システムが見落とした脅威を発見する

セキュリティ部門の新たな注目ポジション「脅威ハンター」という仕事（2/2 ページ）

公開 2017年02月15日 15時00分

更新 2017年04月12日 19時56分

著者

John Moore

[TechTarget]

印刷する

ハンターチームの結成

　企業がSOC内のセキュリティ専門家の中からハンターを自前で育成することもできる。ビアンコ氏によると、ハンターチームの構成は組織によって異なる。例えばSOCのトップがセキュリティ専門家に対して、空き時間を使った脅威ハンティングを依頼することもある。ただしこの場当たり的アプローチには問題点がある。一般的なSOCでは空き時間は少ないのが普通だからだ。

　その対極にあるアプローチとして、専任のハンターチームを置く組織もある。このアプローチは重点を絞れるのが利点だが、SOCのハンターの全スキルを1つの集団に集中させるという代償を伴う。ビアンコ氏はもっと優れたアプローチとして、SOCに専用のハンター機能を持たせながら、一部または全員に一時的な職務を割り当てる方法を提案する。このハイブリッド方式のアプローチでは、日々の職務を順番にこなしながら、ハンターとしての経験を積んでいける人材が増える。通常の業務に戻る際には新しいスキルを身に付けることもできる。

　チームができたら、次は管理が課題になる。この段階は科学よりもアート的傾向が強い。

　「エキスパートのハンター育成はまだ始まったばかりだ。（そのタスクのためには）ハンターの心をつかむマネジメントチームが要る」とアモロソ氏は言う。

　ハンターはその性質上、極めてインテリジェントだ。つじつまの合わない事柄を掘り起こす手腕に長けていて、管理側に理不尽な点があれば遠慮なく指摘する。管理職は、ハンターがあまりに多くの制約や習慣――例えばスーツを着る習慣など――にとらわれることなく、与えられた困難な職務に集中できる環境を作り出す必要がある。

　「管理側の学位の多くは役に立たない。どんなものであれ、管理職の愚かさに対する感度は非常に高い」とアモロソ氏は述べる。同氏によると、管理職の役割の大部分は、脅威ハンターが仕事をするために必要な3条件、すなわちデータへのアクセス、適切なツール、研修やプロとしての成長という条件を整えることにある。

ハンティングの潜在的な問題点

　データセキュリティサービスプロバイダーのTowerwallでCEOを務めるミシェル・ドロレット氏は、脅威ハンターは貴重な役割を果たし得ると語り、情報セキュリティを重視して優先課題とすることは、不正侵入を防ぐ助けになると指摘した。

　一方で、脅威ハンティングには注意すべき点もある。その1つが繰り返しだ。同じ情報と同じシステムを何度も繰り返し見ている脅威ハンターは、時の経過に伴って無頓着になることがある。ドロレット氏はこの状態を、社内の侵入テストの担当者が同じアプリケーションの調査を繰り返している状況になぞらえる。

　「担当者はそれに慣れてしまう。別の目が必要ではないのか」とドロレット氏は問い掛ける。同氏はまた、サードパーティーのセキュリティ監査機関が脆弱性を指摘して是正策の工程表を示した報告書の書類と同じくらい、脅威ハンターの発見を組織のIT管理職が重大な事案として受け止めるかどうかにも疑問を投げ掛け、脅威ハンターの発見について「CIOやCISOはそうした脆弱性への対応を優先させるだろうか」と問い掛けた。