SANS Instituteが業界調査を実施してきた5年間で初めて、脅威ハンター(threat hunter)にとっての最大の障壁が「スキル」から「データ」へと変化したことが明らかになりました。
この調査機関は、北米、欧州、ラテンアメリカ、アジアのサイバーセキュリティ実務者およびリーダー500人を対象に調査を実施し、「SANS 2026 Threat Hunting Survey: The Evolution of Threat Hunting」としてまとめました。
回答者の半数(50%)が、脅威ハンティングにおける最大のハードルとしてデータの品質または量を挙げており、これは昨年の41%、2023年の34%から上昇しています。
報告書は「このトレンドの方向性は、ハンティングプログラムに流れ込むデータの量が、それを解決する以上に多くの問題を生み出しつつあることを示唆しており、正規化と標準化がデータ収集に追いついていない状況がうかがえます」と指摘しています。
脅威ハンティングについてさらに読む: NCSC、可観測性と脅威ハンティングの改善を訴え
僅差の2位となったのは熟練したスタッフの不足(45%)で、昨年の61%からは減少しており、報告書はこれを進展の表れだとしています。
スキル不足により実施されるハント自体の件数が減少するだけでなく、実施されるハントについても「仮説を構築するのに最も適した人材ではなく、その時たまたま手が空いていた人材に大きく依存する」傾向が強まっていると指摘されています。
正式に定義された脅威ハンティング手法を採用している割合は、2024年の51%から今年は37%へと低下し、アドホックなアプローチが39%を占めています。これが重要なのは、体系化されたアプローチこそが「ハンティングプログラムを再現可能かつ説明責任を果たせるものにする」からだとSANSは主張しています。
その他の障壁として、予算の制約(42%)、データ標準の欠如(39%)、ツールの制約(37%)、明確なプロセスの欠如(36%)が挙げられています。
SANSのプリンシパルインストラクターであり、本報告書の著者でもあるJosh Lemon氏は、脅威ハンターにとって高品質なデータがいかに重要であるかを強調しています。
同氏は「たとえ室内で最も優れたハンターであっても、扱っているテレメトリが不完全であったり、一貫性がなかったり、アクセスや処理が困難な十数種類のツールに散在していたりすれば、成果を得られない可能性があります」と述べています。
「自らのハンティングが実際に機能しているかどうかを正式に測定しているプログラムはわずか40%にすぎず、ほとんどの組織はそのギャップがどれほどの損失につながっているのかを把握する術を持っていません」
ランサムウェアが依然としてハンティングチームにとって最大の脅威
各プログラム自体はかつてないほど成熟しており、回答者の80%以上が少なくとも2年間ハンティングに携わっていると回答しています。
ランサムウェア(55%)、ビジネスメール詐欺(BEC)(43%)、国家的脅威アクター(26%)、インサイダー (26%)が最も多く検出される脅威であり、中でも環境寄生型(living-off-the-land)の手法が群を抜いて多く見られます。
報告書は「既知の不正なハッシュ値やIPアドレスを基にハントを組み立てているようであれば、それは何年も前にそうした振る舞いをやめてしまった脅威アクターを追いかけているに等しい」と指摘しています。
しかし、こうした課題を抱えているにもかかわらず、脅威ハンターはAIや機械学習の導入に殺到しているわけではありません。今後計画している改善項目の上位にAI/機械学習の導入を挙げたのは39%にとどまり、昨年の48%から低下しています。
実際、これらのツールを利用する意向は2年連続で低下しています。SANSはこれについて、各チームが「願望の段階から、実際の実装という、より困難な作業へと移行しつつある」ためだとしています。
「自由記述の回答でエージェント型ハンティングフレームワークについて言及しているチームは、今後の方向性を示す初期のシグナルです」と結論づけています。
「現時点で埋めるべき最も実践的なギャップは測定の部分です。自らのプログラムが何を発見し、それによって何を防いだのかを示すことができなければ、本報告書で取り上げたその他あらゆる施策への投資を正当化することは、はるかに難しくなるでしょう」
翻訳元: https://www.infosecurity-magazine.com/news/data-top-bottleneck-barrier-threat/
