スレットハンティング.

スレットハンティングは「侵害されている前提」で能動的に痕跡を探す手法です。アナリストは TTP・脅威インテリジェンス・既知の弱点を踏まえて仮説を立て、EDR・SIEM・ネットワーク・クラウドのテレメトリを問い合わせて仮説を検証します。アラート駆動で受動的なトリアージとは異なり、ハンティングは反復的かつ探索的で、進行中の侵害だけでなく自動ルール化すべき検知ギャップを発見することを目的とします。成熟したプログラムでは PEAK フレームワークや MITRE ATT&CK に整合した仮説駆動ハントなどを採用します。成果物にはハントレポート、新規検知、ログと可視性の改善が含まれます。

仮説駆動のハントループ

flowchart TD
  A[インテリジェンス / ATT&CK 技法 / 異常] --> B[検証可能な仮説を立てる]
  B --> C[データソースと不足を特定]
  C --> D[テレメトリを問い合わせてピボット]
  D --> E{悪性活動の証拠は?}
  E -->|あり| F[インシデント対応へエスカレーション]
  E -->|なし / 不確実| G[仮説を精緻化または棄却]
  F --> H[自動検知として定着]
  G --> H
  H --> A

フレームワークと「ピラミッドを登る」価値

成熟したプログラムは、ハンティングを一時の好奇心任せにせず専門化します。PEAK フレームワーク——Prepare, Execute, and Act with Knowledge——は Splunk の SURGe 研究チーム(David Bianco、Ryan Fetterman、Sydney Marrone)が公表したもので、ハントを反復可能かつ測定可能なサイクルに構造化し、その成果を検知エンジニアリングへ還元します。Bianco はさらに、2 つの基礎的なモデルの提唱者でもあります。脅威ハンティング成熟度モデル(HMM0〜HMM4。プログラムの自動化度とデータの豊富さを測る)と、**Pyramid of Pain(痛みのピラミッド)**です。後者は、攻撃者が指標を変更する際のコストの大きさで指標を並べます。ハッシュや IP は容易に差し替えられますが、ツールや TTP——ピラミッドの頂点——をハントすると攻撃者はツールの作り直しを迫られ、実質的なコストが生じます。したがって優れたハントは、脆い原子指標ではなく振る舞い(例:rundll32 が cmd.exe を起動する、LSASS メモリへのアクセスなど)を狙い、確証を得たハントは恒久的でバージョン管理された検知へと昇格させるべきです。