脅威ハンティング は、セキュリティ運用ワークフローにおいて、最もリソースを消費する活動の一つです。 これには、仮説を立て、広範な環境全体から証拠を探し出し、不要な情報を排除し、他者が行動に移せるような形で調査結果を文書化できる、熟練したアナリストが必要です。 TaniumのHuntIQチーム（ ）は、お客様の環境において実践的な対応を行っており、Threat Navigatorは、そうした実務のワークフローを直接反映して構築されました。これにより、Taniumコンソール上でプロセスがより迅速に、より協調的に、そしてより再現性高く行えるようになりました。
ダンカン氏は、Threat Navigatorの3つの主要な構成要素、すなわち「検索」、「仮説」、「MITRE手法」について、それぞれ詳しく解説します。 彼は、情報を事前に配布したり、ログの集約を待ったりすることなく、IOCやSignalの構文を用いてリアルタイムで環境を調査する方法を示しています。 また、反復作業を通じて、ハンターが結果を段階的に絞り込み、実際に重要な情報を引き出すことができる仕組みや、完了したハンティングの結果を、継続的な検知のためのシグナルとして直接活用する方法についても説明しています。
の脅威ハンティング運用 を担当されている方、あるいはTaniumがどのようにしてエンタープライズ規模での予防的なセキュリティ対策をより利用しやすくしているのかを理解したい方に向けて、今回のエピソードでは、個々の検知結果の固定から、他の追跡ツールで使用するための仮説のエクスポートに至るまで、Threat Navigatorの具体的な仕組みについて解説いたします。 以下のリンクから、エピソードの全編をご覧ください。
キーポイント
- 実際のHuntIQのワークフローに基づいて設計されています： Threat Navigatorは、Taniumの であるHuntIQハンターと共同で開発されました。彼らが顧客環境で（多くの場合、コンソール外で）使用しているワークフローを取り入れ、Taniumコンソール内に統合したものです。
「これは、顧客環境で（多くの場合、コンソール外で）使用しているワークフローを、Taniumコンソール内に移行しようとする試みです。」Taniumのシニア・スレット・ハンター、ダンカン・ミラー氏
- 情報を事前に配布することなく、環境全体で検索を実行します： IOC または Signal 構文を使用することで、情報を事前に配布することなく、ログを収集することなく、またアラートを生成することなく、環境全体で検索を実行できます。そのため、アラート発行というよりは、脅威のハンティングに適しています。
「IOC構文やSignal構文を使用することで、情報を事前に配布したり、ログを収集してその集計を待ったりすることなく、環境全体を対象とした検索を実際に構築することができます。」Taniumのシニア・スレット・ハンター、ダンカン・ミラー氏
- 反復処理により、検索結果が徐々に絞り込まれていきます： アクティブな検索ごとに最大5回の反復処理結果が保存されるため、検索担当者は問題がないと判明した結果を除外し、検索を再実行して本当に重要な情報を抽出することができます。検索結果の総数は 10,000 件まで、ホストあたり最大100 件までとなります。
- ピン留め機能により、特定の時点での調査結果を保存できます： ハンターは、検索結果から特定の項目をピン留めすることで、そのデータが消去された場合でも保存することができます。これにより、さらなる調査が必要な重要な調査結果や、悪意のあるものと確認された調査結果について、特定の時点での参照情報を保持することができます。 アイテムをピン留めすると、そのイテレーションも自動的に保存されます。
- Hypotheses グループ検索とエクスポート機能： Hypotheses は、複数の関連する検索をまとめるコンテナとして機能し、Markdown ファイルとしてエクスポートできるため、ハンターは要約を他の追跡ツールに直接貼り付けることができます。 PDFへの書き出し機能も予定されています。
- 共同ハンティングは組織的な知見を蓄積します： Taniumコンソールには検索履歴や操作の経緯が保存されるため、チームメンバーは他のメンバーが中断した箇所から作業を引き継ぐことができ、より 共同ハンティングに適した環境 が実現されます。これにより、チーム全員がこれまでの作業内容を確認し、興味深いアーティファクトを見つけたり、検索条件をより迅速に絞り込んだりすることが可能になります。
- ハントはすぐに検出機能へと変化します： ハントで悪意のあるものが検出されると、「シグナルを作成」ボタンを使用してその検索をシグナルに変換することができ、これにより、その都度人がデータを確認する必要なく、1回限りのハントを繰り返し可能な自動検出機能へと変えることができます。
「狩猟は、基本的に費用のかかる活動です。」 データの確認は、必ず誰かが行わなければなりません。 今、目の前にあるものが何なのかを理解しなければなりません。 ハンティングを完了し、そのハンティングで何か悪意のあるものが見つかった場合、そのハンティングを再度実行することもありますが、以前見つけたものと同じものを再び見つけることになってはいけませんよね？”Taniumのシニア・スレット・ハンター、ダンカン・ミラー氏
その他の参考資料
- エンドポイントの検知、調査、および是正措置のための「Tanium Threat Response」：Tanium Threat Response により、セキュリティチームが環境内のすべてのエンドポイントにわたる脅威を検知、調査、および対応できるようになる仕組みについてご覧ください。
- HuntIQが専門家主導の脅威ハンティングを実現する方法：TaniumのHuntIQサービスが、被害が発生する前に高度な脅威を検知するよう設計された専門家主導の脅威ハンティングを通じて、セキュリティ運用をどのように強化しているかをご紹介します。
- Tanium Threat Response を活用した実世界の検知事例：本シリーズは全3回にわたり、行動ベースの脅威ハンティングやIOCスキャンから、企業全体にわたる複数の脅威インテリジェンス情報源の活用に至るまで、お客様がTaniumを活用してインシデント、侵害、セキュリティ違反を検知する方法について解説します。
Taniumの計画、方向性、および意図に関するTaniumの声明および内容は、Taniumの独自の裁量により、予告なく変更される場合があります。 将来の製品または機能に関する情報は、Taniumの製品の一般的な方向性を示すことを目的としたものであり、購入の判断の根拠とすべきではなく、いかなる契約にも組み込まれるものではありません。 これらは、確約、約束、または法的義務ではありません。 将来の製品または機能の開発、リリース、および時期は、Taniumの単独の裁量に委ねられます。
