building-threat-hunt-hypothesis-framework

脅威ハンティング仮説フレームワークの構築

使用する場面

• 環境内で脅威ハンティング仮説フレームワークの指標を積極的にハンティングする場合
• 脅威インテリジェンスにより、これらの手法を用いた攻撃キャンペーンが進行中であることが示された場合
• これらの手法に関連する侵害の範囲を特定するインシデント対応中
• 関連する指標に対して EDR または SIEM のアラートが発生した場合
• 定期的なセキュリティ評価やパープルチーム演習中

前提条件

• プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータを取り込んだ SIEM（Splunk、Elastic、Sentinel）
• 包括的な設定で Sysmon を導入済み
• Windows セキュリティイベントログの転送を有効化済み
• IOC 相関分析用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づき、検証可能な仮説を定義します。
2. データソースを特定する：仮説を検証または反証するために必要なログとテレメトリを特定します。
3. クエリを実行する：SIEM と EDR プラットフォームに対して検知クエリを実行し、関連イベントを収集します。
4. 結果を分析する：クエリ結果を調べ、複数のデータソース間で相関分析を行いながら異常を探します。
5. 調査結果を検証する：状況分析を通じて真陽性と偽陽性を区別します。
6. アクティビティを相関させる：調査結果をより大きな攻撃チェーンや脅威アクターの TTP に関連付けます。
7. 文書化して報告する：調査結果を記録し、検知ルールを更新して、対応策を推奨します。

主な概念

概念	説明
TA0001	初期アクセス
TA0003	永続化
TA0008	横展開
TA0010	情報の持ち出し

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検知
Microsoft Defender for Endpoint	KQL による高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検知ルールと調査タイムライン
Sysmon	詳細な Windows イベント監視
Velociraptor	エンドポイントのアーティファクト収集とハンティング
Sigma Rules	クロスプラットフォーム対応の検知ルール形式

よくあるシナリオ

1. シナリオ 1：APT キャンペーンのレポートに基づく、インテリジェンス主導のハンティング
2. シナリオ 2：ATT&CK のカバレッジギャップ分析を基にした仮説の作成
3. シナリオ 3：UEBA アラートの調査から導く、異常主導の仮説
4. シナリオ 4：業界セクターの脅威に基づく、状況認識を目的としたハンティング

出力形式

Hunt ID: TH-BUILDI-[DATE]-[SEQ]
Technique: TA0001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]