SC情報及び情報システムの利用におけるセキュリティ対策の適用の推進又は支援に関すること · セキュリティ監視並びにログの取得及び分析

脅威ハンティング

Threat Hunting

きょういはんてぃんぐ

アラートの発生を待たず、仮説を立てて能動的にログや端末を調査し、潜伏している侵害の痕跡を探し出す活動。既存の検知機構をすり抜けた攻撃の早期発見を狙い、脅威インテリジェンスやEDRのデータを活用する。

共有:

他の資格での定義

セキュリティ製品のアラートを待つのではなく、攻撃者がすでに侵入しているという前提で、ログや端末の挙動を能動的に調べ、潜伏している脅威の痕跡を探し出す活動。攻撃者のTTPなどの脅威インテリジェンスから仮説を立て、EDRやSIEMのデータを分析して検証する。

通信量や通信先、プロトコルの傾向を継続的に分析し、平常時からの逸脱によって侵害の兆候を捉える手法。暗号化されて中身が見えない通信でも、通信パターンからC&C通信や大量のデータ持出しを検知できる。

利用者だけでなく、サーバや端末などの実体（エンティティ）も含めた振る舞いを機械学習で学習し、平常時との差異から異常を検知する技術。定義ファイルに頼らないため、内部不正や未知の攻撃の兆候を捉えやすい。

インシデントや不正行為の原因究明と法的証拠の確保のために、電子的記録を保全・分析する技術と手続。証拠の改変を防ぐ保全手順と、取得から分析までの管理の連続性（証拠保全の連鎖）の記録が重要となる。

攻撃者の手口、使用する基盤、標的の傾向といった情報を収集・分析し、防御の意思決定に使える形にまとめたもの。自組織が受ける前に対策を先回りできるため、検知ルールの整備や優先順位付けに活用される。

Webサイト、SNS、公開データベースなど誰でも入手できる公開情報を収集・分析して有用な知見を得る手法。防御側は脅威インテリジェンスの材料として使い、攻撃側は標的の事前調査に用いる。

サーバ、ネットワーク機器、セキュリティ製品などのログを一元的に収集して相関分析し、単体の機器では気付けない攻撃の兆候を検知する仕組み。SOCの分析基盤として使われ、監査証跡の集約にも役立つ。