先日は、APDフレームワークについて取り上げました。
今回は、Trailheadというキーワードとその背後にある仮説構築について、ホワイトペーパーを読み解きながらまとめていきたいと思います。
キーワード４：Trailhead & Hypothesis
Trailhead（調査の起点）とは、Threat Huntingに関するプロセスを開始するトリガーのことです。Threat Huntingで分析担当者の重要な役割のひとつに、どんな脅威を捕捉したいのか、どのような方法で見つけられるのか、といった課題設定が挙げられます。この課題設定を「仮説」（Hypothesis）と呼んでいます。つまり、Trailheadとは「設定した仮説」のことを意味します。
それでは、仮説が持つべき要素、仮説を構築する方法論とはどのようなものでしょうか？
仮説が持つべき要素
Threat Huntingの文脈における仮説とは以下の２要素を兼ね備えている必要があります。
- 観察（Observation）に基づくこと
- 検証可能（Testable）であり、検証に必要なデータにアクセスできること
３つの仮説のタイプ
なお、Sqrrl社によれば、仮説の構築方法は大きく３種類あるとしています。
- Intelligence-Driven Hypotheses
- Situational-Awareness
- Domain Expertise
Intelligence-Driven Hypotheses
Intelligence-Driven Hypothesesとは、Cyber Threat Intelligenceチームの情報、マルウェア分析や脆弱性スキャンの結果、既知のIOC（Indicator of Compromise）やTTP（Tactics, Technique, Procedure）などを元に仮説を構築する手法です。IOCなどをもとに仮説を構築する手法は一般的な仮説構築手法だといえます。
Situational-Awareness
Situational-Awareness Driven Hypothesisとは、環境におきた変化に気付き、仮説を構築する方法で、ベースラインをよく知っていることが条件となります。このとき、攻撃者は価値のある資産、もしくは一番リスクが高い場所から狙いを定めてくることが前提となることから、Crown Jewel analysisやリスク・アセスメントなどを事前にしておくことで集めるべき情報が明確になり、仮説が立てやすくなります。
大きなネットワークではマニュアルで対応することには限界があるため、自動化・リスクアルゴリズムなどAnalytics-Driven Approachを併用するように述べています。具体的には、UEBA・EDR・SIEMなどの各種分析ツール、もしくは機械学習など各種アルゴリズム分析によって抽出された結果をもとに分析を進めていく必要があります。
Domain Expertise
Domain Expertiseとは、過去の経験に基づく仮説です。具体的には、各アナリストは異なる経験を持っているために、文書化による情報共有をして、全員が同じ過去の事例を知っていることが重要だと指摘しています。また、過去の経験に基づく仮説は認知的バイアスにかかっている可能性があるため、その点についても注意する必要があります。なお、分析における認知的バイアスについては、Threat Intelligenceの分野で必ず取り上げられる話題なので、別の機会にまとめたいと思います。
まとめ
仮説構築については、いかがだったでしょうか。Cyber Threat Intelligenceの授業でもこれらのことについて触れられます。次は、この仮説を基にした、Threat Hunting Loopについて解説をしたいと思います。
