eSecurity Planet の記事とその中で紹介する製品は、編集上の独立性を保っています。パートナーへのリンクをクリックしていただくことで、当社に収益が発生する場合があります。 詳しくはこちら
脅威ハンティングの成熟度スコアは、チームが規律あるハンティング体制を築けているかどうかを示してくれます。
しかし、どの攻撃者の手口を検知できているのかまでは教えてくれません。
ここに、取締役会向け報告における大きな盲点があります。
2025年版Verizonデータ漏洩調査報告書（DBIR）によると、認証情報の悪用は侵害全体の22%を占め、脆弱性の悪用も20%と僅差で続いています。
セキュリティ責任者は、これほど幅広い侵入経路に直面する中で、攻撃者が侵入した後に何が起こるのかを理解する必要があります。自分たちのチームがどの行動を検知でき、どこにカバレッジの薄い部分があるのかを把握しなければなりません。
取締役会向け脅威ハンティング報告の要点
- 脅威ハンティングの成熟度は、脅威カバレッジと同じではありません。 成熟度スコアが高くても、それはSOC（セキュリティ運用センター）に確かなプロセス、スキル、自動化が備わっていることを示すにすぎず、実際にどの攻撃者の手口を検知できるのかまでは示しません。
- ハンティングの実施件数は活動指標であり、カバレッジ指標ではありません。 あるチームが40件のハンティングを完了したという報告は、それらのハンティングが組織にとって最も重要な脅威に対応していたかどうかについてはほとんど何も語りません。
- ATT&CKカバレッジは、取締役会にとってより意味のある指標です。 SOCは、自組織の脅威プロファイルにとって最も重要なMITRE ATT&CKの手口に対し、検証済みのハンティングおよび検知カバレッジを追跡すべきです。
- 成功したハンティングは、恒久的な検知ルールへとつなげるべきです。 検証済みハンティングのうち、恒久的な検知ロジックに転換できた割合を測定することで、ハンティングが持続的な防御力向上を生み出しているかどうかが分かります。
- 成熟度スコアには依然として価値がありますが、文脈が必要です。 成熟度に加えて、ATT&CK手口のカバレッジ、ハンティングから検知への転換率、仮説立案から反復ハンティングまでの所要時間を組み合わせることで、経営層により明確な防御力の全体像を示せます。
脅威ハンティング成熟度がなぜ標準になったのか
脅威ハンティング成熟度モデルが、ある課題に対処してきたことは間違いありません。
David Bianco氏がHunting Maturity Modelを開発した当時、多くのセキュリティチームには正式なハンティング能力がほとんどありませんでした。
このモデルは、企業が自動アラートに主に頼っていたHM0から、段階的により洗練されたハンティング実践へと至る5段階を定義していました。
これにより、セキュリティチームは自分たちが効果的にハンティングを行うための適切なデータ、プロセス、スキル、自動化を備えているかどうかを判断できるようになりました。
SANS Instituteは後にこの概念を自社の脅威ハンティング講座や成熟度モデルに組み込み、これが報告の標準的な枠組みとして定着する一因となりました。
当時は、それらが重要な問いでした。
多くの組織が、時間と知識を持つ経験豊富なアナリストがたまたま対応する散発的な調査ではなく、ハンティングを再現可能な規律として確立しようとしている段階だったのです。
それから10年が経ち、多くの成熟したSOCはその段階を既に超えています。
経験豊富なアナリスト、文書化された方法論、仮説主導のプロセス、そして長年蓄積されたテレメトリを備えているのです。
それでも取締役会には、依然として脅威ハンティングが機能している証拠として、成熟度スコアが示され続けています。
成熟度スコアが高くてもカバレッジの穴は隠れ得る
四半期ごとに40件のハンティングを実施するSOCを想像してみてください。
そのアナリストたちは仮説を文書化し、一貫した方法論に従い、脅威インテリジェンスを活用して作業に反映させ、反復可能な作業は自動化しています。従来型の成熟度指標で見れば、評価すべき点は数多くあります。
では、その40件のハンティングがどの攻撃者の手口をカバーしていたかを問うてみましょう。
おそらく大半はエンドポイントの挙動に集中していたはずです。なぜなら、そこがチームにとって最も豊富なテレメトリと最も強い専門知識を持つ領域だからです。
ID関連の活動への注意は相対的に薄く、SaaSに至ってはほとんど手つかずだったかもしれません。
クラウド関連の調査は、個別のシステムをまたぐ手作業でのクエリに依存していました。
次に、成功したハンティングのうちいくつが恒久的な検知ルールになったかを問うてみましょう。
どちらの問いにも誰も答えられないのであれば、「40件」という数字が語る内容は、当初思っていたよりもずっと少ないことになります。
MITRE ATT&CKは、戦術・手口・サブ手口にわたる攻撃者の行動を記述するための共通の枠組みをSOCに提供します。
企業全体のマトリクスを均等にカバーしようとするような分別のあるセキュリティチームは存在しません。
組織ごとに直面する攻撃者は異なり、使用する技術も異なり、抱えるリスクも異なるからです。
有用なカバレッジ指標は、まず自組織の脅威プロファイルに関連する手口から出発すべきです。
HM3やHM4といったスコアは、それらの手口のうちどれが依然として死角になっているのかをSOCの責任者に教えてはくれません。
今、脅威ハンティングを制約しているもの
アナリストのスキルとプロセスの規律は、優れた脅威ハンティングの基盤であり続けています。
しかし、多くの成熟したSOCにおいては、それらはもはやハンティングが停滞したり実施されなかったりする主な原因ではありません。
10年前であれば、ほとんどのTier 1やTier 2のアナリストが単独で仮説主導のハンティングを行うことは不可能でした。何を探せばよいかについての経験と知識が必要で、それを持つのはごく一部のシニアアナリストだけだったのです。
このギャップは今日、多くのSOCにおいてトレーニングと技術によって埋められています。
摩擦が生じているのはむしろ、アナリストが横断的に扱わなければならないシステムそのものにあります。
例えば、侵害されたIDがクラウドワークロードへのアクセスとデータ移動に使われているという仮説を考えてみましょう。
アナリストは何が起きたのかを理解するために、IDログ、エンドポイントのテレメトリ、クラウドイベント、メールデータ、その他の証拠を必要とするかもしれません。
各情報源に対して個別のクエリと手作業での相関分析が必要な場合、アナリストはハンティングの大部分の時間を証拠集めに費やすことになります。
ハンティングが成功すると、また別の問題が生じます。
有用な発見が自動的に恒久的な検知ルールになるわけではありません。
誰かがそのロジックを翻訳し、テストし、展開し、機能し続けることを確認しなければなりません。
AIを活用した脅威ハンティングの発展により、こうした手作業の一部、特に複数の情報源にまたがる証拠のクエリと相関分析の負担が軽減されつつあります。
Prophet Securityはこの変化について、AIを用いてエンドポイント・ID・クラウド・メールのテレメトリを横断的にクエリ・相関分析することで、アナリストが個別のコンソールを渡り歩いて証拠を集める必要性を減らすものだと説明しています。
AI SOC分野に関する業界報道も同様の変化を指摘しています。エージェント型プラットフォームは、アラートのトリアージと相関分析を担う位置づけを強めており、アナリストが手作業での証拠収集ではなく能動的なハンティングにより多くの時間を割けるようにしつつあります。
これにより、より広範で反復可能なハンティングが可能になりますが、同時にプログラムが自らをどう評価すべきかという基準も引き上げられます。
ハンティングの件数を数えることには、一貫したハンティング体制を確立すること自体が進歩を意味していた時代には意味がありました。成熟したSOCであれば、それよりもはるかに多くを語れるはずです。
「40件のハンティング」は業務量の統計にすぎない
あるSOCの責任者が取締役会に「前四半期は40件のハンティングを実施しました。前回の28件から増加しています」と報告したとしましょう。
一見、前向きな内容に聞こえます。ハンティングの実施量は増えています。しかし、それによって組織の防御力が向上したかどうかは、取締役会には判断できません。
次に、SOCが「自組織の脅威プロファイルにとって重要と特定されたATT&CK手口のうち34%をハンティングでカバーできており、これは22%からの増加です。さらに、検証済みハンティングのうち18件が恒久的な検知ロジックにつながりました」と報告できた場合を考えてみましょう。
これなら取締役会は、セキュリティへの投資が防御力にどのような変化をもたらしたのかを把握できます。
ハンティングの件数それ自体にも、業務上の価値は依然としてあります。問題が生じるのは、その活動量の数字が検知カバレッジの証拠として使われるときです。
成熟度と並べて示すべき3つの指標
組織の脅威プロファイルに対するATT&CK手口のカバレッジは、プログラムにとって意味のある分母となります。
まず、組織を狙う可能性が高い信頼できる攻撃者が用いる手口から出発し、次にハンティングと検知がどこをカバーしていて、どこにギャップが残っているのかを測定します。
ハンティングから検知への転換率は、まったく別の問いに答えるものです。すなわち、ハンティングが成果を生んだ後、何が起こるのかという問いです。検知可能だと検証された挙動は、検知プロセスに組み込まれなければなりません。
この転換率を追跡することで、継続的に調査上の価値は生み出しているものの検知には結びついていないハンティングが浮かび上がります。
仮説の立案から定期的な反復ハンティングとして運用化されるまでの平均所要時間は、SOCがハンティングのアイデアをどれだけ迅速に実務へ落とし込めるかを示します。
新たなインテリジェンスが組織に関連する手口を特定した際に重要となる運用上の問いは、その情報を、SOCが継続的に探索できる対象へと転換するまでにどれだけの時間がかかるかということです。
こうした数字を出すこと自体に苦労するチームもあるでしょう。使用しているツールが個々のハンティングをATT&CK手口に紐づけていない場合もあります。検知エンジニアリングが別のワークフローで進められている場合もあります。複数領域にまたがるハンティングを一貫して追跡するのが難しい場合もあるでしょう。
自組織に関連する攻撃者の行動のうち、どれをカバーできているのかを測定できないのであれば、カバレッジがどれだけ向上したのかを経営層に自信を持って伝えることはできません。
取締役会に、検証可能な数字を示す
成熟度スコアが好まれてきた背景には、経営層向け報告書の中で見栄えが良いという事情も一因としてあります。
取締役会のメンバーは、クエリの構文や検知エンジニアリングを理解する必要はなく、ただHM4のほうがHM2よりも良さそうだと分かればよいのです。
カバレッジも同じくらい明快に示すことができます。
ある手口──攻撃者が盗んだ認証情報を使ってSaaSアプリケーションにアクセスし、データを持ち出す──についてハンティングを行うSOCを例に考えてみましょう。
そのハンティングにより、その手口が検知可能であることが確認されました。チームはそのための恒久的な検知ルールを構築します。これにより、これまで死角だった領域がカバー済みの領域に変わったことになります。
「自組織にとって最も関連性の高い攻撃者の手口のうち68%について、検証済みのハンティングまたは検知カバレッジがあります」──これなら、取締役会のメンバーは追跡可能な数字を得られます。
「今四半期、成功したハンティングのうち30%が恒久的な検知ルールになりました」という報告も同様です。
これらの数字は、有益な追加の問いを自然に引き出します。なぜカバレッジは68%なのか。残りの32%には何が含まれているのか。なぜ一部の成功したハンティングは検知ルールにつながっていないのか。
成熟度スコアにも依然として存在意義はあります。それは、組織がこれまでに築いてきた能力と、その背後にある規律について、経営層に何かを伝えてくれます。
しかし、あなたの取締役会向け資料が「40件のハンティングを実施し、HM4を達成した」とだけ記していて、関連するATT&CK手口のうちどれが依然としてカバーされていないのか誰も答えられないのであれば、取締役会は自組織の脅威ハンティングプログラムがどれだけの攻撃者の行動をカバーできているのか、依然として把握できていないことになります。
次の取締役会や経営層向けの報告を行う前に、現在の報告体制が次の2つの問いに答えられるかどうかを確認しておく価値があります。
- 自組織の脅威プロファイルに関連するATT&CK手口のうち、検証済みのカバレッジがあるのは何パーセントか
- 成功したハンティングのうち、恒久的な検知ルールになったのはどれだけの割合か
もし現在のツールでこれらの数字のどちらも算出できないのであれば、そのギャップ自体を報告書に含める価値があります。
