脅威ハンティングは従来のセキュリティモデルを逆転させます。アラートを待つ代わりに、侵害を主体的に想定して証拠を探します。適切に実施すれば、自動防御を突破した攻撃者を捕捉できます。このガイドは、組織の規模やツールセットに関係なく適用できる実践的で反復可能なプロセスを説明します。
ハンティングが重要な理由
シグネチャベースの検出と、ほとんどの行動分析は既知の不正パターンや明らかな異常のみを検出します。熟練した攻撃者は意図的にその閾値以下で活動し、正規のツール(生存地のバイナリ)、有効な認証情報、遅くて忍耐強い移動を使用します。脅威ハンティングは、人間のアナリストが攻撃者の行動に関する仮説を立て、テレメトリ内で積極的に支証を探すことで、そのギャップを埋めます。
仮説駆動型プロセスを構築する
効果的なハントは、無差別な釣り探索ではなく、具体的で検証可能な仮説から始まります。良い仮説は通常、3つのソースから出ます:
- 脅威インテリジェンス: 新しいレポートが、あなたの業界をターゲットにしているグループによって使用される技法を説明しています。仮説: 「このグループが当社の環境で活動している場合、特定のパターンでペイロードをダウンロードしている PowerShell が見られます。」
- MITRE ATT&CK ギャップ: 現在の検出カバレッジを ATT&CK 技法にマップし、現在自動的に検出できない技法のハントを優先します。
- 異常駆動型の好奇心: 異常なログイン時刻、まれな親子プロセス関係、またはアラートをトリガーしないが確認時に奇妙に見える予期しない送信接続。
各仮説、クエリするデータソース、それを確認または反証する証拠を文書化します。この規律により、ハントが焦点を失うのを防ぎ、結果が再現可能になります。
データソースを理解する
ハントは、その背後にあるテレメトリと同じくらい良いものです。主要なソースは以下を含みます:
- Endpoint Detection and Response (EDR) ログ: プロセス作成、コマンドライン引数、ファイル書き込み、プロセスごとのネットワーク接続。
- Windows イベントログ: 特にセキュリティ(4624/4625 ログオン)、Sysmon(プロセス作成、ネットワーク、レジストリ)、PowerShell 運用ログ。
- ネットワークデータ: 接続メタデータの NetFlow/Zeek ログ、DNS クエリログ、送信ウェブトラフィック用のプロキシログ。
- 認証ログ: ID プロバイダ、VPN、ディレクトリサービスからのログで、不可能な移動または認証情報の悪用を検出します。
- クラウド監査ログ: CloudTrail、Azure Activity Logs、または GCP Audit Logs で権限変更と API 悪用を検出します。
これらを SIEM またはデータレイクに一元化して、アドホッククエリを迅速に実行できるようにします。リテンション期間が短すぎる場合、履歴侵害に対するハントは不可能になります。実行可能であれば、少なくとも 90 日を目指してください。
実践的なハンティング技法
スタックカウント(頻度分析): 環境全体でフィールド(親プロセス名、スケジュールされたタスク名、サービス名)の出現回数をカウントします。外れ値(1 万ホスト中 1 つのホストで実行されているプロセス)は、多くの場合、調査する価値のあるものを示します。
SELECT parent_process, COUNT(*) as cnt
FROM process_events
GROUP BY parent_process
ORDER BY cnt ASC
LIMIT 50;最小発生頻度(LFO): スタッキングに似ていますが、認証のための(user, source_ip)ペアなどの組み合わせに適用され、まれなアクセスパターンを浮き彫りにします。
ベースライン逸脱: ホストまたはユーザーの「正常」な状態を確立し(典型的なログイン時刻、一般的なプロセス)、逸脱にフラグを立てます。これには初期的なプロファイリング投資が必要ですが、継続的なハントに見返りがあります。
IOC と TTP でのピボット: 既知のインジケータ(ハッシュ、ドメイン、IP)または技法(例: T1055 プロセスインジェクション)から開始し、関連するアクティビティについてすべての利用可能なログ全体を検索してから、ヒットから外側にピボットして、関連するインフラストラクチャまたは影響を受けたホストを見つけます。
学ぶ価値があるツール
- Sysmon + Sigma ルール: Sysmon は豊富なエンドポイントテレメトリを提供し、Sigma は SIEM プラットフォーム全体で検出およびハントするためのポータブルなルール形式を提供します。
- Velociraptor または osquery: 今すぐ特定のアーティファクトについて数百のエンドポイントをチェックする必要がある場合、フロー全体でライブクエリを実行するためのもの。
- Zeek: シンプルな NetFlow を超えた深いネットワークプロトコル分析のためのもの。
- MITRE ATT&CK Navigator: 時系列でハントカバレッジを追跡および可視化するためのもの。
ループを閉じる
すべてのハントは「何も見つかりませんでした」を超えた成果を生み出す必要があります。悪意のあるアクティビティを確認した場合、それをインシデント対応にフィードします。可視性のギャップが見つかった場合、それを検出エンジニアリングチケットとして提出します。ハント技法が価値があることが証明された場合、それを自動検出ルールに変換して、将来のインスタンスが手動作業なしでアラートをトリガーするようにします。これにより、脅威ハンティングが 1 回限りの演習ではなく、セキュリティプログラム全体の継続的な改善エンジンに変わります。
ハント仮説、使用したクエリ、調査結果を含むハントログを保持します。この機関知識は時系列で複合し、新しいハンターのオンボーディングをはるかに高速化します。
より深く学びたいですか? Korra Studio のデジタルフォレンジックスとブルーチームセグメントを探索して、脅威ハンティングと自然にペアになる検出および調査スキルを構築します。