スレットハンティング（脅威ハンティング）

スレットハンティング（脅威ハンティング）とは？

スレットハンティング（Threat Hunting）は、アラートや自動検知ツールに頼らず、熟練したセキュリティアナリストが仮説を立ててネットワークやエンドポイントのデータを能動的に調査し、まだ検知されていない脅威を発見するプロアクティブな活動です。

従来の対応とスレットハンティングの違い

項目	従来のセキュリティ対応	スレットハンティング
トリガー	アラート発生時に対応	アラートなしで能動的に調査
姿勢	リアクティブ（受動的）	プロアクティブ（能動的）
目的	既知の脅威の検知・対応	未検知の潜在的脅威の発見
必要スキル	ツール操作	高度な分析・仮説構築力

ハンティングのプロセス

1. 仮説の設定: 「MITRE ATT&CKのT1078（有効なアカウントの悪用）が使われているかも」
2. データ収集: EDR・ログ・ネットワークフローデータを収集
3. 調査・分析: 仮説に基づいてデータをクエリ・相関分析
4. 発見・記録: 脅威または正常の判定・IOCの記録
5. 改善: 検知ルールや防御策に知見をフィードバック

必要なツール

• EDR（Endpoint Detection and Response）: CrowdStrike Falcon・Carbon Black
• SIEM: Splunk・Microsoft Sentinel（ログ分析）
• フレームワーク: MITRE ATT&CK（仮説の参照元）

まとめ

スレットハンティングは高度なSOC成熟度が求められる活動ですが、APT（高度な持続的脅威）のような潜伏型攻撃を早期に発見する上で不可欠です。