脅威ハンティングとは、既存の防御をすり抜けた脅威を積極的に探索することです。アラートを待つのではなく、攻撃者が既に侵入していると想定し、証拠を探します。ハンターは仮説を立てます。攻撃者がPowerShellを使って横方向の移動を行っているかもしれない、あるいはDNS経由でデータを漏洩させているかもしれない、といった具合です。そして、ログやエンドポイントのデータを照会して、その仮説を検証します。ほとんどのハンティングでは何も見つかりません。しかし、それは失敗ではなく、防御が機能していることの証明なのです。

脅威ハンティングにはデータとスキルが必要です。ハンターはエンドポイントのテレメトリ、ネットワークログ、認証イベントにアクセスできる必要があります。異常を検知するために、正常な状態がどのようなものかを知っておく必要があります。MITRE ATT&CK などのフレームワークから得られる攻撃者の手法を理解する必要があります。脅威ハンティングはインシデント対応とは異なります。インシデント対応は確認されたイベントに対応します。脅威ハンティングは確認されていないイベントを探します。自動検出と人間の調査の間のギャップを埋めます。優れたハンティングは新しい検出ルールを生み出します。何も見つからなかった仮説でも、環境について何かを教えてくれます。時間の経過とともに、ハンティングは検出範囲を向上させ、滞留時間を短縮します。攻撃者は防御側が反応的であることを当てにしています。ハンティングはその前提を覆します。

脅威ハンティングプロセス

• 脅威インテリジェンスまたは攻撃者の行動に基づいて仮説を立てる
• 関連する情報源からデータを収集する
• 証拠を照会・分析する
• 異常を調査する
• 調査結果を文書化し、新たな検出結果を作成する

脅威の調査は探偵の仕事だ。犯罪は実際には起きていないかもしれない。仕事は、それが起きたか起きなかったかを証明することだ。