『脅威ハンティングとは、脅威インテリジェンスとの違い』〜能動的な「狩り」がSOCの守備範囲を押し広げる〜

サイバー攻撃が日々巧妙化する中、「脅威ハンティング」と「脅威インテリジェンス」という言葉を耳にする機会が増えています。どちらも「攻撃者に対抗する活動」というイメージがあり、混同しやすいのですが、実は役割が異なります。例えるなら、脅威インテリジェンスが「攻撃者の手口や弱点を知るための情報収集・分析」だとすれば、脅威ハンティングは「その情報をもとに、実際に潜んでいるかもしれない攻撃者を探し出す能動的な捜索活動」と言えるでしょう。

サイバーセキュリティの世界では、これまで「侵入されたら防御する」という受け身の対策が中心でした。しかし、攻撃者は日々進化し、従来の防御網をすり抜ける手口も増えています。そこで重要になってきたのが、攻撃者の痕跡を自ら探しに行く「脅威ハンティング」という考え方です。これは、セキュリティ監視センター（SOC）の担当者が、単にアラート（警告）を待つだけでなく、システムログなどを深く掘り下げ、まだ検知されていない不審な動きや痕跡がないか、積極的に「狩り」に出るイメージです。この「狩り」によって、攻撃が本格化する前に発見し、被害を最小限に抑えることを目指します。

一方、「脅威インテリジェンス」は、攻撃者の活動パターン、使用するツール、標的とする業界などの情報を収集・分析し、その結果を組織内で共有する活動です。これは、まるで探偵が犯人のプロファイルを作成するようなもの。このインテリジェンスがあれば、SOCの担当者は「こういう手口の攻撃者が狙っているかもしれない」と予測し、ハンティングの際に「どこを重点的に調べれば良いか」というヒントを得ることができます。つまり、脅威インテリジェンスは脅威ハンティングの「羅針盤」や「地図」のような役割を果たすのです。この二つが連携することで、SOCの守備範囲は格段に広がり、より強固なセキュリティ体制を築くことが可能になります。