これまでのあらすじ
「Hunt or be Hunted」シリーズでは、一貫して次のようなストーリーを伝えてきました。HuntIQの脅威ハンターが顧客の環境に赴き、ハンティングを実施し、重要な発見をするというものです。 ShieldBreak。 FalconFlank。 RunMRU。 それらの投稿のすべてにおいて、私たちは同じ質問を繰り返し受けました。「自分の環境でこれを実行するにはどうすればよいですか？」というものです。
それこそが、HuntIQ Tradecraftの役割です。
HuntIQ Tradecraftとは
HuntIQ Tradecraftは、TRCで公開されている、ハントのプレイブックを集めた、拡大を続けるライブラリです。 各記事は、お客様の環境において実際に脅威ハンティングを実施している脅威ハンターたちによって執筆されており、それぞれの記事には、ご自身の環境においてそのハンティングを実行するために必要な情報が記載されています：
- 仮説「 」――ハントがどのような攻撃者の行動を探しているのか、そしてその理由について。
- センサーに関する質問 — 実行すべきTaniumの正確なクエリです。
- フィルタリング手法「 」――信号を損なうことなくノイズを低減する方法。
- ATT&CKマッピング — これにより、既存のコンテンツで既にカバーされている内容と比較することができます。
- 誤検知のパターン — 一見不審に見える正当な活動と、その見分け方について。
- 前提条件と制限 — 「ハント」が機能するために満たすべき条件、および「ハント」によって何が判明し、何が判明しないかについて。
宣伝資料ではありません。 プレイブック。 弁護人のために、弁護人が使う言葉で書かれています。
中身の一例をいくつかご紹介します
本日生放送：
- 「ボリュームこそが手がかり」 — アラート音そのものが手がかりとなるハンティングです。 そのパターンの特徴、ルールベースの検出ではなぜ見逃されてしまうのか、そしてTaniumでどのようにそれを可視化しているのか。
- Tanium を使用して、ユーザーが書き込み可能なディレクトリから実行されるハンティングサービス — ほとんどの SOC が決してハンティングを行わない、永続化および権限昇格のプリミティブです。 Taniumの具体的なセンサーと、それを明らかにするクエリです。
今後数週間のうちに公開予定：
- 「 」に適用するパッチがない場合のTerminalFixの検索方法 — KB番号ではなく動作上の修正である場合に、何を検索すべきか。
- Taniumの を活用して、COMハイジャックやCLSIDの悪用を検知します。これは、ほとんどのルールベースの検知をすり抜ける、目立ちにくく、高い価値を持つ永続化プリミティブです。
- 代替データストリーム（ADS）の探索 — ほとんどのツールが検査しないNTFSの領域です。
- のDLLサイドローディング — 誰もがDLLを読み込んでいるため、この防御回避手法は今もなお機能し続けています。
- WMI イベントサブスクリプションの永続化 — 通常の自動実行の範囲外で活動する、高度な攻撃者の足掛かりです。
- RunMRUによる認証情報の漏洩 — ユーザーが実際に入力する場所を特定し、当初の仮説を超えて何が検出されるかを探ります。
カタログは今後も増え続けていきます。 顧客環境においてその価値を証明したハンティングは、最終的にここに行き着くことになります。
HuntIQサービスの活用場面
HuntIQ Tradecraftは、Taniumをご利用のお客様ならどなたでも、すぐに使い始めることができます。 「HuntIQ」というサービスは、それを開発した人々そのものです。
HuntIQをご利用いただくと、脅威ハンターの専門家が、お客様のTanium環境内で、お客様と密接に連携しながら実務に携わります。 彼らはHuntIQ Tradecraftでプレイブックを実行しています。 彼らは、お客様の検出対象を調整いたします。 彼らは、攻撃者が他の場所で行っている手口に対抗する新たな検知ルールを構築しています。 そして、Taniumの自律型オペレーティングシステム「Atlas」を活用し、仮説が具体化したその瞬間に、関連するすべてのTanium機能を全環境に並行して展開します。 以前は、トリアージ、範囲の特定、相関分析、および封じ込めに数時間を要していましたが、現在では数分で完了し、ワンクリックで承認できるよう体系化された結論が提示されます。
Taniumのお客様には、その手法が公開されています。 その裁きこそが奉仕なのです。 その両方がお求めなら、HuntIQがまさにその答えです。
ご自身の環境でHuntIQ Tradecraftを活用する方法
- 、help.tanium.com、 （新しいタブで開きます）、、 にアクセスし、「HuntIQ Tradecraft」へ移動してください。
- ご自身のチームに存在するカバーの穴に対応できるプレイブックを選んでください。 仮説をお読みください。 ご自身の資産について、この質問を当てはめてみてください。 フィルタリングの手順を順を追って進めてください。
- 既存のコンテンツとATT&CKの対応関係をご確認ください。 もし、現在実行しているものの中に、その手法を同じようにカバーしているものがなければ、新しい検知ルールを追加する必要があります。
- 当社のハンターたちが現在発見している情報をもとに、新たなトレードクラフトに関する記事が定期的に公開されますので、ぜひまたお立ち寄りください。
狩りを始めましょう
- TRCのHuntIQ Tradecraftプレイブックは、 （新しいタブで開きます）、、 （Taniumのお客様で、TRCへのアクセス権限が必要です）でご覧いただけます。
- HuntIQサービスについて詳しくはこちらをご覧ください：。
- Taniumのブログ「 ：Hunt or be Hunted」シリーズ（ ）をご覧いただき、その手法の背景にある、顧客名を伏せた実例をご覧ください。
