脅威ハンティング

脅威ハンティングは、自動検出システムで見落とされたセキュリティインシデントを見つけ出すための手動または機械支援によるプロセスです。

システム内に潜伏するサイバー脅威が攻撃を実行する前に異常を検出する、プロアクティブな脅威防止アプローチです。脅威インテリジェンスと組み合わせることで、以下のメリットが得られます。

1. 攻撃対象領域をより深く知る 
2. サイバー犯罪をできるだけ早期に発見して、システムやサービスへの被害を防ぐ

今日、脅威ハンティングのアプローチには、仮説ベース、機械学習、ベースライン、AIベース、IoC/IoAベースなど、複数の種類があります。

脅威ハンターは、大量のセキュリティデータを分析し、ツールでは見落とされることのある不審なアクティビティパターンを探して、攻撃の兆候を見つけ出します。また、攻撃者が使用する戦術や技法に関する知識を深め、サイバー攻撃を防ぐための綿密な防御策を立てます。その際は、MITRE ATT&CKやサイバーキルチェーンなど、広く普及しているフレームワークに沿って、組織の環境に合わせた具体策を検討します。

脅威ハンティングフレームワークは、ハンティング活動の信頼性、効果、効率を高めることを目的として、再現可能なプロセスを体系化したものです。これらは以下の点を理解するために役立ちます。

• 一般に使われるハンティングのタイプ 
• 個別のハンティングに適したタイプ 
• ハンティングタイプ別の実行方法 
• 各タイプのハンティングで得られる出力 
• 成功の測定方法

Splunk SURGeが開発したPEAK脅威ハンティングフレームワークは、3種類のハンティングアプローチと、個別のハンティングでのニーズに合わせて調整できるガイドラインを組み込んだ、柔軟性の高いフレームワークです。