【要約】『脅威ハンティングとは、脅威インテリジェンスとの違い』〜能動的な「狩り」がSOCの守備範囲を押し広げる〜 [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
SOCアナリストやセキュリティ担当者は、高度化するサイバー攻撃による検知の遅れという課題に直面している。攻撃者が侵入後に長期間潜伏し、正規ツールを悪用することで、従来の防御手法を回避するためである。
- ・攻撃者の長期潜伏（平均数週間〜数か月）。
- ・正規ツールを悪用するLotL（Living off the Land）攻撃。
- ・シグネチャやルールベースの防御における構造的な限界。
- ・被害が拡大してからアラートが発生する受動的な防御構造。
// Approach
セキュリティ担当者は、受動的な防御を補完するために、インテリジェンスとハンティングの二段構えのアプローチを採用する。外部の脅威動向を理解し、それを内部の能動的な探索へと変換するプロセスである。
- ・脅威インテリジェンス：外部情報を収集・分析し、防御戦略や検知ルールに反映する。
- ・脅威ハンティング：熟練アナリストが仮説を立て、内部ログを能動的に調査する。
- ・3つのハンティングモデル：構造化（TTP起点）、非構造化（異常検知起点）、状況（重要資産起点）の使い分け。
- ・フィードバックループ：発見した知見をインテリジェンスへ還流し、精度を高める。
// Result
組織は、両手法を補完関係として運用することで、防御の精度と速度を向上させる。インテリジェンスを「羅針盤」とし、ハンティングを「実践」と位置づけることで、防御サイクルを回すことが可能になる。
- ・未知の攻撃手法や潜伏中の攻撃者の早期発見と排除。
- ・検知ルールの継続的な改善と、セキュリティ成熟度の向上。
- ・組織の規模に応じた段階的なセキュリティ強化（インテリジェンス活用からハンティングへ）。
Senior Engineer Insight
> 本質は「ログの質」と「人材」への投資である。EDRやSIEMによる十分なテレメトリがなければ、ハンティングは成立しない。また、自動化ツールはあくまで補助であり、高度な仮説立案には熟練アナリストの経験が不可欠だ。スケーラビリティを考慮するなら、まずはSigmaルール等の共通フォーマットを活用し、検知の自動化とハンティングの知見還元を仕組み化すべきである。インテリジェンスとハンティングを車の両輪として機能させることが、高度な脅威への唯一の解となる。