脅威ハンティング（Threat Hunting）

脅威ハンティングは、既存の警告を待つだけでなく、組織内に検知されず潜伏している脅威があるという仮説を立て、ログや端末情報などを能動的に探索する活動です。

■ 試験で押さえるポイント

• 脅威情報、攻撃者の戦術・技術、環境固有の弱点、過去のインシデントなどから、検証可能な仮説を作ります。

• 端末、ネットワーク、認証、クラウドなどの情報を横断して検索し、通常と異なるプロセス、通信、権限利用などの証拠を追跡します。

• 疑わしい事象を見つけた場合は、追加調査、封じ込め、インシデント対応へつなげます。見つからなかった場合も、収集情報の不足や検知可能範囲を評価します。

• 得られた知見をSIEMやEDRの新しい検知規則、監視項目、対応手順へ反映し、継続的に検知能力を改善します。

■ 過去問での着眼点

脅威ハンティングは、仮説に基づいて潜伏する脅威を能動的に探索し、検知規則の改善へつなげます。装置が自動的に出した警告の処理だけではなく、人が仮説を立てて情報を横断調査する点に注目します。仮説駆動の能動的な探索が脅威ハンティングの特徴です。

例: 正規の管理ツールが攻撃に悪用されたという仮説を立て、全端末の実行履歴と外部通信を検索し、不審な利用を調査します。