脅威ハンティング

アラートの発生を待たず、仮説を立てて能動的にログや端末を調査し、潜伏している侵害の痕跡を探し出す活動。既存の検知機構をすり抜けた攻撃の早期発見を狙い、脅威インテリジェンスやEDRのデータを活用する。

実行ファイルをディスクに保存せず、PowerShellやWMIなどOS標準のツールを悪用して、メモリ上だけで不正な処理を行うマルウェア。ファイルを検査する従来のウイルス対策ソフトでは検知しにくく、EDRによる振る舞いの監視やスクリプトの実行の制限で対策する。

米国の非営利組織MITREが、実際のサイバー攻撃で観測された攻撃者の戦術、技術、手順を体系化して公開しているナレッジベース。攻撃の各段階で使われる手口を整理したもので、検知ルールの整備、防御の網羅性の評価、脅威インテリジェンスの共有に使われる。

端末に限らず、ネットワーク、電子メール、クラウド、ID基盤など複数の領域のセキュリティ製品のデータを統合して分析し、攻撃の検知から調査、対応までを一体的に行う仕組み。EDRの考え方を組織全体に広げたもので、個々の製品では見えにくい攻撃の全体像を把握しやすくする。

外部の専門事業者が、顧客の環境に導入したEDRなどのセキュリティ製品を使って脅威を24時間体制で監視・分析し、検知した攻撃への初動の対応（端末の隔離など）までを代行するサービス。専門の人材を自組織で確保できない組織でも、高度な検知と迅速な対応を受けられる。

システムやネットワークがサイバー攻撃により侵害された可能性を示す技術的な痕跡や指標。C&Cサーバとの通信履歴、不審なファイルハッシュ値、マルウェアの通信先IPアドレスなどが含まれ、脅威インテリジェンスの共有やインシデント対応に活用される。

サイバー攻撃に関する脅威情報（脅威アクター、攻撃パターン、IoC、脆弱性など）を構造化して記述・共有するための標準化された記述形式。TAXII等のプロトコルと組み合わせて、組織間で機械可読な脅威インテリジェンスの自動交換を実現する。