Huntressは、同社のAgentic Security Platform全体にわたる一連の新機能を発表しました。実際の攻撃から得たインテリジェンスを、個々の組織だけの問題として終わらせず、すべての顧客を守るプロアクティブな防御に変えることを目指しています。
今回のアップデートは、Managed ITDR、Managed EDR、Managed SIEM、Managed SAT、Managed ISPMに及びます。基盤となるのは、約30万社の企業、1,700万のアイデンティティ、600万のエンドポイントにわたる同社の可視性と、24時間365日稼働するAI中心のセキュリティオペレーションセンター（SOC）です。
考え方はシンプルです。ある組織が攻撃を受けると、Huntressはそこで得た知見を自動ブロック、潜伏した侵害の早期検知、攻撃の妨害、リアルタイムのユーザー介入を通じて、顧客全体に適用します。
「マシンの速度で動く脅威に対抗するには、攻撃者を誰よりもよく理解し、次の一手を先読みする必要があります。そのためには、あらゆる攻撃から継続的に学び、当社の規模と一流のセキュリティ研究者の力を生かして、そのインテリジェンスをより強力な保護に変えなければなりません」と、HuntressのChief Product OfficerであるPrakash Ramamurthy氏は述べています。「今回の革新は、比類なき人間の専門知識、AI、実環境の脅威インテリジェンスを結集し、攻撃者の動きと同じ速さで企業を守る取り組みを示すものです」
サインイン時にIDベースの攻撃をブロック
Managed ITDRの目玉機能は「Adversary Infrastructure」です。Huntressは、IDベースの攻撃に使われたホスティング、リレー、プロキシのインフラを確認すると、その情報をブロック型の条件付きアクセスポリシーに変換します。このポリシーは、対象条件を満たしオプトインしているすべてのMicrosoft 365テナントに、同じ日のうちに適用されます。ある顧客が受けたインシデントが、攻撃者が次の標的に移る前に、より広い顧客基盤の保護につながります。
Managed ITDRは、不審なサービスプリンシパルの検知と遮断にも対応しました。この機能は、ConnectWise/SkyKickのベンダー侵害に関するHuntressの調査を基にしています。この事案では、攻撃者が盗んだベンダーの認証情報を使い、Microsoft 365環境にアクセスしました。新機能はサービスプリンシパルのサインインを分析して詳細なインシデントレポートを発行し、侵害されたアプリケーションをパートナーの介入なしで自動的に無効化します。Microsoft Entra ID P1以上のライセンスを持つテナントで、すでに利用できます。
ITDRの3つ目の新機能「Lookback」は、新たに導入したMicrosoft 365テナントについて、最大180日分のログイン履歴を調べます。導入前に発生していた認証情報の窃取、トークンの窃取、中間者（AiTM）攻撃、不審なブラウザー、データセンターからのログインなどの痕跡を探します。侵害がまだ続いている場合、Huntressは調査したうえで、該当するIDのセッションを失効させます。アーリーアクセス期間中には、Lookbackによって、あるMSPが不動産取引の200万ドルの送金が侵害されていたことを突き止めました。不審な活動は、導入の3日前にさかのぼるものでした。
リモートからのランサムウェア攻撃を妨害
Huntressによると、今年観測したランサムウェア事案のうち約30%は、保護されていないシステムが起点でした。攻撃者はこうしたシステムを足がかりに、偵察やネットワーク全体への攻撃を仕掛けます。保護されたエンドポイントには、こうしたリモート攻撃の従来型の痕跡がほとんど残らないため、従来のエンドポイント製品では阻止が困難です。
Managed EDRは今回、Ransomware Canariesを使ってこの活動を検知します。保護されたシステムと、侵害された未保護のマシンとの間の通信を自動的にブロックし、被害の拡大を食い止めます。この機能は11月30日に一般提供が始まり、Managed EDRで保護されているシステムでは自動的に有効になります。
ブルートフォース攻撃の可視化とIDセキュリティ態勢の評価
Managed SIEMの新機能「Brute Force Sentry」は、Windows RDP、RD Gateway、RDWeb、Linux SSHにおけるブルートフォース攻撃を検知します。複数のログソースにまたがって、失敗したサインインとその後の成功を突き合わせて相関分析します。顧客は、露出している接続面、標的となったアカウント、執拗な攻撃元を把握できます。必要なテレメトリーがあれば自動的に有効になり、対象外の場合はその旨と理由を明示します。一般提供は11月18日に始まります。
Managed ISPMには、オンデマンドの「Identity Posture Assessment」が加わりました。これは、任意のMicrosoft 365テナントのIDセキュリティ態勢を、Huntress Identity Security Frameworkに照らして採点した共有可能なスナップショットです。優先順位付きの不備一覧と、推奨される次のステップも示されます。
攻撃の最中にユーザーを教育
人的側面では、Managed SATが「Defense Drills」を導入しました。これは、HuntressのSOCが最近検知した攻撃者の手口をもとにした、短時間で実践的なシミュレーションです。Managed EDRとの連携により、このドリルはリアルタイムの介入手段としても機能します。たとえばClickFix攻撃を遮断すると、ユーザーの画面には、何を阻止したのかを説明するポップアップが表示されます。続けて、ClickFixの仕組みを学ぶ短いドリルへ誘導されます。受講の完了は、EDRのインシデントレポートに記録されます。EDRをきっかけとするこのトレーニングは、SATを使っているかどうかにかかわらず、すべてのEDR顧客が利用できるようになります。
「HuntressのManaged SATは、SOCが実際に確認している攻撃者の手口に基づいています。そのおかげで、学区全体がわずか数分で侵害されかねないことを、学校の管理者やユーザーに示すことができました。リスクが現実になる様子を見せることには、非常に大きな力があります」と、Hunterdon County Educational Services CommissionのSystems & Network AdministratorであるMichael Codis氏は述べています。
Huntressは、SOCアナリスト、脅威研究者、戦術対応チーム、検知エンジニアの間で絶え間なくフィードバックを循環させていると説明しています。これに顧客基盤全体のテレメトリーを組み合わせることで、実環境で観測した脅威を踏まえた保護機能を開発・展開できるとしています。
