セキュリティ運用チームは、常に次のような課題に直面しています。ツールは整っており、アラートも次々と届いているものの、データから明らかになった事象に対処するための専門知識やリソースが、往々にして不足しているのです。
HuntIQ は、そのギャップを埋めるためにTaniumが提供するソリューションです。これは、Guardianの高度な調査ダッシュボード、 Tanium Security Operationsの機能、そして顧客環境に直接常駐し、 12 ヶ月間にわたり実務経験豊富な脅威ハンターが活動する、3つの要素からなる高度なサポートオプションです。
Taniumの脅威ハンティング担当ディレクターであるマイケル・ベイリー氏は、 20 年以上にわたる経験（国防総省における国家レベルのマルウェアおよびパケット分析を含む）を活かし、この取り組みを主導するとともに、を通じて、企業環境において大規模に展開されるプロアクティブな脅威ハンティング がどのようなものかを定義しています。
今回のエピソードでは、マイケルが、HuntIQとは何か、その3つの構成要素がどのように連携しているか、そして実際のエンゲージメントモデルがどのようなものかについて解説します。 同氏は、脅威ハンターがデータ主導型、インテリジェンス主導型、エンティティ主導型、およびTTPベースのアプローチを用いて仮説を立てている仕組みや、多くの短期的なセキュリティ契約では提供できないような価値を創出する上で、なぜ12か月の契約モデルが極めて重要であるかを説明しています。 また、彼は、多くのセキュリティ担当者がHuntIQについて初めて耳にした際に抱く疑問、すなわち「このチームは、私の既存のスタッフに取って代わるのでしょうか？」という点についても言及しています。
また、マイケル氏は、Taniumのリアルタイムデータ収集機能とJupyter Notebookベースのハンターツールが、仮説の立案から分析、そして再現性のある文書化された検知に至るまでの、脅威ハンティングのワークフロー全体をどのようにサポートしているかについても解説しています。
セキュリティチームが、Taniumへの投資を最大限に活用できなかったり、環境全体の可視性の不足に対処できずにいる場合は、このエピソードは必見です。 以下のリンクから、エピソードの全編をご覧ください。
キーポイント
- HuntIQの3つの構成要素：HuntIQは、 のGuardian先進研究チーム （経営幹部やセキュリティチームに資産に関する関連情報を提供するGuardianダッシュボードを作成しています）、Taniumのセキュリティ運用製品（IR製品であるDirect Response。現在はSecurity Operationsへと進化しています）、そして12 ヶ月間にわたり顧客環境に常駐し、実践的な脅威ハンティングを行う経験豊富な専門家たちで構成されています。
- 12ヶ月間の契約モデル「」：短期的な「調査・報告」型の契約とは異なり、HuntIQのハンターは 12 ヶ月をかけて、お客様のビジネスユースケース、課題、および能力を深く理解します。お客様からは、このサービスから得られる価値の主な源泉として、「エンパワーメント」がしばしば挙げられています。
「セキュリティ業界について私が嫌っている点の一つは、こういう感じなんです。『ねえ、お金を払ってよ。』 「これからお伺いして、いくつかスキャンを実行し、製品をお渡しして、そのまま帰りますね、そうですよね？」「ごく短期の契約ですが、私たちの業務内容は大きく異なります。」Taniumの脅威ハンティング担当ディレクター、マイケル・ベイリー氏
- のプライベートプレビューによる実際の導入実績：初期の導入事例では、従来のセキュリティツールでは死角となっていた環境においても、HuntIQが暗号通貨マイニングを含む悪意のあるドライバーの活動を検知できることが実証されました。
「この1つの顧客について 46,000 個のドライバーを調査したところ、16 個の潜在的に悪意のあるドライバーが見つかりました。 その一部は、彼らの環境内で実施されていた、特に仮想通貨のマイニングでした。”Taniumの脅威ハンティング担当ディレクター、マイケル・ベイリー氏
- チームを補完し、置き換えるものではありません：HuntIQのハンターは、既存のセキュリティ担当者と直接連携し、TaniumのAPIや高度なツールの使い方を指導するとともに、チームが開発したハンター用ツールを顧客に提供します。そのため、この取り組みの価値は、個々のハンティング活動にとどまらず、はるかに広い範囲に及びます。
「私たちは、彼らの仕事を奪うためにそこへ行くわけではありません。」 私たちは、彼らのチームの一員として、彼らが活躍できるようサポートしています。”Taniumの脅威ハンティング担当ディレクター、マイケル・ベイリー氏
- 脅威ハンティングの仮説の分類：ハンティングは、データに基づく観察結果、インテリジェンスフィード、組織にとって最も重要な事項に関するエンティティ主導の知見、高度持続的脅威（APT）のTTP（戦術・技術・手順）、あるいはこれらすべてのハイブリッドな組み合わせに基づいて構築されます。中でも、エンティティ主導のハンティングは、顧客の環境に対する深い理解が必要とされるため、重要な差別化要因として注目されています。
- 可視性の中核となるソースとしてのTanium：Taniumは、組織が セキュリティスタック全体におけるエンドポイントの可視性のギャップ を調査し、データの検証を行い、他のツールから提起された疑問に答え、場合によっては他の場所では明らかになっていなかったデータの収集を支援します。その一例として、既存の制御では特定されていなかった悪意のあるショートカットに関する 2023 社の顧客事例が挙げられます。
- ハンターツールとしてのJupyter Notebooks：HuntIQチームは、データ分析にJupyter NotebooksとPythonを活用し、再現性があり、文書化されたハンティング手順を作成しています。これらは顧客に直接提供できるほか、Taniumのエンジニアリングチームにフィードバックされ、製品自体への組み込みが検討されることもあります。
その他の参考資料
- Tanium Threat Responseのエンドポイント検出・対応機能：HuntIQのセキュリティ運用コンポーネントの中核をなすTanium製品について、エンドポイント環境全体における検出、調査、対応をどのように支援しているかを含め、詳しくご覧ください。
- Tanium HuntIQが、企業のセキュリティチームに専門家主導の脅威ハンティングをどのように提供するか：HuntIQの詳細と、Taniumの専門家チームがセキュリティチームと連携して、高度な脅威を先制的に発見し、セキュリティ運用を強化する方法について詳しくご紹介します。
- Tanium Threat Response 4.12 ユーザーガイド（インシデントの検出、調査、および対応）：アラート管理、検出、およびエンドポイント調査のために Tanium Threat Response を設定および使用する方法について解説した技術ドキュメントです。
