システムが見落とした脅威を発見する

セキュリティ部門の新たな注目ポジション「脅威ハンター」という仕事（1/2 ページ）

企業のセキュリティ対策は多くの場合、最新技術の調整に尽きる。だが脅威ハンターの役割を担う人材が貴重な防衛線になるかもしれないと見る専門家もいる。

公開 2017年02月15日 15時00分

更新 2017年04月12日 19時56分

著者

John Moore

[TechTarget]

印刷する

脅威ハンティングの専門企業Sqrrl DataのWebサイト《クリックで拡大》

　サイバーセキュリティ攻撃の新しい波が組織を脅かしている。これに対して従来は新しい技術の層や自動化で対応するのが一般的だった。だがITセキュリティ専門家からは、現在のような状況では新たに「脅威ハンター」の役職が求められると指摘する声もある。

　これを推進する専門家によると、脅威ハンターは自動化されたシステムが見落としたセキュリティ事案を見つけ出す。この「突破口を突撃せよ」の呼び掛けは、企業の脅威検知やインシデント対応において中心的な役割を果たすセキュリティオペレーションセンター（SOC）の強化を目指している。組織がITセキュリティの中枢センターについて再考する中でSOCの現代化は今、一層差し迫った課題となっている。

併せて読みたいお薦め記事

職業としてのセキュリティ

脅威対策の新潮流

　AT&Tの元最高情報セキュリティ責任者（CISO）で現在はセキュリティコンサルタントを務めるエド・アモロソ氏によると、この数年でSOCは「仕切りの中の集団」から手作業と自動化されたシステムが混合する環境へ、シームレスに統合されるようになってきた。脅威ハンターはその進化の一部だという。アモロソ氏は、脅威ハンティングのための技術プラットフォームを提供するSqrrl Dataが主催したSOC Webセミナーで講演した。

　「データを分析して何が起きているのかを発見する真にインテリジェントな人材（のニーズ）から逃れることは、決してできないと思う」とアモロソ氏は語る。

　組織におけるSOCの人材配置と運営を担うCISOは、希少な脅威ハンターの人材を採用して管理するという課題に直面している。だが最高レベルの態勢を整えるために、それは必要なことだ。

　Nemertes Researchの最高経営責任者（CEO）であるジョナ・ティル・ジョンソン氏も、脅威ハンターが必要だという見方で一致する。脅威ハンターについて同氏は、成熟したセキュリティ業務を行うことの一環と形容する。Nemertesでは4段階のセキュリティモデルを使って企業のセキュリティ態勢を評価している。最低レベルのゼロは無防備な組織を意味する。レベル1のセキュリティ態勢は「事後対応」型、レベル2は「積極的」、レベル3になると「先を見越した」態勢になる。

　「われわれが話をするセキュリティ組織の中で、先を見越したレベルの態勢ができているのは約10％にとどまる。だが、まだ存在していない、あるいは新たに浮上してくる脅威に備えることは必要であり、脅威ハンターなしにそれを実現するのは非常に難しい」とジョンソン氏は言う。

脅威ハンターの特性

　Sqrrlの筆頭セキュリティ技術者になるまでGeneral Electricの筆頭脅威ハンターだったデービッド・ビアンコ氏は脅威ハンターについて、「手作業あるいは機械が支援する技術を使って、組織が気付かないセキュリティ事案を検知する役職」と表現する。この知識のギャップは、自動的に特定の脅威を検知するシステムの欠陥、あるいは特定の種類の行動を検知するシステムの欠如に起因する。前者の場合、自動化されたシステムは、不特定多数を狙ったマルウェアのような自動化された脅威を見つけ出すことには優れているという。「だが自動検出とスキルを持った人間を比べると、最大の問題が生じる」とビアンコ氏は述べる。

　ではCISOが脅威ハンターを採用する際、どのような種類のスキルを求めるべきなのか。ジョンソン氏によると、まず脅威ハンターはセキュリティ研究の最前線にいて、最新かつ最も危険な新興の脅威について熟知していなければならない。ハンターは挙動脅威分析や「脅威インテリジェンスンスネットワークおよびソリューション」といった主要ツールとサービスを利用できる必要がある。

　だが、ジョンソン氏が最も重視する条件は創造性だ。「脅威ハンターは、その組織特有の脆弱（ぜいじゃく）性を発見する作業に従事できなければならない。それは極めて高度かもしれないし、そうでないかもしれない」とジョンソン氏は述べる。

　例えばセキュリティの脆弱性は、喫煙者が喫煙休憩を取れるように施設の扉を開けておくような、ありきたりの状況の場合もある。

　アモロソ氏によると、脅威ハンターは会社のルーティンを確実に把握し、普通と違うことがあればどんなことでも察知できる必要がある。さらに脅威ハンターは、複雑さが増すIT環境の中でトラブルを発見する準備ができていなければならない。「IT環境は分散性が強まり、仮想化や自動化が進んでいる。ハンターはそれをどう切り抜けるか考え出す必要がある」とアモロソ氏は指摘する。

　一方、ビアンコ氏は批判的思考やビジネスに関する知識、コミュニケーションとコラボレーションをハンターの重要なスキルとして挙げ、「今はそうしたことが得意な人材を見つけにくくなっていることが問題だ」と語った。

次ページへハンターチームの結成