脅威ハンティングツール：私たちのおすすめ

役に立つソフトウェアがなければ、大量のデータを渡り歩く良い脅威ハントは考えられません。良し悪しと無害の違いをどうやって見分けるのか？すべてのインテリジェンス、ログ、履歴、研究データを1組の目で（多数の人間の脅威ハンターによって倍増しても）分析するのに何年もかかるでしょう。そしてサイバーセキュリティのチームにはそんなに時間がありません。効率的なハンティングプロセスを望むなら、いくつかのプロフェッショナルツールをうまく操らなければなりません。

この記事では、最高の脅威ハンティングツールのいくつかをレビューします。私たちが厳選したツールを探求し、これらのソリューションを私たちの サイバー脅威検索エンジン と組み合わせてみてください – そのハントは確実に価値があります！

検出＆ハント 脅威のコンテキストを探求

トップ脅威ハンティングツール

正直に言うと、最良の中からベストを選ぶのは簡単ではありませんでした。市場には興味深いセキュリティ製品やサービスがあふれています。その多くはGithubで自由に共有されている脅威ハンティングオープンソースツールで、「オープン」な部分に問題がなければ利用可能です。また、大手企業は真剣なグローバルインフラストラクチャと多くのツールを1つのソリューションで提供するため、非常に価値があります。それらについては後で詳しく説明しますが、まずは基本をおさらいしましょう。システム的なアプローチでツールを選ぶことのポイントを理解するために。

サイバー脅威ハンティングとは

サイバー脅威ハンティングは、企業のデジタルインフラ内で高度な脅威を探すプロアクティブなサイバーセキュリティプロセスです。 脅威ハンティング はしばしば、マルウェアがすでにネットワークに侵入しているという仮説に基づいています。そのため、脅威ハンターのようなセキュリティ専門家は、攻撃の兆候を探し、サイバー攻撃を検知して隔離するためにプロフェッショナルなツールと手法を適用します。

脅威ハンティングプロセス

研究によると、毎日 45万 もの新しいマルウェアの系統が検出されています。そのため、単一のサイバーセキュリティソリューションがこれほど広範な脅威の状況を処理することはできません。さらに、各組織のネットワークには独自のアーキテクチャ、レガシー、ポリシー、インターフェース、監視方法などがあります。適切なセキュリティ防御を実装し、調整することが重要なタスクになります。サイバー脅威の指数関数的な増加に耐えるために、サイバーセキュリティの向上を継続的に行う必要があります。だからこそ、脅威ハンターはそこにいて、数ステップ先を考え、潜在的な攻撃を防ぐことを試みています。

また、脅威ハンティングプロセスに万能なツールは存在しません。各組織はビジネスコンテキスト、利用可能な人材、技術、予算に応じて独自のルーチンを作成します。

いずれにせよ、一般的な脅威ハンティングプロセスは以下のようになるかもしれません。

• リスク評価。 このプロセスはまず行われ、それはしばしば規制当局によって要求されます。この段階でセキュリティ専門家は、クリティカルなセキュリティリスク、リスク許容度（どのリスクを許容できるか）、リスクの優先順位、インシデント対応プレイブックを特定します。これらのポリシーに基づいて、脅威ハンターは何に集中すべきかを特定します。
• 脅威インテリジェンス。 現在の脅威の適切な視認性を得ることは、効率的な脅威ハンティングプロセスを組織するために不可欠です。この情報に基づいて、脅威ハンターは仮説を立て、分析を行うことができます。
• 脅威分析。 このプロセスは、インテリジェンス、仮説、利用可能な研究、または機械学習のデータファインディングによって推進されるかもしれません。脅威ハンターは、サンドボックス、スキャン、脅威のエミュレーションなど、さまざまな技術を適用することができます。目標は脅威を発見し、どのように機能するかを理解し、対策方法を見つけることです。
• インシデント対応。 この段階で、脅威ハンターは脅威検出と軽減のためのアルゴリズムと推奨事項を作成します。これらは、脅威ハンティングクエリなどの実行可能なアルゴリズムや、システムプロセスの有効化や無効化といった予防的な推奨事項になる可能性があります。

ご覧の通り、特定の脅威ハンティングツールは、上記のどの段階でも使用することができます。デジタルインフラストラクチャが毎日処理するデータの膨大な量のため、人間の努力だけでハントすることはほぼ不可能であり、ソフトウェアツールからのサポートなしには行なえません。

脅威ハンティングオープンソースツール

サイバー脅威ハンティングツールの多くはオープンソースです。この作りとセキュリティソリューションのメンテナンスに関するアプローチは、それらをスケールし、共同のサイバーセキュリティ実践を発展させやすくします。現代で人気のオープンソースツールをいくつかレビューしてみましょう。

YARA

YARAルールは、多くの強力なセキュリティソリューションで一般的に使用されています。脅威ハンターは積極的にそれらを SOC PrimeのDetection as Code プラットフォームで使用し、カスタムの行動検知を行います。YARAツールは CISA によってマルウェアファミリーのマッチングのために正式に推奨されています。バイトシーケンスや文字列、論理演算子を正確な条件でマッチングでき、誤検出を減らすことができます。特定のYARAルールは、インシデント処理プロセス中に悪意のあるファイルを検出することができます。

チェックポイントリサーチツール

脅威ハンターが悪意のあるサンプルをテストしたい場合や、その挙動を観察したい場合には、サンドボックスをよく使用します。しかし、多くのマルウェアの系統は、その環境を理解し、サンドボックス内での実行を遅らせたりキャンセルしたりすることを学んでいます。幸いにも研究者の生活を楽にし、そのような脅威を狩るのに役立つツールを利用することができます。 チェックポイントのGitHubを訪れて、以下のようなツール群を見つけてください。

• InviZzzible – サンドボックスやその他の仮想環境で防御を回避するマルウェアを特定します。
• Cuckoo AWS – Cuckoo Sandboxに自動スケーリングのクラウドインフラと機能を追加します。
• Scout – 命令に基づくリサーチデバッガ。

経験豊富なハンターは、アセンブリ命令のようなものを見て即座に怪しいパターンを認識することができます。しかし、多くの場合、コードは一見普通に見えるが、実際にはそうではありません。だからこそ、何が起きているのか知っているように感じても、ハンティングツールで仮説を見直すことは役に立つかもしれません。

Snyk

ソフトウェア構成解析ツール Snyk は、脅威ハンターがアプリケーションのソースコードをスキャンして脆弱性を見つけ出すことを支援します。このオープンソースプラットフォーム自体も、オープンソースソリューションやコンテナ化された環境の数千の依存関係を効果的にスキャンします。Snykはまた、ライフサイクルの早期にライセンス違反を発見します。実行可能なセキュリティのアドバイス、自動化された修正のヒント、およびシームレスな統合が他の利点です。

サイバー脅威ハンティングツール

ハードコーディングされ、精選された脅威ハンティングツールは、強化された機能と信頼性を備えています。オープンソースツールがその公共の性質のために多くの潜在的な脆弱性と共に提供される一方、プロプライエタリソフトウェアはより安全です。それに加えて、それは多くの場合、各脅威ハンターが感謝する独自のアルゴリズムと広大なクラウドインフラ機能を持ってきます。

Uncoder.IO

いわゆる製品オーバーラップは、様々なタイプのソフトウェアで検出アルゴリズムを一度に実行する必要があるセキュリティエンジニアの間でサイバー脅威ハンティング操作において避けられないものです。マルチレイヤーのサイバーセキュリティ保護を確実にします。もちろん、異なるベンダーは異なるコンテンツフォーマットで提供されます。高度なタスクにさらに時間をかけるためには、脅威ハンターは Uncoder.IO – シグマベースの検出、フィルター、保存された検索、およびAPIリクエストのための無料オンライン翻訳ツールを使用できる。

Autopsy

ホスト分析ツールは、セキュリティ研究者がホストフォレンシックス分析を行うために使用されます。Autopsyのようなツールは非常に豊富な機能を備えています。全リストについては、それらの リリースノートをチェックしてください。全体として、特定のエンドポイントタイプに関係なくすべてのホストを分析し、分析結果またはデータアーティファクトによって調査結果をグループ化することは便利です。しかし、この種のソリューションは特定の知識を必要とし、高度な脅威ハンターにより適しています。

Cisco Umbrella

脅威インテリジェンスは、脅威ハンターにとって生命線以上のものです。そして、Cisco Umbrellaのような信頼できるソリューションを使用することは簡単です。ご存じの通り、この分野には選択肢が豊富です。しかし、グローバルかつクラウドネイティブなリソースの話になると、脅威インテリジェンスから得られるものが最大限になります。さらに、多くの価値ある情報を無料で公開しています。 こちら では、データシート、ソリューション概要、ユースケース、統合ガイドを見つけることができます。そして、 Talos は、脆弱性レポートと最新脅威の詳細分析を提供しています。

MITRE CALDERA

脅威エミュレーションは、必須の脅威ハンティングツールです。 CALDERAを使用することで、レッドチームのルーチンタスクを自動化し、最も興味深いケースを手動の敵対者エミュレーションに残すことができます。もちろん、これらのプロセスは、敵対者のTTPにマッピングされます。CALDERAは、コアシステムと一連のプラグインで構成されています。既定のものは初心者には良さそうです。さらに進むにつれて、より多くのプラグインを追加するか、独自のプラグインを作成することができます。ブルーチーム側では、 CASCADE サーバーが作成されており、調査作業に役立てます。

NESSUS

NESSUSのような脆弱性スキャナーは、他に類を見ないほどに抜け穴を探します。数百のコンプライアンスと構成テンプレートが、脆弱性スキャンプロセスの強化に役立ちます。自動評価は、プラグインの更新推奨事項を含むリアルタイムの結果を提供します。脆弱性は、優先順位でグループ化され、簡単に変換可能な広く使用されているフォーマットの数で容易に視覚化レポートに変換されることがあります。

最高の脅威ハンティングツールについて学んだ今、それをまだ試していないなら、今こそ試してみる時です！ SOC Primeでは、クラウドプラットフォーム、脅威インテリジェンス、脆弱性インテリジェンス、脅威ハンティングツール、エンドポイント保護、SIEMとの統合が可能です。そして、SOC Primeの Quick Hunt モジュールを使用することで、サイバーセキュリティの実務者は、SIEMまたはEDR環境内で現在および新たに出現する攻撃を即座に検索することで、シームレスなハンティング体験を楽しむことができます。