脅威ハンティングとは？意味や種類、プロセスから脅威インテリジェンスとの違いや関係性まで解説

脅威ハンティングとは、既存の防御システムや検知ルールをすり抜けて組織内に侵入した可能性のある攻撃者の活動や侵害の痕跡を能動的に探索する活動のことです。境界防御やシグネチャベースの検知など、アラートの発生を待つ従来型の受動的な防御モデルでは見逃されがちな高度な脅威を早期に発見し、インシデントの発生や被害の拡大を未然に防ぐことを目的としています。

本記事では、脅威ハンティングの概要をはじめ、種類や重要性、具体的な実施プロセス、関連するツールのほか、脅威インテリジェンスなどの関連用語との違い・関係性などをわかりやすく解説します。

脅威ハンティングとは？定義や意味をわかりやすく

脅威ハンティングとは、すでに組織内部に侵入している可能性のある潜在的な脅威を探し出す取り組みのことを指します。英語の「Threat Hunting」を日本語に言い換えたもので、「スレットハンティング」と呼ばれることもあります。

検知ツール等がアラートを発してから行動を起こす受動的なインシデント対応とは異なり、まだ検出されていない未知の脅威に関する仮説を立て、自らその兆候や痕跡を積極的・能動的に探しに行くのが脅威ハンティングです。脅威ハンティングの質により、すでに侵入した脅威を迅速に発見・排除できる可能性が大きく左右されます。

では、脅威ハンティングの定義や詳しい意味についてさらに掘り下げていきましょう。

脅威ハンティングの定義と意味

脅威ハンティングは一般に、すでに侵入している可能性のある未知の脅威を見つけ出すための取り組みという意味で理解されていますが、万国共通の決まった定義があるわけではありません。ただ、IPAの資料『脅威ハンティングのすゝめ』では、米サイバーセキュリティ企業Sqrrl社による以下の定義が紹介されています。

この定義からもわかるように、脅威ハンティングとは単なるアラート対応や定型的な分析にとどまらず、既存の検知を回避した攻撃者の活動／侵害の痕跡や、巧妙な攻撃の兆候を自ら見つけ出す能動的な活動を指します。

既存のセキュリティをすり抜けた脅威を探す取り組み

上記の定義にもあるように、脅威ハンティングは「侵害が前提」の活動であり、対象となるのは「既存のセキュリティソリューションを回避する高度な脅威」です。

サイバー攻撃が高度化・多様化する現代では、どれほどセキュリティ対策を強固にしたつもりでも、すべての脅威を100％確実に防ぐことができるわけではありません。マルウェアなどの悪意あるツールも日々進化している上、正規ツールを活用した攻撃（LotL攻撃）や漏洩認証情報を悪用した攻撃では、検知がより難しくなります。

こうした背景があることから、脅威ハンティングの実施者「脅威ハンター」は、攻撃者が「すでに侵入・潜伏している」と想定し、隠された脅威を炙り出すことを目指します。ハンターは、自ら立てた仮説や脅威インテリジェンスから得られた情報などをもとに、各種ログやネットワークトラフィック、エンドポイント、データ、ユーザーの行動などを調査します。調査ではツール類も使われるほか、ハンター自身の経験や勘・知識、分析スキルなども重要になります。

能動的かつ反復的なプロセス

脅威ハンティングは、防御ソリューションが発するアラートを受けてから行動をスタートする「受動的」な対応ではなく、「すでに侵入されている」という想定をもとに自ら「能動的・積極的」に脅威を見つけ出そうとするプロセスです。

従来の受動的なセキュリティでは、インシデントが顕在化するまで攻撃を認識できない、というリスクが存在します。一方で脅威ハンティングは、その隙間を埋めるための戦略的手段として機能します。

また、ハンティングで得られた知見をもとに検知ルールや運用を改善し、新たな仮説を立てて再び調査を行うというサイクルを繰り返すことで、組織全体のセキュリティ体制を継続的に強化することも目指せます。

脅威ハンティングの目的

脅威ハンティングの主な目的は、すでに侵害されている可能性のあるシステム内から、攻撃者の痕跡をいち早く見つけ出して被害の拡大を防ぐことです。APT攻撃をはじめとする高度なサイバー攻撃では、攻撃者が標的システムへ侵入後、長期間にわたってそのまま潜伏することが珍しくありません。この潜伏期間は場合によっては数か月から数年間に及ぶこともあり、その間攻撃者の存在を検出できなかったというケースは多々報告されています。

脅威ハンティングは、このような検知の遅れを縮めることで、長期間の潜伏や大規模な被害が現実化する前に兆候を発見し、迅速な対応を可能にすることを目指す取り組みです。

関連記事：APT（高度持続型脅威）攻撃とは？特徴や手口、対策を実際の事例を踏まえて解説

サイバーセキュリティにおいて脅威ハンティングが重要な理由

サイバーセキュリティにおいて脅威ハンティングはあくまで補完的なアプローチですが、近年、その重要性がますます高まっています。その主な理由は、次の2つです。

• 未知の脅威による損害を防止できる可能性があるから
• 組織全体のセキュリティ体制強化が期待できるから

それぞれについて、さらに詳しくみていきましょう。

未知の脅威による損害を防止できる

ファイアウォールやアンチウイルス、EDR、XDR、SIEMといったツールにより検知を自動化した従来のセキュリティは、既知の脅威の検知に加えて未知の攻撃にもある程度対応していますが、巧妙な攻撃や検知ルールを回避した活動を完全に検出できるわけではありません。

しかし、攻撃者は日々自らの手法に改良を加えている上、ベンダー側でも認識できていないゼロデイ脆弱性も積極的に探索・悪用しようとしています。加えて、最近では生成AIの普及により、フィッシングメールの作成やマルウェアの改変、脆弱性探索などが効率化されつつあり、新たな攻撃手法の試行や展開が容易になってきています。既存のセキュリティ体制だけでは、こうした新しい脅威に対処しきれません。

また、APTアクターなどの高度な攻撃者は、正規ツールを悪用した攻撃（LotL攻撃）や別の侵害で漏洩した正規の認証情報を悪用した攻撃を行うことも多く、必ずしもマルウェアなどの悪性ツールを使用するとは限りません。このような攻撃は正規のトラフィックに紛れ込んでしまうため、検出が難しいとされています。

一方で脅威ハンティングは、「すでに侵害されている可能性」を前提にして調査を行うものであり、アラートを起点とする従来の監視機能が見過ごしてしまった攻撃や、既存の検知を回避した侵害の痕跡を探し出すことを得意とします。

組織全体のセキュリティ体制を強化できる

優れた脅威ハンティングは、単に未知の脅威を発見するだけでなく、既存の監視体制に内在する弱点を可視化するための手段としても機能します。これは、脅威ハンティングを実施する過程で、以下のような気づきが得られる場合があるためです。

• 通常の監視で見逃されがちな事象のパターン
• トリアージにおけるミスやアナリストの見落としがちなポイント
• ログ収集や監視設計の不足・不備

など

こうした発見や反省を踏まえ、監視ルールの改善やログ収集設計の見直しといった具体的な対策を導くことができれば、結果として組織全体のセキュリティ成熟度の向上につなげることが可能です。

脅威ハンティングの活動を反復的に実施し、併せて継続的にセキュリティ体制へ結果を還元していくことで、組織全体のセキュリティ体制が強化されていくことが期待できます。

脅威ハンティングの種類と主なアプローチ

では、脅威ハンティングはどのような手法・アプローチで行うのでしょうか？ここでは、脅威ハンティングの種類と5つの代表的なアプローチ方法について紹介します。

脅威ハンティングは、その起点や進め方の違いから、大きく「構造化ハンティング」と「非構造化ハンティング」に分けられます。また、実務では両者や複数のアプローチを組み合わせる「ハイブリッド型」も用いられます。

構造化ハンティング

構造化ハンティングとは、事前に立てた仮説に基づいて実施される脅威ハンティングです。調査範囲が明確である上、あらかじめ決められた枠組みに沿って計画的に調査が進められることから、手順を再現しやすいという特徴があります。

仮説の例としては、「攻撃者が窃取した認証情報を使用して、通常とは異なる時間帯に特権アカウントへログインしている可能性がある」などが挙げられます。脅威ハンターはこうした仮説をもとに調査対象や範囲を明確に定め、系統的にハンティング活動を進めていきます。仮説を立てる上では、脅威インテリジェンスの取り組みによって得られた知見・情報や、攻撃者のTTPなどが重要な参考情報となります。

このほか、手当たり次第に脅威を探そうとするのではなく、組織にとって最も価値の高い情報資産やシステムおよびその周辺に絞り込んで調査を行う手法（エンティティ主導型ハンティング）も、構造化ハンティングの一種とされています。

＜構造化ハンティングに該当するアプローチ例＞

• 攻撃主導型（TTP）
• インテリジェンス主導型
• エンティティ主導型

関連記事：TTP（戦術・技術・手順）とは？意味や活用方法、ATT&CKとの関係性などを具体例と併せて解説

非構造化ハンティング

一方、非構造化ハンティングとは、定められた手法や手順には必ずしも従わずに調査を進めていくタイプの脅威ハンティングのことを指します。構造化ハンティングのように事前に仮説を立てて開始する場合もありますが、調査の進め方や手順があらかじめ厳密に定められているわけではありません。ハンターの経験や知識、分析上の着眼点を生かして広範なログやデータを分析し、異常値や未検知の挙動を見つけ出すことを目的とします。

決まった手法や枠組みに縛られない自由度の高さは、非構造化ハンティングのメリットの1つです。一方で、対象となるデータの膨大さゆえに労力とコストが大きくなりがちな上、そうしたコストに見合った有益な成果を得ることが難しいという課題もあります。このため、非構造化ハンティングは、構造化ハンティングで検証する仮説を生み出すためのトリガー（きっかけ）の1つとして活用されることもあります。なお、構造化・非構造化ハンティングの両方を取り入れるやり方は「ハイブリッド型ハンティング」と呼ばれます。

＜非構造化ハンティングに該当するアプローチ例＞

• データ主導型

脅威ハンティングの5つのアプローチ

脅威ハンティングには、起点や焦点の異なる5つの代表的なアプローチがあります。

＜脅威ハンティングの5つのアプローチ＞

• 攻撃主導型
• インテリジェンス主導型
• エンティティ主導型
• データ主導型
• ハイブリッド型

IPAの資料『脅威ハンティングのすゝめ』では、冒頭の表で示したようにこれらを構造化・非構造化という視点から整理し、攻撃主導型、インテリジェンス主導型、エンティティ主導型を主に構造化ハンティング、データ主導型を主に非構造化ハンティングに位置づけています。ハイブリッド型は、これらを組み合わせるアプローチです。

攻撃主導型

攻撃主導型は、攻撃者のTTPを出発点にして進めていく脅威ハンティングのアプローチです。特定の脅威アクターのTTPや、権限昇格・ラテラルムーブメントなど特定の攻撃戦術・技術に基づいて仮説を立て、MITRE ATT&CKなどを参照しながら、組織内に関連する活動の痕跡がないかを調査します。

＜ポイント＞

• TTPが出発点
• MITRE ATT&CKを、攻撃手法の整理やデータソースの選定、シナリオ作成、検知ルールの開発などに活用する
• 攻撃者がどのように目的を達成しようとするかを予測し、その兆候を早期に発見することが目的

関連記事：MITRE ATT&CKとは？概要や活用事例などを概説

インテリジェンス主導型

インテリジェンス主導型の脅威ハンティングは、IoCやIoA、脅威レポート／フィード、脆弱性情報といった脅威インテリジェンスを出発点に、組織内に潜在する関連リスクを探索するアプローチです。

最新のIoCや特定の脅威アクターに関する警告など、新たな脅威情報の入手がハンティングを開始する「トリガー」となり、その情報を基点として「この脅威は自組織にも存在するのか」「関連する他の攻撃の兆候はないか」といった仮説を立て、まだ把握されていない侵害や密かに潜伏する脅威を発見することを目指します。

1つ目の攻撃主導型と混同されがちですが、攻撃主導型が攻撃者の行動やTTPそのものを起点にするのに対し、インテリジェンス主導型は組織の外部・内部から得た脅威情報をトリガーにする点が異なります。

＜ポイント＞

• インテリジェンスを出発点とした、脅威指標（IoC・IoA）などに基づく調査。
• 攻撃者や手法に関する外部・内部の情報を分析し、特定の痕跡を優先的に調査することで、より戦略的かつ効率的なハンティングが可能になる。
• 一方で、使用する脅威インテリジェンスの信頼性がハンティングの結果に直結することから、情報源の選定が重要となる。
• また、入手した情報をそのまま利用するのではなく、業界の特性や自組織の環境、過去の攻撃傾向などを踏まえて自組織との関連性を判断することも求められる。

エンティティ主導型

エンティティ主導型は、手当たり次第に脅威を探そうとするのではなく、組織内で特に重点的に保護すべき「エンティティ」に焦点を当てて実施される脅威ハンティングのアプローチです。この「エンティティ」には、例えば以下のようなものが該当します。

＜エンティティの例＞

• 組織にとって特に価値の高い情報資産
• 特権アカウント
• 基幹業務システム
• 機微な情報が保存されているサーバーやデータベース
• 組織運営に不可欠な重要システム

など

＜ポイント＞

• 調査範囲をあらかじめ重要な資産に絞り込むことから、人員や時間に限りがある場合でも、リスクの高い対象を優先して詳しく調査しやすい。
• 特権アカウントの不正利用や、内部関係者による情報窃取といった内部脅威、また特定の重要エンティティを狙った標的型攻撃などの検知に特に有効。

データ主導型

データ主導型とは、組織が収集／蓄積している広範なセキュリティ関連データを、統計的手法や高度な分析技術を用いて分析し、その中から異常な挙動や潜在的な脅威の兆候を発見することを目指すアプローチです。既知の脅威情報や攻撃者のTTPなどに必ずしも頼らず、「通常の活動パターン（ベースライン）から逸脱する異常な挙動（アノマリ）がないか」という観点から、潜在的な脅威を探索します。

ただし、仮説が一切関与しないというわけではなく、データから見つかった異常を起点として仮説を立て、詳しい調査へ発展させるパターンもあります。

＜ポイント＞

• 膨大なデータを網羅的に分析する、非構造化ハンティング。
• 既知のシグネチャやルールに依存しないため、これまでに遭遇したことのない新しい攻撃手法や未知のマルウェア、内部不正の初期段階などを発見できる可能性がある。
• 人間の目では発見が難しい複雑な相関関係や微細な兆候を捉えるために、統計的手法に加え、機械学習やAIによる異常検知、クラスタリング、パターン認識などが活用されることがある。
• データ分析によって発見された異常なパターンや統計的な外れ値は、場合によっては新たなハンティング仮説を立てる上での重要なトリガーになることがある。

ハイブリッド型

ハイブリッド型とは、上記の中から複数のアプローチを戦略的に組み合わせてハンティングを実施する手法です。これまで見てきた通り、どのアプローチにもそれぞれ長所と欠点があります。それぞれの長所を活かしながら、脅威や資産に応じて柔軟に手法を切り替えることで、広範囲かつ深度のあるハンティングを実施しやすくなります。また、各手法の弱点を相互に補うことで、誤検出や見逃しのリスクを低減できる可能性があります。

＜ポイント＞

• 複数のアプローチを組み合わせ、精度・スピード・コストのバランスを取りながら、目的や状況に応じて最適化されたハンティングの実現が目指せる。
• 複数の視点や手法を組み合わせることで多角的な解釈が可能となり、検知率の向上が期待できる。

脅威ハンティングの具体的な実施プロセス

脅威ハンティングの実施プロセスは、大きく「計画」「実行」「完了」の3段階に分けて考えることができます。

＜脅威ハンティングのライフサイクル＞

• 計画
• 実行
• 完了

最後の「完了」は活動を単に終了させる段階ではありません。ハンティングで得られた知見や課題を次回の計画へ反映し、継続的に改善していくライフサイクルとして捉えることが重要です。

※なお、脅威ハンティングは多様な手法やアプローチに基づいて実践されており、組織やフレームワークによって構成要素や手順には差異がある場合があります。本記事では、IPAの資料『脅威ハンティングのすゝめ』に沿ったプロセスを紹介しています。

計画

「計画」は、ハンティングの目的や対象範囲、実施体制を定めるフェーズです。具体的には、以下の3要素が重要となります。

• 目的と範囲の明確化：どのようなセキュリティ上の懸念や脅威に対してハンティング活動を行うのかという方向性を定める。またその目的に基づいて、調査対象を具体的に絞り込む（例：特定の業務部門やユーザーグループなど、実施可能な単位で対象を限定する）。
• 環境の理解と攻撃対象領域の評価：通常時の業務や通信、ユーザー行動の傾向を理解し、異常な挙動を判断するための基準を整える。また、リスクベースの観点から調査対象の優先順位をつけ、攻撃を受ける可能性のあるシステム、アカウント、通信経路などの領域を評価する。
• リソース割り当てとチーム準備：設定した目的や範囲を踏まえて、仮説を検証するために必要となる技術的なツール、ログやテレメトリの有無・品質、データへのアクセス権限、分析を担当する人員などを整理する。ハンティングをチームで実施する場合は、作業分担や連携体制についても事前に調整しておく。

実行

計画フェーズで定めた目的と範囲をもとに、実行フェーズでは具体的かつ検証可能な仮説を立てていきます。具体的には、以下の作業を行います。

• 仮説の構築：自組織内で発生している可能性のある攻撃者の活動やTTP、侵害の兆候について、脅威インテリジェンスや自組織の環境情報に基づき、データで検証可能な仮説を立てる。
• 収集：仮説の検証に必要なログやテレメトリを特定・収集し、形式の正規化やタイムスタンプの統一などを行って、分析可能な状態に整える。
• 分析：収集したデータを精査し、立てた仮説を検証する。仮説を裏付ける証拠、あるいはそれを否定する材料をデータの中から見つけ出すことを目指す。結論に至らない場合は、仮説や分析範囲の再定義を行って再度ハンティングを繰り返すことも必要になる。

なお、最後の分析の結果は、①仮説が裏付けられる場合、②反証される場合、③データ不足などにより結論に至らない場合、の3つに大別できます。仮説が反証された場合でも、検知可能な範囲やデータ品質を確認することができれば、今後の改善につながる有益な成果となります。

一方で、分析によって侵害や攻撃活動が確認された場合は、インシデント対応プロセスへ移行し、関係チームと連携して端末の隔離やアカウントの無効化、不正な通信の遮断などの対応を実施します。

完了

最後は、活動全体の記録とその振り返り・分析を行う「完了」のフェーズです。ここでは、一連のハンティング活動から得られた知見や教訓をレポートにまとめ、組織全体のセキュリティ体制の継続的な改善へと結びつけることを目指します。このプロセスを継続的に繰り返すことで、脅威ハンティングを単発の調査ではなく、組織の防御力を継続的に高める活動として定着させることができます。

• 活動記録の集約と分析：ハンティングの結果を詳細なレポートとして文書化し、どのような仮説を立て、どのようなデータを用いてどのような分析を行ったか、またどのような結論が導き出されたかを明確に記録し、関係者（※）へ共有する。レポートに記録された内容は、ハンティング活動の成功要因や課題、分析手法の有効性、全体の効率性などを振り返るために活用可能となる。
• セキュリティ対策の強化：ハンティングで得られたIoCやIoA、攻撃者のTTPなどをもとに、SIEMやEDRの検知ルールを新規作成・改善する。また、調査中に明らかになったログの不足や監視の死角を解消するため、ログソースや収集設定を見直す。必要に応じてインシデント対応のプレイブックや対応フローも更新し、仮説の立て方、ツール、分析手法などを次回のハンティングに向けて改善する。

（※）SOCやインシデント対応チーム、セキュリティ管理者、必要に応じて経営層など

脅威ハンティングで使用される代表的なツール

脅威ハンティングでは、エンドポイントやネットワーク、認証、クラウド環境などから収集したデータを調査・分析するために、各種セキュリティツールが活用されます。こうしたツールは脅威の兆候を可視化し、仮説の検証や不審な挙動の深掘りを行う上で非常に有用です。ここでは、脅威ハンティングで使用される代表的なツールや技術を紹介します。

SIEM

SIEM（Security Information and Event Management）は、サーバーやネットワーク機器、クラウドサービス、セキュリティ製品など、複数のソースからログやイベント情報を収集し、一元的に管理・分析するためのシステムです。異なる形式のログを集約・正規化し、横断的な検索や相関分析を行うことができるため、脅威の兆候を検知・可視化し、ハンティング仮説を検証するための分析基盤として活用されます。

EDR

EDR（Endpoint Detection and Response）は、PCやサーバーなどのエンドポイント上で発生する挙動を継続的に監視・記録し、不審な活動の検知、調査、封じ込めなどを支援するツールです。プロセスの実行、ファイル操作、通信、ログインなどの情報を検索・分析できるため、不審なコマンドの実行やマルウェアの活動、攻撃者による端末内での行動を調査する際に活用されます。

関連記事：EDRは必要？アンチウイルスやEPPとの違い、運用コストは？

NDR

NDR（Network Detection and Response）は、ネットワークトラフィックを継続的に監視・解析し、不審な通信を検知・調査するためのツールです。C2サーバーとの通信、内部でのラテラルムーブメント、通常とは異なる通信パターン、外部へのデータ流出などの特定に活用されます。脅威ハンティングでは、通信先や通信量、プロトコル、端末間の接続関係などを分析し、エンドポイント上のログだけでは捉えにくい攻撃活動を探索します。

UEBA

UEBA（User and Entity Behavior Analytics）とは、ユーザーや端末、サーバー、アカウントなどのエンティティの行動を分析し、通常とは異なる挙動を検出するための技術または機能です。過去の行動データから通常時のパターンをベースラインとして把握・モデル化し、ログイン時間やアクセス先、データ転送量などがベースラインから逸脱した場合に、異常として検出します。

UEBAは、内部関係者による不正行為、認証情報を窃取した攻撃者によるアカウントの悪用、これまで検知されていなかった攻撃活動などを発見する手掛かりとして活用されます。ただし、通常と異なる行動が必ずしも攻撃を意味するとは限らないないため、正確な判断のためにはEDRやSIEMなどの情報と組み合わせて詳しく調査することも必要です。

TIP

TIP（Threat Intelligence Platform）は、複数の情報源から脅威インテリジェンスを収集・集約し、整理、正規化、分析、共有などを支援するプラットフォームです。日本語では「脅威インテリジェンスプラットフォーム」とも呼ばれます。

悪性IPアドレスやドメイン、マルウェアのハッシュ値、攻撃者のTTPなどを自組織の情報と照合することが可能であることから、ハンティング仮説の作成や調査対象の優先順位付けに活用できます。また、SIEMやEDRなどと連携し、脅威情報を検索や検知ルールへ反映することで、ハンティングや監視活動の効率化にも役立ちます。

関連記事：脅威インテリジェンスプラットフォーム（TIP）とは？ 活用例などと併せて解説

XDR

XDR（Extended Detection and Response）は、エンドポイント、ネットワーク、メール、クラウド、IDなど、複数のセキュリティ領域から得られるデータやアラートを統合し、脅威の検知・調査・対応を支援するプラットフォームです。異なる領域で発生した事象を関連づけて攻撃の流れを把握できるため、単一の端末やログだけでは分かりにくい複数段階の攻撃を横断的に調査する際に活用されます。

ただし、収集できるデータの範囲や他社製品との連携性は製品によって異なります。

脅威ハンティングにおけるAIの活用

前述の通り、データ主導型の脅威ハンティングでは、機械学習やAIを活用したデータ分析が広く利用されています。さらに近年では、生成AIやAIエージェントを調査支援に活用する製品も登場しており、脅威ハンティングの効率化が進んでいます。

AIによるデータ分析の高度化

AIや機械学習は、大量のログやテレメトリを分析し、人間では見つけにくい異常な挙動や相関関係を検出するために活用されています。例えば、ユーザーや端末の通常時の行動をベースラインとして学習し、そこから逸脱するアクセスや通信を検知することで、内部不正や攻撃者による不審な活動の発見を支援します。

ただし、AIが検出した異常が必ずしも攻撃を意味するわけではないため、最終的な判断を下すためには脅威ハンターによる分析が必要です。

生成AIによる調査の支援

近年では、生成AIを活用して脅威ハンティングを支援する機能も増えています。こうした機能を使うと、自然言語で質問するだけでSIEMやEDR向けの検索クエリを生成したり、ログや脅威レポートを要約したり、追加で調査すべきポイントを提案したりすることが可能です。

このように、AIは脅威ハンターに代わって判断を行ってくれるものというより、大量のデータ分析や情報整理を支援してくれる存在と言え、調査の効率化や迅速化に役立つ技術として、実務でも活用されるようになっています。

脅威ハンティングと脅威インテリジェンスの違い・関係性

脅威ハンティングと非常に結びつきの強い概念に、脅威インテリジェンスがあります。ここでは、脅威インテリジェンスとは何かを簡単に解説した上で、脅威ハンティングとの違いを比較し、互いにどう関係しているのかを説明します。

脅威インテリジェンスとは？

脅威インテリジェンスとは、脅威に関する情報を収集・加工・分析・評価し、サイバー攻撃への対応や意思決定に役立つ知見へと整理した成果物を指します。

セキュリティニュース、SNS、脆弱性情報共有サイト、フォーラム、技術系ブログなどの公開情報源（OSINT）や、ISACなどの情報共有コミュニティ、自社で使用するセキュリティ機器のログ・アラートなど、さまざまな情報源から脅威に関する情報を集め、分析・評価してサイバー脅威からの自衛に関連する意思決定に役立つ成果物へとまとめたものが「脅威インテリジェンス」です。

また、「脅威インテリジェンス」という言葉は、成果物そのものだけでなく、それを作成するための収集・分析・共有までを含む一連の活動を指して使われることもあります。

※インテリジェンスの詳しい解説については、以下の記事もご覧ください。

• 脅威インテリジェンスとは？種類や必要性をわかりやすく解説
• 脅威インテリジェンスの国内における活用例と活用のヒント
• 「サイバーインテリジェンス」と「脅威インテリジェンス」の違いとは？

脅威ハンティングと脅威インテリジェンスの違い

これまで見てきた通り、脅威ハンティングは、「組織内に潜む攻撃者の活動や侵害の兆候を能動的に探し出す」ことに焦点を当てた活動です。一方で脅威インテリジェンスは、情報収集・分析の側面や脅威の理解の側面が強い活動で、そうした情報をもとに「脅威からの保護において重要な意思決定をサポート」できるような知見を得ることに主眼を置いています。

脅威インテリジェンスは脅威ハンティングの出発点になるだけでなく、ハンティングによって得られた知見が新たなインテリジェンスへ還元されるなど、両者は相互に補完し合う関係にあります。

脅威ハンティングと脅威インテリジェンスの関係性

脅威インテリジェンスを基に仮説を立ててハンティングを行う「インテリジェンス主導型」のアプローチについては先ほども説明しました。しかし、両者は「インテリジェンス→ハンティング」という一方通行の関係というわけではありません。実際には、相互に補完・強化し合う動的な関係であると考えられています。

脅威インテリジェンスはハンティング活動の出発点となる

特に脅威アクターやそのTTPに関するインテリジェンスは、どのような脅威に優先的に対応すべきかを判断するための重要な基盤となります。その中でも、自組織の業種や地域との関連が強いなど、自組織を標的にする可能性が高い脅威アクターに関する情報は、仮説を立てて実際のハンティング活動を開始する上で有効です。

脅威インテリジェンスはハンティング結果の意味付けに役立つ

インテリジェンスは、ハンティング開始時に役立つだけではありません。ハンティングで確認されたTTPを既知の脅威インテリジェンスと照らし合わせることで、「どの脅威アクターの活動と一致するのか」「他にも注意すべき攻撃手法があるのか」といった背景まで把握できるようになります。これを基に仮説を立て直したり、調査対象を拡大することも可能で、結果としてハンティング活動の質的向上が期待できます。

ハンティング活動は、新たな脅威インテリジェンスを生み出す重要な手段となる

ハンティング活動を通じて実際のシステム環境で新たに観測されたTTPは、攻撃者の行動や能力を把握するための貴重な情報源となります。また、新たに得られたこうした知見が、情報共有の枠組みなどを通じて外部へ共有されれば、他者の調査活動の出発点になることもあります。さらに、調査や分析において複数の組織が連携することで、より広範で深い攻撃者像が浮かび上がってくることも期待できます。こうした情報共有と再利用が継続的に行われることによって、業界全体としての防御能力が向上していくことになります。

＜脅威ハンティングと脅威インテリジェンスの違い・関係性＞

脅威ハンティングと関連用語の違い・関係性

脅威インテリジェンス以外にも、脅威ハンティングと関わりの深い用語がいくつか存在しています。ここでは、それぞれとの違いや関係性について簡潔に紹介します。

ペネトレーションテストとの違い

ペネトレーションテストとは、具体的な攻撃シナリオを元にテスト対象となるシステムへの侵入（＝ペネトレーション）を試みることで、当該システムや組織の攻撃耐性を確認するテストのことを指します。

脅威ハンティングが実際の侵害の有無を調査するものなのに対し、ペネトレーションテストでは擬似的な攻撃を行い、その攻撃にシステムが耐えられるかを見ることでシステムの弱点を検証するものであるという点が大きな違いです。

関連記事：ペネトレーションテストとは？やり方や目的、脆弱性診断との違いについてわかりやすく解説！

インシデント対応との違い

インシデント対応（レスポンス）とは、サイバー攻撃などのインシデントが発生した際に行う、被害を最小限にするための一連の対応のことです。

インシデント対応が、インシデントの発生や検知を契機として開始される活動であるのに対し、脅威ハンティングはインシデントが確認されていない段階でも実施される能動的な活動です。また、前者の目的が被害の封じ込めやシステムの復旧である一方、脅威ハンティングでは潜伏する攻撃者を探すことや侵害の痕跡を見つけ出すことが目的であるという違いがあります。

関連記事：インシデント対応の4ステップとは？初動から事後までのフローをわかりやすく解説！

SOCとの関係性

SOC（ソック / Security Operation Center）とは、組織の情報システムに対する脅威を常時監視・分析する役割を担う専門チームのことです。

SOCによっては、アラートの監視や分析に加え、通常の監視では検知できない脅威を発見するために業務の一環として定期的に脅威ハンティングを実施することがあります。

能動的サイバー防御における位置付け

一般的に、能動的サイバー防御とは、サイバー攻撃が発生する前や被害が拡大する前に、リスクを低減するための対策を積極的に講じる考え方を指します。

脅威ハンティングは、攻撃を受けてから対応するのではなく、潜在的な脅威を能動的に探索する取り組みであるため、広い意味では能動的なサイバー防御を実現するための手法の一つと位置付けられます。一方、日本で用いられる「能動的サイバー防御」は、官民連携や通信情報の活用などを含む国家レベルのサイバーセキュリティ政策を指す場合もあります。

IPAの資料『脅威ハンティングのすゝめ』でも、脅威ハンティングと関係の深い要素の1つとして能動的サイバー防御が紹介されており、両者の関係性が整理されています。

脅威ハンティングに関するよくある質問（FAQ）

脅威ハンティングに関してよく寄せられる質問に回答します。

セキュリティにおける脅威ハンティングとは何ですか?

脅威ハンティングとは、既存のセキュリティ対策や検知ルールをすり抜けて組織内に侵入した可能性のある攻撃者の活動や侵害の痕跡を、ハンターが仮説に基づいて能動的に探索する活動です。通常のアラート監視では見逃される可能性のある脅威を早期に発見し、被害の拡大を防ぐことを目的としています。

脅威ハンティングと脅威インテリジェンスの違いは何ですか?

脅威ハンティングは、自組織内に潜んでいる可能性のある攻撃者の活動や侵害の兆候を発見するための活動です。一方、脅威インテリジェンスは、脅威に関する情報を収集・分析し、サイバー攻撃への対応や意思決定に役立つ知見を提供する取り組みです。

脅威インテリジェンスを基に仮説を立てて脅威ハンティングを実施することがあるなど、両者は密接に連携しています。

脅威ハンティングのプロセスは？

一般的には、「計画」「実行」「完了」の3つのフェーズで進めます。計画フェーズでは目的や調査対象を決め、実行フェーズでは仮説を基にログやテレメトリを分析して脅威を探索します。最後の完了フェーズでは結果を記録し、検知ルールや運用改善へ反映して次回のハンティングに生かします。

脅威ハンティングについて参考となるガイドラインはありますか？

日本語では、IPAが公開している『脅威ハンティング実践のすゝめ』が代表的な資料です。また、MITRE ATT&CKやNISTの各種ガイドラインも、ハンティング仮説の作成や攻撃手法の理解に広く活用されています。

脅威ハンティングはSOCがなくても実施できますか？

はい、SOCがなくても実施できます。ただし、ログの収集・分析環境や必要なデータへのアクセス、分析スキルなどが必要になります。自社で実施することが難しい場合は、MDRやSOCサービスなどの外部サービスを活用する方法もあります。

最後に

脅威ハンティングとは、既存のセキュリティ対策や検知ルールをすり抜けた攻撃者の活動や侵害の兆候を、仮説に基づいて能動的に探索する取り組みです。従来のアラート中心の監視では見逃される可能性のある脅威を早期に発見し、被害の拡大を防ぐ上で重要な役割を果たします。

効果的な脅威ハンティングを実現するためには、十分なログ収集基盤や脅威インテリジェンスの活用に加え、継続的な分析・改善を繰り返すことが重要です。また、近年はAIを活用した分析支援も進んでおり、より効率的なハンティングが可能になりつつあります。

マキナレコードでは、脅威ハンティングの重要な起点の1つとなる脅威インテリジェンスに関するツールやサービスを幅広く提供しています。詳しくは弊社ホームページをご覧いただくか、以下のボタンよりお気軽にお問い合わせください。