Threat Hunting Engagementの範囲

貴社のチームがすでに利用できるテレメトリーで、特定のセキュリティ上の問いに答えられるでしょうか。Threat Hunting Engagementは、合意したエンドポイント、ID、クラウド、ネットワーク、アプリケーションの証跡を対象に、その問いを検討するために設計された、期間を限定した仮説主導のレビューです。合意した証跡を調べて侵害、マルウェア、不審な活動の兆候を探し、その証跡が裏付ける内容を報告します。その価値は、選定した証跡で何を裏付けられるか、何を裏付けられないか、何が実務的な次のステップに値するかを規律をもってレビューすることにあります。結果は、仮説、テレメトリーの可視性、保存期間、アクセス方法、証跡の品質、機密性に関する制約、合意したハンティング期間に左右されます。

何であるのか

本作業は、合意した少数の仮説を軸に構成されます。ハンティングの前に、テレメトリーのソース、保存期間、アクセス方法、機密性の境界、指名された連絡先、必要な場合のプロバイダーの承認、指摘事項が支えるべき判断を双方で特定します。アナリストは不審なパターンと関連するIOCやIOAのアーティファクトを確認し、入手可能な証跡の範囲内で、情報提供レベル、不審、確認済みの注目対象に分類します。報告書には、指摘事項、優先事項、制約とともに、検知とテレメトリーのギャップを記録します。焦点を絞った期間限定のハンティングであり、監視、インシデント対応、証拠解析調査、是正は、必要に応じて別途の体制で対応します。

誰のために

ハンティングは、次のようなチームに有用です。

既存のテレメトリーで答えられる可能性のある、明確な懸念や仮説があるチーム
合意したエンドポイント、ID、クラウド、ネットワーク、アプリケーションの証跡を、限られたレビュー期間中に提供できるチーム
情報提供レベルのシグナル、不審なパターン、指名された担当者によるフォローアップが必要な項目を、体系的に区別する必要があるチーム
より広範な監視、対応、エンジニアリングの作業を選ぶ前に、テレメトリーと検知のギャップを把握したいチーム

明確にするのに役立つこと

本ハンティングで明確にできること：

合意したソース、保存期間、アクセス、証跡の品質から、どの仮説を合理的に検討できるか
レビューの境界内で、どのパターンやアーティファクトが情報提供レベル、不審、確認済みの注目対象にあたるか
ログの欠落、短い保存期間、権限、プロバイダーの制限、機密性の制約によって確度が下がる箇所
適切な担当者が次に取り組むべき検知、調査、運用、対応に関する問い

含まれる内容

確定した仮説、テレメトリーのソース、保存期間、アクセス方法、機密性の制約、指名された連絡先、必要な場合のプロバイダーとの調整、ハンティング期間
関連するパターンとIOCやIOAのアーティファクトを対象とした、合意したエンドポイント、ID、クラウド、ネットワーク、アプリケーションのテレメトリーのレビュー
情報提供レベル、不審、確認済みの注目対象の資料についての、証跡に基づくトリアージ
検知とテレメトリーのギャップ、範囲の制約、指摘事項、優先順位付きのフォローアップの文書化
指名された関係者との合同の振り返り（証跡、不確実性、エスカレーション、次の問いについての協議）

含まれていないもの

継続的監視、MDR、常時稼働のSOC運用、オンコールのアラート対応、エージェントやログ収集の自動導入
リアルタイムのインシデント対応、実地での封じ込め、復旧作業の実施、是正の実施、完全な証拠解析調査
侵害、マルウェア、根本原因、脅威、不審な行為の発見、または環境がクリーンであることの確約
認証、あらゆる検知の網羅、合意した期間と証跡の境界外にあるソースのレビュー

それを選ぶべきとき

事業として焦点を絞った問いを示せる場合にハンティングをお選びください。たとえば、定義したテレメトリーの中にあるパターンが見えるか、既知の指標に関連性があるか、統制のギャップについてより良い証跡が必要か、といった問いです。ログ収集の変更後、関係者から懸念が提起されたとき、あるいは運用モデルを拡大する必要があるかを判断する前に有用です。緊急時には、緊急対応の体制が適切な手段です。作業中に進行中のインシデントの兆候が見つかった場合は、指名された連絡先にエスカレーションし、別途範囲を定めた対応支援が必要になることがあります。

私たちのアプローチ

ハンティングは、明確な問いから始まります。仮説について合意し、入手可能な証跡のマップ（ソース、保存期間、アクセス経路、機密性の制限、プロバイダーの条件、連絡先、期間）をまとめます。そのうえでアナリストは承認された証跡をたどり、観測結果と確定した結論との区別を保ちます。欠落しているデータソースは、否定的な結果として扱うのではなく、ギャップとして記録します。振り返りでは、簡潔な指摘事項の説明、関連するアーティファクト、検知に関する所見、制約、優先順位付きのフォローアップをお渡しします。この記録は、チューニング、テレメトリーの追加、調査、対応、別途のエンゲージメントについて、十分な情報に基づいて選択するのに役立ちます。報告書には、実際のレビュー条件として、証跡が利用可能だった時期、可視化できなかったシステム、保存期間やアクセスが結果に影響した可能性も記録します。これにより、セキュリティ責任者は、ハンティングを通常の運用と比較し、それが監視プログラムをどう補完するかを確認できます。次回のハンティングは、新たな問い、ソースの変更、判断の節目がある場合にのみ検討できます。

Threat Hunting Engagementサービスページを見る