hunting-advanced-persistent-threats

高度な持続的脅威のハンティング

使用する状況

次の場合にこのスキルを使用します：

• 新たに公開されたAPTインテリジェンスに基づき、プロアクティブな脅威ハンティングのスプリント（通常は2～4週間のサイクル）を実施する場合
• UEBAアラートまたは異常検知システムが、より詳細な調査が必要な行動の逸脱を検出した場合
• 同業組織またはISACの共有パートナーから、APTによる侵害が進行中との報告を受け、自組織への影響を確認する必要がある場合

侵害が確認され、対応が進行中の場合、このスキルをインシデント対応の代替として使用しないでください。IR手順（NIST SP 800-61）にエスカレーションしてください。

前提条件

• 30日以上のテレメトリを保持するEDRプラットフォーム（CrowdStrike Falcon、Microsoft Defender for Endpoint、またはSentinelOne）
• 仮説の策定に使用するMITRE ATT&CK Navigatorへのアクセス
• クエリ可能なSIEM内のネットワークフローデータ（NetFlow、Zeek、またはSuricataのログ）
• 脅威ハンティングプラットフォームまたはクエリインターフェース（Velociraptor、osquery fleet、またはSplunk ES）

ワークフロー

ステップ1：ハンティング仮説を策定する

MITRE ATT&CK Groups（https://attack.mitre.org/groups/）を使用して、自組織のセクターに関係する脅威アクターを選択します。そのグループについて、ATT&CKの手法に対応付けられた既知のTTPを確認します。仮説の例：「APT29（Cozy Bear）はISO添付ファイルを使ったスピアフィッシング（T1566.001）と環境寄生型バイナリ（T1218）を使用する。通常とは異なるmshta.exeとrundll32.exeの親子関係を調査する。」

Threat Hunting Loopフレームワークを使用して、仮説を文書化します：仮説 → データ収集 → パターン分析 → 対応。

ステップ2：必要なデータソースを特定する

ATT&CK Data Sourcesの分類を使用して、各ATT&CK手法を必要なログソースに対応付けます：

• プロセス作成（T1059）：Windows Security Event 4688またはSysmon Event ID 1
• ネットワーク接続（T1071）：Zeek conn.log、NetFlow、EDRネットワークテレメトリ
• レジストリの変更（T1547）：Sysmon Event ID 13、Windows Security 4657
• メモリインジェクション（T1055）：EDRメモリスキャンのテレメトリ、Volatilityの出力

ATT&CK Coverage Calculatorまたはカスタムデータソースマトリックスを使用して、ログのカバレッジを確認します。

ステップ3：Velociraptorまたはosqueryでハンティングを実行する

通常とは異なるPowerShellの実行を調査するVelociraptor VQLハンティング：

SELECT Pid, Ppid, Name, CommandLine, CreateTime
FROM pslist()
WHERE Name =~ "powershell.exe"
AND CommandLine =~ "-enc|-nop|-w hidden"

スケジュールされたタスクによる永続化を調査するosquery：

SELECT name, action, enabled, path
FROM scheduled_tasks
WHERE action NOT LIKE '%System32%'
AND enabled = 1;

PsExecによるラテラルムーブメントを調査するSplunk SPL：

index=windows EventCode=7045 ServiceFileName="*PSEXESVC*"
| stats count by ComputerName, ServiceName, ServiceFileName

ステップ4：結果を分析してピボットする

特定した異常ごとに、次の観点でピボットします：

• 時間：既知のIOCのタイムスタンプより前に発生しましたか、それとも後ですか？
• ホスト：この挙動を示すエンドポイントはいくつありますか？
• ユーザー：関連するアカウントは、サービスアカウント、特権ユーザー、一般ユーザーのいずれですか？
• ネットワーク：ホストは、ベースラインに含まれない外部IPと通信していますか？

ダイヤモンドモデル（敵対者、能力、インフラストラクチャ、被害者）を適用して、調査結果を体系化します。

ステップ5：調査結果を文書化し、運用に組み込む

ハンティングで悪意ある活動が確認された場合は、IR手順を開始します。ハンティングで見つかったものがなくても、データカバレッジが不十分であることが判明した場合は、そのカバレッジの不足を文書化し、是正します。

成功したハンティングクエリをSigma形式のSIEM検知ルールに変換し、プラットフォーム間で移植できるようにします。

主な概念

用語	定義
TTP	戦術、技法、手順 — MITRE ATT&CKで定義される敵対者の行動パターン
Diamond Model	侵入分析を体系化するために使われる、4つの頂点（敵対者、能力、インフラストラクチャ、被害者）を持つ分析フレームワーク
Living-off-the-Land（LotL）	正規のOSツール（PowerShell、WMI、certutil）を使用して検知を回避する攻撃者の手法
UEBA	ユーザーおよびエンティティの行動分析 — 機械学習に基づき、通常の行動のベースラインからの逸脱を検知する手法
Sigma	SIEMに依存しない検知ルール形式のオープン標準。ネットワーク／ログ検知におけるYARAに相当します
ハンティング仮説	脅威インテリジェンスと環境に関する知識に基づく、敵対者の存在についての検証可能な予測

ツールとシステム

• Velociraptor：数千台のシステムにわたる大規模なエンドポイントハンティングに対応する、VQL クエリ言語を備えたオープンソースの DFIR プラットフォーム
• osquery：リアルタイムのエンドポイントテレメトリクエリに対応する、SQL ベースの OS 計測フレームワーク
• MITRE ATT&CK Navigator：ATT&CK のカバレッジやテクニックの優先順位付けを可視化する、ウェブベースのツール
• Zeek（旧称 Bro）：ハンティングに適した構造化ログ（conn、dns、http、ssl）を生成するネットワークトラフィックアナライザー
• Elastic Security：EQL（イベントクエリ言語）により、複数段階の攻撃パターンを対象としたシーケンスベースのハンティングが可能です
• Sigma：Splunk、QRadar、Sentinel、Elastic 向けのトランスレーターを備えた検知ルール形式

よくある落とし穴

• 確証バイアス：何かを見つけることを期待してハンティングを始め、無害なデータを悪意のあるものと解釈してしまうことです。結果が得られなかった場合も記録してください。これは、セキュリティ対策が有効であることの検証になります。
• データ保持期間の不足：多くの APT テクニックでは、ゆっくりと目立たずに進行するパターンを特定するために、90 日以上のログ履歴が必要です。既定の保持期間では不十分なことがよくあります。
• ベースラインなしでのハンティング：正常な状態を把握していなければ、異常を特定できません。ハンティングの前に、ベースラインの文書化に時間をかけてください。
• クエリのパフォーマンスへの影響：営業時間中に本番環境の SIEM に対して広範なクエリを実行すると、アナリストのワークフローが低下する可能性があります。負荷の高いハンティングは、営業時間外に実施するように計画してください。
• 誤検知を体系的に無視すること：クエリごとに誤検知率を追跡してください。誤検知率が 80％を超えるクエリは、運用に移す前に改善するか、廃止してください。