SOCは約4割の脅威を見落としている

「脅威ハンティング」とは？　企業導入が進むセキュリティ新施策の効果

脅威ハンティングプログラムを検討する企業が増えている理由と、セキュリティオペレーションセンターが抱える最大の課題とは。Crowd Research Partnersの最新調査から探る。

公開 2018年10月12日 05時00分

著者

Kathleen Richards

[TechTarget]

印刷する Googleで優先するソースとして追加

　多くの企業が脅威ハンティング機能を導入していることがCrowd Research Partnersの最新調査で明らかになった。依然として高度な脅威の検出は難しい。

　脅威ハンティングには通常、人間のセキュリティアナリストが関与して、差し迫ったインシデントや、自動脅威検知システムが見落とした攻撃を見極める。Crowd Research Partnerの「2018 Threat Hunting Report」（2018年版脅威ハンティングレポート）によると、脅威の発生頻度とセキュリティインシデントの潜在的な損害と影響は、セキュリティオペレーションセンター（SOC）の能力を相変わらず上回っているという。

企業はセキュリティとどう向き合うべきか

企業に立ちはだかる脅威とは

　「2018 Threat Hunting Report」には、LinkedInのInformation Security Communityグループに所属する461人以上のセキュリティ専門家とIT専門家を対象に実施したオンライン調査の結果が掲載されている。この調査の特徴は、テクノロジー（17％）、金融サービス、銀行、保険（14％）、電気通信（6％）、医療（5％）など、各種業界の専門家が答えていることだ。政府機関のサイバーセキュリティ専門家も20％含まれている。

　ITセキュリティ専門家の58％が、過去12カ月間で企業に対するサイバー攻撃の脅威が2倍になったと話している。脅威が減少したと答えた専門家はわずか8％にすぎない。58％の企業が1～7日間で攻撃の大半を検知しているが、SOCは平均39％の脅威を見落としている。攻撃者の平均滞留期間は30日だった。

　この調査では、SOCの直面する最大の課題が明らかになっている。SOCが最優先課題として挙げた項目は以下の通りだ。

高度なサイバー脅威（隠れた脅威、未知の脅威、新たに出現する脅威）の検出（55％）
スキルを備えた人材の不足（43％）
脅威検知テクノロジーの信頼性の欠如（36％）
誤検知による警告に浪費する時間（35％）
高度な脅威の発見／検出への対応の遅れ（31％）
時代遅れのSIEMとSOCインフラの使用（29％）
適切な報告ツールの不足（28％）

　レポートでは調査対象企業の約3分の1が、こうした課題の一部を補うために脅威ハンティングをマネージドセキュリティサービスプロバイダー（MSSP）に委託していることが示されている。

脅威に後れをとるSOC

　この調査によると、回答者の40％は、自社のセキュリティアナリストが脅威ハンティングプラットフォームを利用していると答えており、2017年の同様の調査から5％上昇しているという。脅威ハンティングプラットフォームのメリットは、高度な脅威の検出能力が改善されることから、イベントの調整にかかる時間が短くなることまで多岐にわたる。

　セキュリティアナリストが最も頻繁に調査するセキュリティ侵害の兆候の上位には、異常な行動（67％）、IPアドレス（58％）、ドメイン名（46％）、接続の拒否／警告（46％）、ファイル名（32％）が含まれる。

　脅威ハンティングをするアナリストを抱えるSOCは、2017年が14％だったのに対し、2018年は17％に増加している。ただしSOCの半数以上が、脅威ハンティング専門のアナリストを5人未満しか抱えていない。

　脅威ハンティングの大切さに気付いてSOCを拡張している企業もある。しかし回答者の33％は、新たに出現する脅威へのSOCの対抗力には限界があると考えている。28%はSOCが脅威より前に進んでいると答え、24％がSOCは脅威の対策をするものの後れを取っていると答えている。SOCが最先端を行っていると答えたのは15％にすぎない。

脅威ハンティング導入の障壁とは

　企業が脅威ハンティングに使用するツールは多岐にわたる。その上位を占めるテクノロジーは以下のとおりだ。

次世代ファイアウォール、侵入防止システム、ウイルス対策ソフトウェア（55％）
SIEM（50％）
フィッシング対策ソフトウェアなどのメッセージングセキュリティソフトウェア（49％）
脅威インテリジェンスプラットフォーム（39％）
エンリッチメントツールや調査ツール（34％）
脆弱（ぜいじゃく）性管理（32％）

　脅威ハンティングの大半は社内で実行されている（56％）。一部の企業では社内とサービスプロバイダーが混在するハイブリッド型を採用している（22％）。外部委託している企業もある（11％）。自社が「先を見越した脅威ハンティングを行っていない」と答えた回答者も11％ある。

　60％の企業のセキュリティアナリストは、現在、脅威ハンティングのプラットフォームや技術を利用していないと答えている。ただし同レポートによると、企業10社中6社が3年以内に脅威ハンティングプログラムを構築する計画を示している。

　導入の障壁となっているのは、予算不足（45％）からトレーニング不足（7％）までさまざまだ。脅威ハンティングに最も必要なツールとしては、脅威インテリジェンス（69％）、ユーザーとエンティティーの行動分析（57％）、自動検知（56％）、機械学習と自動分析（56％）などが挙がっている。

　Sqrrl Dataでテクノロジーアドバイザーを務めていたデイビッド・ビアンコ氏など、脅威ハンティングプログラムの支持者によると、メリットの1つはセキュリティチームが検出した脅威を利用して自動検知を強化できることだという。

印刷する

この記事の著者

Kathleen Richards

「脅威ハンティング」とは？　企業導入が進むセキュリティ新施策の効果

企業はセキュリティとどう向き合うべきか

企業に立ちはだかる脅威とは

脅威に後れをとるSOC

脅威ハンティング導入の障壁とは

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「脅威ハンティング」とは？ 企業導入が進むセキュリティ新施策の効果

企業はセキュリティとどう向き合うべきか

企業に立ちはだかる脅威とは

脅威に後れをとるSOC

脅威ハンティング導入の障壁とは

この記事の著者

関連記事

セキュリティの自動化とオーケストレーションは「企業のセキュリティ」をどう変える？

クラウド型セキュリティサービスの価値を、「従業員任せにした最悪の事態」から考える

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「脅威ハンティング」とは？　企業導入が進むセキュリティ新施策の効果