(2019/09/09)の抄訳です。セキュリティ侵害は最も堅牢なセキュリティ環境であっても起こりうることです。セキュリティ侵害の多くは、過小評価または見落とされている弱点をすり抜けてきます。セキュリティ専門家にとっては屈辱的な出来事ですが、実際に発生しているのも事実です。今回使う例は警鐘を鳴らしつつ、改善策についても焦点を当てています。脅威ハンティングでは防御網をすり抜けて環境内に潜む脅威を探します。今回は、そうした脅威ハンティングがなぜ重要であるかをご説明します。シリーズの最新レポート『隠れた脅威を探す:セキュリティプログラムに脅威ハンティングを取り入れる』もご覧ください。セキュリティ侵害は誰にとっても好ましくない出来事ですが、残念ながら今日の脅威環境では誰にでも起きる可能性があります。潜む脅威ある日の夜のことです。異常に多いことに気付きます。再生していますが、ストリーミングで過負荷がかかっているようです。長年使っているため古くなっていると考え、買い換えの計画を練り始めます。実際には、クリプトマイニングがバックグラウンドで実行されています。脅威が検出されずにネットワークに侵入していたのです。今になって悪影響が出始めています。同じような影響は他の要因によっても発生しますが、脅威ハンティングを実施する良いチャンスです。脅威ハンティングでは疑念や理論の検証から始めるとよいでしょう。画面のコマ落ちが目立つ場合はクリプトマイニングが疑われます。大規模ネットワークでは、同様の異常が複数のユーザから報告されるかもしれません。した報告は脅威ハンティングの開始点となります。これらはいずれも脅威ハンティングを始めるべき兆候です。どの兆候も攻撃(脅威)以外の要因で起きうることです。脅威ハンティングには、よりバランスの取れたアプローチが必要です。マルウェアが原因だと考える必要はありませんが、マルウェアの可能性を早急に捨て去るのは危険です。山田さんは後者でした。自宅の小規模なホームネットワークではセキュリティが十分だと考えていたからです。インスペクション(DPI)にも対応しています。異なるサブネットにより他のデバイスと分離され、最新のエンドポイント保護も導入済みです。確かにネットワークは保護が万全です。自体の保護が手薄だったことです。)」の犠牲者になっていました。保護するためには、ネットワーク内に新しいセキュリティポリシーを実装する必要があったのです。脅威ハンティングの目標は包括的です。脅威の発掘だけでなく、防御態勢を強化するためのポリシーと戦略を実装することも含まれます。逆に言えば、脅威ハンティングの成功と脅威の発掘は直結していません。対処が必要な弱点を特定することが真髄だと言えます。山田さんは、疑いを持って脅威ハンティングを始めるべきだったと後悔を述べています。クリプトマイニングの兆候だと夢にも思わなかった当時は、脅威ハンティングの発想に至りませんでした。適切なログの保存が大切な理由は、まさにここにあります。見えないものを検出することは不可能だからです。ログなどの監視手段が有効でなく、環境内のシステムを可視化できないのであれば、セキュリティの欠如(露出)を正確に評価することが困難になります。日後にログを確認すると、脅威の存在が明るみに出ました。既知のクリプトマイニングサイトに接続を試みるアクティビティが自宅ネットワーク内から検出されたのです。脅威ハンティングは「脅威の特定」から「修復」ステップに移ります。リソースの大部分を消費しています。そこで各ファイルの権限をすべて奪ったところ、クリプトマイニングのアクティビティが消滅します。同時に画面のコマ落ちも解消しました。脅威ハンティングの後は、再発防止のポリシーを導入することが重要です。戦略や自動化の導入も欠かせません。