan：仮説を立てます。Hunt：ログとテレメトリをクエリして仮説を検証します。Analyze：発見事項を調査し、悪意のあるアクティビティが存在するか判断します。Respond：確認された脅威をIRチームにエスカレーションします。Improve：成功したハンティングを自動検知ルールに変換し、同じテクニックが将来アラートを発生させるようにします。これにより、毎回手動でハンティングを行わなくてもSOCを改善できます。

効果的なハンティングには、豊富なテレメトリが必要です。主なデータソースには、EDRテレメトリ（すべてのエンドポイントからのプロセス作成、ファイル書き込み、ネットワーク接続）、認証ログ（Active Directory、SAML、VPN）、DNSクエリログ（DGAドメインやトンネリングの検知）、ネットワークフローデータ（NetFlow、zeek logs）、クラウド監査ログ（AWS CloudTrail、Azure Activity Log）があります。テレメトリが多いほど、ハンティングの可視性が高まります。

脅威ハンターはいくつかのカテゴリのツールを使用します。SIEMプラットフォーム（Splunk、Microsoft Sentinel）は、ログの集約とクエリインターフェースを提供します。EDRプラットフォーム（CrowdStrike、SentinelOne）は、エンドポイントテレメトリとライブクエリ機能を提供します。Velociraptorなどの専門的なハンティングツールを使うと、リモートエンドポイントから大規模にライブレスポンスとアーティファクト収集を行えます。Jupyter Notebooksは、複雑なハンティング中のアドホックなデータ分析によく使われます。

成功したかどうかにかかわらず、すべてのハンティングを記録する必要があります。ハンティングレポートには、仮説、クエリしたデータソース、使用したクエリ、発見事項、結果を記録します。否定的な結果（仮説が確認されなかった場合）にも価値があります。これは、十分な範囲をカバーできていることを示し、今後の仮説の改善に役立つためです。肯定的な発見からはインシデントチケットが作成され、理想的には新しい検知ルールも作成されます。記録を残すことで組織の知識が蓄積され、ハンティングプログラムの価値を経営陣に示せます。

成熟した脅威ハンティングプログラムは、能力の段階を経て発展します。Level 0：自動化されたアラートに完全に依存します。Level 1：アドホックなクエリを使って基本的な手動ハンティングを行います。Level 2：ATT&CKとインテリジェンスに基づく構造化された仮説を使用します。Level 3：ハンティングによって自動検知が作成され、ハンターチームが専門化し、脅威モデルが継続的に更新されます。組織は、ハンティングプログラムの有効性を測る主要な指標として、平均滞留時間の短縮を測定する必要があります。

このレッスンで扱ったCompTIA Security+ (SY0-701)の概念について、理解度を確認します。

このレッスンでは、脅威ハンティングとは、攻撃者の一部がすでに検知を回避していることを前提としたプロアクティブな調査であること、仮説はMITRE ATT&CK、脅威インテリジェンス、ベースラインからの逸脱から作成されること、そして成功したハンティングによって自動検知ルールが作成され、SOCの検知能力が継続的に向上することを学びました。次は、ハンティングを支えるログの集約と相関に必要なプラットフォームであるSIEMのアーキテクチャについて説明します。