脅威ハンティングの考え方

脅威ハンティングとは、自動化された防御をすり抜けた攻撃者を能動的に探すことです。アラートを待つのではなく、ハンターが探しに行きます。

すでに侵害が存在する可能性を前提に、それを証明または否定するために調査します。

従来のセキュリティはリアクティブです。ツールがアラートを発し、分析者が対応します。ハンティングはプロアクティブです。人間が、どのアラートにも捉えられなかった脅威を探します。

• リアクティブ：アラートが届いてから調査します。
• プロアクティブ：調査してから、脅威を見つけることがあります。

中核となる意識の転換は侵害を前提にすることです。「安全でしょうか」と尋ねるのではなく、ハンターは「攻撃者は今どこに隠れているのか」と尋ねます。

この考え方によって、防御が最も弱い場所を掘り下げて調査するようになります。

自動検出は既知のパターンを捉えます。熟練した攻撃者は、未知の手法、Living-off-the-landツール、そしてどのシグネチャでも検出できない、ゆっくりとした目立たない活動を使います。

人間は、機械に探すよう指示されていなかったものを見つけます。

ハンターは侵害の痕跡（Indicators of Compromise、IOC）を探します。これは侵入を示唆するアーティファクトです。

• 通常とは異なる外向き接続。
• 新たに作成されたスケジュールタスクやサービス。
• 不審な親子プロセスチェーン。
• 予期しないアカウント作成。

IOC（悪意のあるハッシュや既知の悪性IPアドレス）は、変更するだけで簡単に回避されてしまいます。行動（TTP）は攻撃者が変更しにくいものです。

成熟したハンティングでは、交換可能なインジケーターだけでなく、行動に焦点を当てます。

痛みのピラミッドは、検知されたときに攻撃者へどれほどの痛手を与えるかによって、インジケーターを順位付けします。

ハッシュは簡単に変更できますが、TTPは攻撃者に大きな痛手を与えます。ピラミッドの上位を目指してください。

優れたハンターは好奇心と懐疑心を持っています。プロセスの動作がなぜ不自然なのかを問い、「おそらく何もない」と確認せずに受け入れることはありません。

この粘り強い問いかけによって、隠密な侵入が明らかになります。

理解していないものをハンティングすることはできません。まず、資産、通常のプロセス、想定されるネットワークフローを把握してください。

通常の状態のベースラインがあれば、トラフィック分析と同じように、異常にすぐ気付けます。

ハンティングは反復的な活動です。アイデアを立て、データを収集し、分析して、学んだことを検知に反映します。

何も見つからなかったハンティングであっても、可視性が向上し、新しい自動化ルールが生まれます。

ハンティングを成功させるために、攻撃者を見つける必要はありません。侵入の確認、新しい検知ルールの作成、盲点に対する可視性の向上などが、有効な成果に含まれます。

問題が見つからないハンティングにも、価値はあります。

脅威ハンティングの考え方を学びました。

• ハンティングはプロアクティブな活動であり、侵害を前提として捜索します。
• 自動化では、新しい手法や隠密な手法を見逃すことがあります。
• 交換可能なIOCだけでなく、行動とTTPに焦点を当てます。
• 痛みのピラミッドでは、攻撃者に痛手を与えるため上位を目指します。
• 環境を把握してください。問題が見つからないハンティングにも価値があります。

次は、仮説駆動型ハンティングについて学びます。