脅威ハンティング | 24時間365日監視・SOC・インシデント対応

背景・課題

Challenges

アラートが出ていないから、安全とは限りません。

EDRやSIEMによる監視は重要ですが、攻撃者は検知ロジックを回避しながら活動しています。
SOCによるアラート対応だけでは把握できない潜在的な脅威を発見するため、能動的な脅威ハンティングが求められています。

① 検知を回避する「静かな攻撃」が増加

攻撃者は正規ツールや既存アカウントを悪用し、不審な挙動を極力目立たせずに活動します。

侵害後も長期間発見されないケースがあり、アラートが発報される頃には被害が拡大していることも少なくありません。

② 新たな攻撃手法は既存ルールでは検知できない

攻撃手法は日々変化しており、新たなマルウェアや難読化されたスクリプト、正規機能を悪用する攻撃はシグネチャや既存ルールに依存した検知をすり抜ける場合があります。

そのため、「既知の脅威を待つ」だけではなく、ログや挙動から異常の兆候を探し出す活動が必要です。

③ アラート対応だけでは潜在リスクを把握できない

SOCによるアラート分析は発生した事象への対応が中心です。

しかし、製品の検知ルールは誤検知抑制のため保守的に設計されており、すべての脅威を検知できるわけではありません。

組織全体のリスクを低減するためには、ログを横断的に分析し、攻撃の痕跡や不審な活動を能動的に探索する仕組みが不可欠です。

参考情報

Data

57%

侵害の57%は自組織ではなく外部からの指摘で発覚

■ このデータが示すこと

多くの企業では、EDRやSIEMを導入していても侵害を見逃しており、顧客・取引先・法執行機関からの連絡によって初めて被害に気付いています。

■ この状況を放置すると

侵害の発見が遅れることで、情報窃取やランサムウェア感染、横展開による被害が拡大する可能性があります。また、顧客や取引先からの指摘によって発覚した場合、事業影響だけでなく企業としての信用失墜にもつながります。

■ 調査の詳細

グローバルでのインシデント対応データを集計
外部通知には顧客クレーム、ダークウェブでの情報流出発見、法執行機関からの連絡等を含む
自社検知には、EDR/SIEM等のアラートによる発見を含む

出典 Mandiant M-Trends 2025

48%

ランサムウェア被害の48%でEDRの無効化に成功

■ このデータが示すこと

EDRは重要な防御手段ですが、攻撃者もEDRの存在を前提に攻撃を設計しています。

■ この状況を放置すると

EDRが正常に機能していない状態でも組織が気付けず、攻撃者による認証情報の窃取、権限昇格、横展開などが進行する可能性があります。気付いた時には重要サーバーやクラウド環境まで侵害が拡大し、復旧コストや事業停止リスクが大きくなる恐れがあります。

■ 調査の詳細

2024年のランサムウェアインシデントを分析
EDRKillShifter、EDRSilencer等のツールが急速に普及
Breakout Time（侵入から横展開までの時間）は平均48分に短縮

出典 Infosecurity Magazine (2024)

サービス概要

Overview

脅威を待つのではなく、探しに行く。

SIEMのログ分析とダークウェブ監視により、アラートでは捉えられない潜在的な脅威を能動的に発見します。

クエリを用いたハンティング

アラートに表れない初期段階の異常挙動を能動的に探索します。認証ログ・権限変更・ネットワーク通信など複数データを横断分析し、偵察行動や不審なアクセスパターンなど"潜在的な脅威"を早期に可視化します。さらに最新の攻撃トレンド/脅威インテリジェンスを継続的に取り込み、探索観点とクエリを更新します。

ダークウェブ監視

メールアドレスやドメインがダークウェブ上で流通していないかを継続的に監視し、外部からの侵入に利用されるリスクを早期に検知します。漏洩情報の種類や公開状況、第三者への拡散可能性を評価し、資格情報の悪用・フィッシング・侵害連鎖につながる危険を事前に察知し対策に活かします。

月次レポート

1か月間のハンティング結果や検知傾向を体系的に整理し、組織が抱えるリスクの全体像をわかりやすくご報告します。加えて、翌月の重点監視ポイントや改善案を提示し、単なる振り返りにとどまらず、継続的に"検知力を高めるための運用改善"につなげるレポートを提供します。

分析対象

Analysis Targets

脅威の兆候は、さまざまなログに現れる

SIEMに蓄積された認証・端末・メール・ネットワークなどのログを横断的に分析し、侵害の兆候や不審な挙動を探索します。
以下に記載のないログについても、お客様環境に応じて柔軟に分析対象へ追加可能です。

サインインログ

不審なサインイン、異常なアクセス元、権限昇格などを分析し、アカウント侵害や内部不正の兆候を探索します。

SaaS 監査ログ

機密データへのアクセス、不審な共有設定変更などを分析し、情報漏洩や侵害後の活動を調査します。

Firewall / WAF ログ

異常な外部通信、C2通信、スキャン行為、不審な接続先との通信などを分析し、侵害端末や攻撃活動の痕跡を探索します。

XDR ログ

プロセス実行、PowerShell利用、権限昇格、永続化設定などを調査し、既存ルールでは検知されていない攻撃者の活動を探索します。

検知できる兆候の例

Detection Examples

認証失敗の急増

短時間での複数回ログイン失敗
複数アカウントへの連続試行
パスワードスプレー攻撃パターン

不審なスクリプト実行

Base64エンコードされたコマンド
難読化されたスクリプト実行
ダウンローダー型の挙動検知

管理者アカウント異常

Global Admin権限の不正使用
新規管理者アカウント作成
権限昇格の試行検知

業務外時間帯アクセス

深夜帯（22時〜6時）の操作
休日の大量ファイルアクセス
通常パターンからの逸脱検知

海外からのアクセス

リスク国からのログイン試行
TOR/匿名VPN経由のアクセス
あり得ない移動（Impossible Travel）

不正ツール実行兆候

RMMツール（AnyDesk等）の検出
ハッキングツールの起動検知
ラテラルムーブメントの兆候

ダークウェブモニタリング

Dark Web Monitoring

漏洩した認証情報は、攻撃の入口になる

ダークウェブ上には漏洩したメールアドレスや認証情報が日々流通しています。
攻撃者はこれらの情報を悪用し、不正ログインやアカウント侵害を試みます。

当サービスでは、メールアドレスやドメイン情報をキーにダークウェブを継続的に監視し、自社に関連する認証情報の流出有無を調査します。
流出が確認された場合は影響やリスクを分析し、早期の対策につなげます。

メールアドレスの流出確認

社員のメールアドレスが漏洩DBに含まれていないか確認

ドメイン関連情報の流出確認

自社ドメインに関連する認証情報の漏洩をチェック

パスワード漏洩のチェック

漏洩した認証情報の悪用リスクを早期に把握

潜む脅威をあぶり出す。