【リアクティブ（従来のSOC対応）】 アラート発生 → インシデント検知 → 調査・対応 → 封じ込め 問題点: すでに被害が発生している。攻撃者の滞留時間が長くなりやすい。

【プロアクティブ（脅威ハンティング）】 仮説の設定 → データ収集・分析 → 異常の発見 → 調査・対応 特徴: アラートに頼らず、人間の分析能力で潜伏する攻撃者を発見する。

仮説の情報源:

1. MITRE ATT&CK フレームワーク

   • 業界・セクター別の攻撃グループ（APT）の TTP
   • 例: 「金融セクターを狙う APT41 が使う手法は何か？」

2. 脅威インテリジェンス

   • ISAC（情報共有分析センター）からの情報
   • 商用 CTI フィード（Recorded Future、Mandiant TI など）
   • 例: 「先月公開された CVE を悪用した攻撃が増加している」

3. 過去のインシデント

   • 自社または同業他社の過去事例
   • 例: 「前回の侵害でスパイウェアが admin$ 共有経由で展開された」

4. セキュリティリサーチ・レポート

   • ベンダーのホワイトペーパー・ブログ
   • 例: 「最近報告された新しいランサムウェアの TTP を自環境で確認する」

主なデータソース:

エンドポイント:

• プロセス実行ログ（EDR、Sysmon）
• ファイル作成・変更ログ
• レジストリ変更ログ
• ネットワーク接続ログ

ネットワーク:

• ファイアウォールログ
• DNS クエリログ
• NetFlow / IPFIX データ
• プロキシログ

認証・ID:

• Active Directory ログ（イベントビューア）
• Azure AD / Entra ID サインインログ
• VPN/ZTNA アクセスログ

IOC の例:

• IP アドレス: 203.0.113.45（C2サーバー）
• ドメイン: malicious-update.example.com
• ファイルハッシュ: SHA256: a1b2c3d4e5f6…（マルウェアのハッシュ値）
• URL: http://evil.example.com/payload.exe
• レジストリキー: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Updater

問題点: IOC は攻撃者にとって変更コストが低い。IPやドメインを変えるだけで回避できる。 IOC だけでのハンティングは「Pyramid of Pain」の最下層に相当し、効果が限定的。

TTP の例（MITRE ATT&CK より）:

• T1059.001: PowerShell を使ったコマンド実行
• T1078: 正規アカウントの悪用
• T1003.001: LSASS メモリからの資格情報ダンプ
• T1486: データの暗号化（ランサムウェア）

TTP の優位性:

• 攻撃者がツールを変えても、行動パターンは変わりにくい
• 複数の攻撃キャンペーンを同じルールで検出できる
• 「Pyramid of Pain」の最上層 = 攻撃者への影響が最大

ATT&CK Navigator の活用方法:

1. 自社環境で有効な検出ルールを緑色でマッピング
2. ハンティングで調査済みの手法を黄色でマッピング
3. 自業界に対して実績のある APT グループの手法をオレンジでマッピング
4. 未カバーかつリスクが高い領域を優先的にハンティング計画に組み込む

Velociraptor クエリ（VQL）でPSExecのアーティファクトを検索

SELECT Pid, Name, CommandLine, CreateTime FROM pslist() WHERE Name =~ “PSEXESVC” OR CommandLine =~ “psexec”

最近作成された実行ファイルを検索（過去24時間）

SELECT FullPath, Size, Mtime, Ctime FROM glob(globs=“C:/Windows/Temp/*.exe”) WHERE Ctime > now() - 86400

rule Detect_Mimikatz_Strings { meta: description = “Mimikatz に特徴的な文字列を検出” author = “Threat Hunter” strings: $s1 = “sekurlsa::logonpasswords” nocase $s2 = “lsadump::sam” nocase $s3 = “privilege::debug” nocase $s4 = “mimikatz” nocase wide ascii condition: 2 of ($s*) }

title: PSExec Remote Execution Detection status: stable description: PSExec によるリモート実行の検出 logsource: product: windows service: system detection: selection: EventID: 7045 ServiceName: ‘PSEXESVC’ condition: selection falsepositives:

• Legitimate use by system administrators level: high tags:
• attack.lateral_movement
• attack.t1021.002

Splunk で PSExec の痕跡を調査するクエリ

index=windows EventID=7045 | where ServiceName=“PSEXESVC” | table _time, host, ServiceName, ImagePath, StartType, AccountName | sort -_time

Elastic / OpenSearch でのクエリ（EQL）

event.code: “7045” AND winlog.event_data.ServiceName: “PSEXESVC”

Sysmon イベント ID 7（ImageLoaded）を使った検出

正規の Windows ディレクトリ以外からの DLL ロードを検出

index=sysmon EventCode=7 | where NOT (ImageLoaded LIKE “C:\Windows\%” OR ImageLoaded LIKE “C:\Program Files\%”) | stats count by Image, ImageLoaded, host | where count < 5 | sort -count

PowerShell でのプロセスの DLL 一覧確認

Get-Process | ForEach-Object { $proc = $_ $proc.Modules | Where-Object { $.FileName -notlike “C:\Windows*” -and $.FileName -notlike “C:\Program Files*” } | Select-Object @{N=“Process”;E={$proc.Name}}, FileName }