ウクライナが包囲状態に置かれ、ロシアが仕掛けるサイバー攻撃がもはや単なる懸念や可能性にとどまらず、現実の脅威となっている今、サイバーセキュリティの防御担当者にかかるプレッシャーはかつてないほど高まっています。
ウクライナの情勢は深刻であり、 の最近の報道 によると、同国の政府当局者は、インフラの保護やロシア軍に対するスパイ活動の実施を支援するため、国内のハッカー・アンダーグラウンドのボランティアたちに協力を求め始めたとのことです。 ウクライナは現在、守勢に立たされています。これは、全面戦争に巻き込まれていなくても、多くのサイバーセキュリティの専門家や、企業の経営陣、そして取締役会にとって馴染み深い状況です。
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、 企業や組織向けに、 ロシアによるサイバー攻撃が重要インフラや金融機関を脅かす事態に備えて防御体制を強化するための指針を発表しました。 それは参考になりますが、同時に、ある不都合な真実も浮き彫りにしています。ネットワークのサイバーセキュリティに関しては、私たちは守勢に回っているのです。
サイバーセキュリティの専門家たちは、今こそその状況を一変させるべき時だと述べています。
理論上、その転換点はかなり単純です。受動的な対応をやめ、可能な限りセキュリティ対策において能動的になることです。 実際には、もっと難しいものですが――そこで、 の脅威ハンティング のノウハウが役立ちます。
脅威ハンターとは、システムやネットワークを徹底的に調査し、深刻な被害が発生する前に攻撃者を摘発するサイバーセキュリティの専門家です。 彼らを、御社の組織独自の海軍特殊部隊「
SEAL」のような存在だとお考えください。
脅威ハンターは、脅威アクター――オタク気質のハッカーであれ、理想に駆られたハクティビストであれ、あるいは国家が支援する秘密工作員のような存在であれ――が、予測可能かつ特定可能な独自の戦術、手法、手順を用いて企業に接近してくることを理解しています。 脅威ハンター は、自らが防御している環境 および敵対者の考えられる戦略について分析しています。 そして、
、彼らは狩りに出かけます！
もちろん、効果的な脅威ハンティングはチームワークが不可欠であり、適切な人材が揃っている必要があります。 理想的な脅威ハンティングチームを構築するには、5つの基本要素が必要です。 以下は、「狩る者たちを狩る」方法に関する入門編とお考えください。
1. ダイバーシティ――それは単なる流行語ではありません
「偉大な人々の考えは似ている」という証拠は、これまで一度でもあったのでしょうか？ 集団思考は、効果的な脅威ハンティングチームの敵です。 「多様なチームほど、より良い成果が得られます」と、Tanium社の エンドポイントセキュリティ 担当リサーチスペシャリスト、メリッサ・ビショピング氏は述べています。
「多様性のあるチームはより良い成果を生み出します。」タニウムのエンドポイントセキュリティ研究スペシャリスト、メリッサ・ビショピング氏
「同じバックグラウンドを持つメンバーが多すぎるチームを想像してみてください。」 その結果、おそらくこうなるでしょう。同じ朝食を食べ、同じブランドの商品を購入し、同じポッドキャストをダウンロードし、同じ不満をツイートする人々のグループが生まれ、彼らは、自分たちとまったく同じように食事や買い物、ダウンロード、不満の吐露をする人々に囲まれることになるのです。
同質的なグループでは、人々は「 他にも考慮すべき視点があるかもしれない ことを忘れがちだ」と彼女は述べています。
専門家によると、企業がさまざまな専門的背景や の経験レベルを持つ脅威ハンターを採用すると、チームの問題解決能力が向上するとのことです。 こうした経歴には、軍事情報、データサイエンス、従来型の技術、あるいはレッドチーム、ブルーチーム、パープルチーム（それぞれ、システムの攻撃、防御、およびその両方の知見を組み合わせた専門知識を持つセキュリティテスター）など、多岐にわたるものがあります。
技術的な専門知識がほとんどない、あるいはまったくない方であっても、検討に値する存在です。 「このように多様な背景を持つ人々が集まると、他の人たちは『そんな質問ができることすら知らなかった』というような質問を投げかけるようになるのです」と、ビショピング氏は説明しています。
[関連記事：サイバーセキュリティ分野における次世代の女性を支援する]
さまざまな年齢層や社会経済的背景を持つ専門家を採用すること は、「各人が持つ多様なアイデアや脅威に関する経験を活かす」ためにも不可欠であると、『 Business Security Audit & Review Toolkit』 の共著者であり、Financial Examinations and Evaluations, Inc. の社長である L. バーク・ファイルズ氏は述べています。 「創造性を発揮し、限界を少し押し広げようとしてくれる人材を見つけましょう」とファイルズ氏は述べています。
要点： 問題解決能力を高め、集団思考を回避するためには、多様な人材で構成された脅威ハンターチームが不可欠です。
2。 ソフトスキル――それは、皆さんが思っている以上に難しいものです
脅威ハンティングとは、既知および未知の活動をネットワーク内から徹底的に探し出す作業であり、これには時間と決意、そしてしばしば過小評価されがちですが不可欠な要素である「忍耐」が必要となります。
「問題を真に解決したいと願うには、必要なスキルと忍耐力を持った人物が必要です。」Set SolutionsのCTO、マイケル・ファーナム氏
「問題を真に解決したいという意欲を持ち、そのためのスキルと忍耐力を兼ね備えた人材が必要です」と、Set SolutionsのCTOであるマイケル・ファーナム氏は述べています。 「そうした人たちは、CTFに参加するのが好きな傾向があります」と彼は指摘します。ここで彼が言及しているのは、さまざまな「キャプチャー・ザ・フラッグ（Capture the Flag）」競技のことで、セキュリティをテーマにした課題に成功したプレイヤーには「フラグ」が報酬として与えられます。 「余暇にそれを楽しんでやっている人を探すべきです」と彼は言います。
こうした課題や、脅威ハンティング全般においては、必然的に多くの質問を投げかけることになります。 Taniumのエンドポイントセキュリティ担当ディレクター、ダンカン・ミラー氏は、優れた脅威ハンターは生まれつき好奇心旺盛で、卓越した問題解決能力と探求の才能を備えていると指摘しています。 彼らは鋭い観察眼を持ち、直感に従う勇気のある人々です――その直感がどこへ導こうとも。
「脅威ハンターは、時には失敗しても構わないという覚悟が必要です」とミラー氏は述べています。 「もし彼らが真の『未知の未知』の活動を突き止めようとしているのであれば、直感が外れてしまうことも多々あるでしょう。」 「それでいいんです。」
TRG Datacentersのシニアネットワークエンジニアであるエリック・マギー氏は、脅威ハンターが備えておくべきその他の一般的なスキルとして、演繹的推論、迅速な パターン認識、そして自身の認知バイアスを回避する能力などを挙げています。
「『ソフトスキル』という言葉は嫌いです」と、ビショピング氏は、非技術的なスキルについて言及する際に付け加えました。 「これらは極めて重要なスキルです」と彼女は言います。
要点： 脅威ハンティングを成功させるには、技術的な知識だけでは不十分です。 それには、忍耐力やリスクを厭わない姿勢といった、さらに高度なソフトスキルが求められます。
3。 環境への意識――ただし、リサイクルのことではありません
どの業界にも、それぞれ特有の側面があり、それらが異なる種類の攻撃者や防御者の双方を引き寄せています。 そのため、銀行、 、学校、 、医療センター、あるいは 、エネルギー供給事業者 では、サイバーセキュリティの要件や戦略がそれぞれ異なります。
「私たちは、SCADA（監視制御・データ収集）のような産業用システムや、例えば石油・ガス業界における産業用制御システムについて話しています」とビショピング氏は述べています。 「そうした環境での狩猟は、銀行や病院での狩猟とはかなり様相が異なります。」 ですから、特定の脅威ハンターがどのような環境で活動しているのかを深く理解することが重要です。」
そのような環境意識を醸成する優れた方法の一つは、脅威ハンターたちが業界をまたいで連携することです。
[関連記事：新たな調査――サイバーセキュリティの専門家には、効果的な脅威管理に必要な可視性と迅速性が欠けている]
「これは、信頼や人間関係が単なる知性よりも重要になることがある貴社の業界において、特に重要なことです」と、サイバーセキュリティ投資会社「Gula Tech Adventures」の社長兼共同創業者であるロン・グラ氏は述べています。 「これにより、御社のハンターたちは他者から学び、その知見を組織に還元することができるようになります。」
要点： 業界ごとにビジネステクノロジーやシステムは大きく異なるため、脅威ハンティングチームにとっては、あらゆるレベルで自業界を徹底的に理解することが極めて重要です。
4。 生涯学習――始めるのに早すぎるということはありません
テクノロジーは絶えず進化しており、攻撃者も常に変化し、手口を洗練させています。 したがって、脅威ハンティングチームが極めて高い効果を発揮するための唯一の方法は、研究に励むことです。 もう一度勉強してください。 そして、もう少し勉強しましょう。
「現在、サイバーセキュリティ分野では人材確保が緊急の課題となっているため、[これ]に注力することがこれまで以上に重要になっています。」451 Researchの情報セキュリティ研究責任者、スコット・クロフォード氏
「現在、サイバーセキュリティ分野では のような人材不足の緊急事態が発生しているため、[これ]に注力することがこれまで以上に重要になっています」と、 451 Researchの情報セキュリティ研究責任者であるスコット・クロフォード氏は述べています。
では、具体的にどのような教育のことを指しているのでしょうか？ もちろん、ネットワーク、データフォレンジック、データ分析、アプリケーションセキュリティ、マルウェア分析、エンドポイントシステムの内部構造といった技術的なスキルを習得するとともに、防御対象となるシステムに関する徹底した知識も身につける必要があります。 「効果的な脅威ハンティングに寄与することがわかっている要素は、数え切れないほどあります」とクロフォード氏は述べています。
TRG DatacentersのMcGee氏は、セキュリティ部門の責任者は、社内の脅威ハンターに対し、脅威ハンティングのワークショップや、「Certified Cyber Threat Hunter（CCTH）」などの受講可能なコース、および認定試験への参加機会を提供することで、こうしたスキルを育成できると指摘しています。 CCTH試験（ のブートキャンプ で受講可能）に加え、その他の認定資格としては、 、CompTIA Security+ （この分野に初めて取り組む方に適しています）、GIACのサイバー脅威インテリジェンス （サイバーセキュリティ認定の主要プロバイダーであるGIACが発行）、およびISACAの認定情報セキュリティマネージャー プログラムなどが挙げられます。
要点： エンタープライズ技術のあらゆる要素は進化し続けています。つまり、脅威ハンターもその有効性を維持するためには、同様に進化していかなければなりません。
5。 実地訓練――現実的であればあるほど良い
軍が実弾を使って訓練を行う理由の一つは、新兵に武器の操作に慣れさせるためであり、それは彼らがまもなく直面することになる実戦状況を最も忠実に再現した環境下で行われるからです。
「現実的な攻撃者のエミュレーションは、脅威ハンターとしてのスキルを確実に磨くための優れた方法です」と、グーラ氏は述べています。 「シミュレーションが現実的であればあるほど、チームの準備は万全になり、自信も深まります。」
脅威ハンターにとって、その準備には、攻撃的なトレーニングを目的としたCTF大会への参加や、机上演習への参加などが含まれる可能性があります。 グーラ氏は、このような練習がチームトレーニングの中心であると述べています。
また、基本的なマルウェアや、高度な持続的脅威（APT）――通常はステルス性を重視する国家主体によるもの――の反復的な戦略をシミュレートする敵対者エミュレーション・プラットフォームも、訓練をより現実的なものにすると、同氏は述べています。 「サイバーレンジも素晴らしいですが、自分のツールを使ってネットワーク上で作業するほうが、はるかに効果的です。」
Mitre社の「Adversary Emulation Plans」などのツールは、脅威ハンターや防御担当者が、攻撃者の行動をモデル化する際に広く利用されている知識ベースである「 Mitre ATT&CK （Adversarial Tactics, Techniques, and Common Knowledge）」フレームワークをどのように活用できるかを示しています。
この種のトレーニングは、脅威ハンターが攻撃の手口（
）について常に最新の情報を把握するために不可欠です。それは、彼らが
追跡しようとしている相手たちが用いているのと同じ手口なのです。
要点： 脅威ハンティングのトレーニングは、ハンターが実世界の脅威を特定するために必要なスキルを身につけられるよう、可能な限り現実的なものにしてください。
のIBM Securityレポート『』によると、ハッカーはネットワークに侵入した後、平均して 280 日間、検知を免れることができるとのことです。 脅威ハンターは、その状況を大幅に改善することができます。 もちろん、成功の中にも失敗はつきものですが、適切なチームを編成し、環境内の潜在的な脅威を追跡するための余地を与えてあげれば、彼らは脅威アクターが被害をもたらす前にその正体を突き止めることができるでしょう。
