攻撃を「探す」防御へ ― 脅威ハンティング導入の実務

公開日：2026.08.21

攻撃を「探す」防御へ ― 脅威ハンティング導入の実務

この記事をシェア

2026年7月31日、サイバーセキュリティ戦略本部が「脅威ハンティングの普及促進・実施等に係る基本方針」を決定しました。同じ会合では「サイバーセキュリティ2026」や「重要インフラのサイバーセキュリティ対策のための統一基準」など、あわせて7件が決定されています。このうち「サイバーセキュリティ2026」には、サイバー対処能力強化法に基づく協議会の立ち上げと、アクセス・無害化措置の運用指針の整備が挙げられています。いずれも2026年10月1日の施行に向けた取組です。

国のサイバー防御は、攻撃を受けてから対処するだけでなく、兆候を早期に捉え、被害を未然に防ぐ方向へと進みつつあります。ただし、企業に求められるのは、攻撃者への「反撃」ではありません。自社の環境に侵入・潜伏している可能性を前提に、まだ検知されていない痕跡を能動的に探すことです。その中心となる実務が、脅威ハンティングです。

本記事では、技術的な手順には立ち入りません。脅威ハンティングの全体像、能動的サイバー防御との関係、実施のアプローチ、そして自社への導入の進め方を、実務の視点で整理します。

1. 脅威ハンティングとは ― 従来のSOC運用との違い
2. なぜ今、国が普及を促すのか
経営層が押さえるべき点
3. 能動的サイバー防御との関係 ― 国の措置と企業の実務
法務部門が確認すべき点
4. 実施アプローチ ― 3つの型
①仮説駆動型
②インテリジェンス駆動型
③異常検知型
5. 脅威インテリジェンスをどう活用するか
6. 導入の現実解 ― 体制・スキル・データをどう整えるか
①体制
②スキル
③ツール
まとめ：攻撃を「待つ」防御から、「探す」防御へ
参照資料・関連リンク

1. 脅威ハンティングとは ― 従来のSOC運用との違い

基本方針は、脅威ハンティングを「従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動」と定義しています。言い換えれば、「すでに侵入されているかもしれない」という前提に立ち、セキュリティ製品のアラートが出ていない段階から、攻撃の痕跡を能動的に探す活動です。

従来のSOC（セキュリティ・オペレーション・センター）運用の起点は、アラートです。あらかじめ用意した検知ルールやシグネチャに「引っかかった」ものを拾い、そこから調査を始めます。いわば、警報が鳴るのを待つ受動的なアプローチです。

これに対し、脅威ハンティングは、警報が鳴っていない状態から始まります。「この手口で侵入された場合、どのような痕跡が残るか」という仮説を立て、ログや通信、端末の状態を人の目で掘り下げていきます。自動検知を置き換えるものではなく、その死角を分析者の仮説と検証で補う取り組みです。

攻撃者が、正規のツールや有効なアカウントを悪用し、通常業務に紛れて活動することがあります。このような攻撃は、既知のパターンだけに依存した監視では捉えにくくなります。脅威ハンティングの意義は、侵入から発覚までの空白を短くし、事業停止や情報流出の影響が拡大する前に対処の端緒を得ることにあります。

2. なぜ今、国が普及を促すのか

政府が脅威ハンティングの普及を掲げる背景には、高度な侵入・潜伏能力を備えた攻撃への警戒があります。重要インフラや政府機関への攻撃は、システムの停止だけでなく、社会サービスやサプライチェーンの継続にも影響し得ます。アラートを待つだけでは発見が遅れるため、侵害を前提に痕跡を探す能力が、組織のレジリエンスを支える要素として重視されています。

基本方針が挙げる対象組織は、政府機関、独立行政法人、指定法人、重要インフラ事業者等、基幹インフラ事業者、そして「その他重要情報の漏えい等が我が国に深刻・致命的な影響を生じさせるおそれがある民間事業者等」です。重要インフラ以外の一般企業も、はじめから射程に入っています。基本方針は、民間事業者での脅威の見落としや侵入の放置が、サプライチェーンを通じて同業種の組織や重要インフラ事業者、政府機関にまで波及しうると指摘しています。取引先との接続、クラウドの利用、委託先の広がりを踏まえれば、侵入の早期発見は自社だけの問題ではありません。

経営層が押さえるべき点

脅威ハンティングは、技術部門だけの追加作業ではありません。「どの事業を優先して守るか」「何をもって重大な兆候と判断するか」「発見時に誰が意思決定するか」をあらかじめ定める、経営管理の取り組みです。早期発見への投資は、停止時間、復旧費用、説明責任の負担を抑えるための基盤整備と位置づけられます。

3. 能動的サイバー防御との関係 ― 国の措置と企業の実務

「能動的サイバー防御」という言葉は、国が行う措置と、企業が自社内で行う防御活動を分けて理解する必要があります（能動的サイバー防御についてはこちらで解説しています）。サイバー対処能力強化法等に基づくアクセス・無害化措置を実施するのは、警察庁長官が指名した警察官です（警察官職務執行法）。実施には、原則としてサイバー通信情報監理委員会の事前承認が必要で（緊急の場合は事後の通知）、外国の設備が対象なら外務大臣との事前協議も求められます。高度に組織的・計画的な攻撃で、自衛隊の対処が必要と内閣総理大臣が認めた場合は、自衛隊も加わります。国家公安委員会の要請または同意を前提に、自衛隊法上の「通信防護措置」として警察と共同で実施します。いずれも、企業が攻撃元のサーバーへ侵入したり、反撃したりすることを認める制度ではありません。

なお、2026年10月1日に施行されるのは、このアクセス・無害化措置と、後述する協議会、そして特定重要電子計算機の届出・報告義務です。能動的サイバー防御のもう一つの柱である通信情報の利用は、2027年11月までに別途施行される予定で、施行日を定める政令はまだ公表されていません。10月にすべてがそろうわけではない点は、社内で説明する際に押さえておきたいところです。

企業にとっての「能動性」は、自社が管理する環境の内側で、侵入・潜伏を前提に痕跡を探し、影響範囲を見極め、封じ込めや復旧につなげることにあります。ここに脅威ハンティングの実務上の位置づけがあります。

国と企業の活動は、情報を介して補完し合います。企業が捉えた侵害の兆候や攻撃手法は、法令、契約、秘密保持、個人情報保護に配慮したうえで、官民の情報共有や業界団体の分析に生かされる可能性があります。反対に、政府や専門機関から共有される脅威情報は、企業が仮説や優先順位を定める手掛かりになります。ただし、共有の対象、根拠、手続、社内承認は、事前に整理しておくことが不可欠です。

この官民の情報共有の受け皿として、サイバー対処能力強化法は新たな協議会を設けています。内閣総理大臣が設置し、構成員となるのは、あらかじめ同意した重要電子計算機の使用者等です。構成員には守秘義務を伴う情報が共有され、必要な資料の提出等を求められることがあります。基本方針も、この協議会の活用による官民連携の強化を求めています。参加は同意に基づくため、構成員となるかどうか、共有された情報を社内でどう扱うかは、あらかじめ検討しておく論点です。

法務部門が確認すべき点

脅威ハンティングでは、端末ログ、認証記録、通信記録などを扱います。導入時に確認したいのは、取得目的、対象範囲、保存期間、閲覧権限、委託先との責任分界、国外移転の有無、従業員への周知です。必要性と相当性を説明できる状態にしておきます。協議会に参加する場合は、共有された情報の取扱いと守秘義務の社内運用（閲覧できる範囲、記録の保存、委託先へ伝えてよい範囲）も、参加の前に整理しておきます。

4. 実施アプローチ ― 3つの型

脅威ハンティングは、目的なくログを眺める作業ではありません。一般には、次の3つのアプローチに整理されます（基本方針の分類ではなく、実務上の整理です）。実務では、いずれか一つを選ぶのではなく、自社のリスク、利用できるデータ、人材の成熟度に応じて組み合わせます。

①仮説駆動型

攻撃者が用いる典型的な手口（TTPs）をもとに、「自社が狙われるとすれば、どの経路で、どんな痕跡を残すか」という仮説を立て、それを検証していきます。MITRE ATT&CKのような攻撃手法のフレームワークが土台になります。分析者の知見に支えられる、最も王道のアプローチです。

②インテリジェンス駆動型

外部の脅威インテリジェンス、とりわけIOC（侵害指標）や攻撃者に関する情報を起点に、自社環境に一致する痕跡がないかを照合します。今まさに流行している脅威に素早く対応できる一方で、良質な脅威インテリジェンスをいかに入手するかが前提になります。

③異常検知型

平常時の「普通の状態」をベースラインとして定義し、そこからの逸脱を探します。大量のログやデータの分析、機械学習の活用が中心となり、データ基盤と分析ツールの整備が鍵になります。

TTPsは攻撃者の戦術・技術・手順、IOCは不審なIPアドレスやファイルのハッシュ値など、侵害の可能性を示す技術的な手掛かりを指します。これらは判断材料であり、単独で侵害を確定するものではありません。業務上の文脈や他の証拠と組み合わせて評価するのが現実的です。

5. 脅威インテリジェンスをどう活用するか

脅威ハンティングの精度は、「何を手掛かりに、どこを優先して探すか」に大きく左右されます。その判断を支えるのが脅威インテリジェンスです。重要なのは、情報量ではなく、自社の事業、資産、取引関係、利用技術に照らして意味のある情報へ絞り込むことです。

攻撃者は誰か、どんな手口を使うか、どのような痕跡（IOC＝侵害指標）を残すか。こうした情報が仮説の質を高め、インテリジェンス駆動型ハンティングの起点そのものになります。逆に、良質なインテリジェンスがないままでは、ハンティングは自社ログの海を当てもなく漂う作業になりかねません。

脅威インテリジェンスは、粒度によって整理すると理解しやすくなります。

ハンティングの現場で直接使うのは戦術的・技術的なインテリジェンスですが、戦略的なインテリジェンスは経営層が投資の優先順位を判断する材料になります。

情報源には、政府・専門機関、業界ISAC、商用サービス、公開情報などがあります。確認したいのは、①自社との関連性、②情報の鮮度と信頼性、③自社環境にあてはめて調査や対策へ移せる体制の3点です。IOCは陳腐化が早いため、照合の結果だけで安心せず、攻撃者の行動様式を示すTTPsや自社固有のリスクと組み合わせます。

つまり、脅威ハンティングを機能させるには、良質なインテリジェンスと、それを自社に適用する体制・スキルの両輪が欠かせません。

6. 導入の現実解 ― 体制・スキル・データをどう整えるか

脅威ハンティングは、突き詰めれば人が主役の活動です。多くの企業にとって最大の壁は、探せるスキルを持った人材の確保にあります。日本でハンティングがまだ浸透しきっていない背景にも、この課題があります。導入を現実的に考えるなら、体制・スキル・ツールの3つの観点で足元を点検すると整理できます。

①体制

「誰が、どのくらいの頻度でハンティングを行うのか」を決める必要があります。専任チームを置くのが理想ですが、まずは既存のSOCやCSIRTの活動に定期的なハンティングの時間を組み込むところから始める企業も少なくありません。

②スキル

攻撃者の思考を理解し、仮説を立てて検証できる分析者の存在が鍵になります。また基本方針は、あわせて「橋渡し人材」の必要性を挙げています。セキュリティ上の課題を経営や事業の観点に置き換えて、経営層に伝える役割です。分析できる人材と、それを経営の言葉に翻訳できる人材は、別のスキルです。CSIRTの体制を設計するときは、両方を意識したいところです。

人材の壁を下げるための支援策も、基本方針に並んでいます。国家サイバー統括室（NCO）は、ガイドブック等の作成・提供と、経営層・実務者層向けの研修や実習の機会の提供を掲げています。総務省・情報通信研究機構（NICT）には大規模演習基盤が整備され、既存の演習（CYDER、CYROP）も内容が充実化されます。経済産業省・IPA産業サイバーセキュリティセンター（ICSCoE）の中核人材育成プログラムも位置づけられています。育成計画には、こうした公的な機会を組み込む余地があります。

③ツール

土台になるのは、端末や通信の記録を残すログ基盤、その分析を支える仕組み、そして前章で述べた脅威インテリジェンスです。見落とされがちなのは、「そもそも探せる状態になっているか」という前提です。ログが十分に取得できていなければ、痕跡は追えません。どんな資産がインターネット上に露出しているかを把握できていなければ、守るべき範囲すら定まりません。見えていない資産は、ハンティングのしようがないのです。

「探せる状態」かどうかは、次の4点で確かめられます。端末・サーバー・認証・ネットワークのログをどこまで取得し、どのくらい保存しているか。その保存期間が、侵入から発覚までに想定される期間をカバーしているか。インターネットに露出している自社資産を把握できているか。委託先やクラウド上の環境から、必要なときにログを取り寄せられる契約になっているか。いずれも、ハンティングを始める前に答えを出しておきたい問いです。

こうした体制・スキル・ツールを、すべて自前でそろえるのは容易ではありません。そこで現実的な選択肢となるのが、内製と外部活用の組み合わせです。自社環境を深く理解した内製の強みと、専門人材や最新のインテリジェンスに素早くアクセスできる外部活用の強みは、性格が異なります。まず外部の力で型をつくり、段階的に内製の比重を高める進め方が現実的です。ただし基本方針は、外部委託を選択肢として認めつつ、「外部組織を適切に管理・監督できるだけの知識・能力を自組織内に保持することが重要」と付言しています。丸投げでは成り立たないという指摘です。

まとめ：攻撃を「待つ」防御から、「探す」防御へ

高度なサイバー攻撃は、既存の検知をすり抜け、正規の操作に紛れて潜伏することがあります。だからこそ企業には、警報を待つだけでなく、侵入の可能性を前提に兆候を探し、早期の意思決定につなげるために、脅威ハンティングという考え方が求められています。

2026年7月31日に決定された基本方針と、10月1日に始まるアクセス・無害化措置および官民連携の協議会は、「待つ」から「探す」への転換を、国の側から後押しするものです。

もっとも、この転換を国任せにはできません。国の措置が守るのは社会全体の枠組みであり、自社のネットワークの内側を探せるのは自社だけです。問われているのは、企業自身が「探す」側に回れるかどうかではないでしょうか。

とはいえ、最初から大がかりに始める必要はありません。まずは「探せる状態」を整えることから始まります。ログを確実に取得し、インターネットに露出した自社資産を可視化する。そのうえで、既存のSOCやCSIRTに定期的なハンティングの時間を組み込む。足りない体制・スキル・インテリジェンスは、公的な研修や演習の機会や外部の活用で補う。この積み重ねが、現実的な導入の道筋です。

大切なのは、何を恐れるかではなく、何から着手するかです。攻撃をいち早く見つけ出す力を養うことは、事業を止めないための、そして経営の足腰を強くするための投資です。「待つ」防御から「探す」防御へ。その第一歩を、自社の現状の点検から始めてみてください。

CTCでは、長年のセキュリティ運用支援やコンサルティングの知見を生かし、企業ごとの事業特性やリスクに応じた対策の設計・実装を支援しています。脅威ハンティングについても、外部活用の選択肢の一つとして、弊社のインテリジェントサービスをご利用いただけます。自社に管理・監督の力を残しながら成熟度を高めていくための伴走支援も提供しています。よろしければご相談ください。

※本記事の内容は2026年8月時点の情報に基づいています。政省令・ガイドラインの策定状況により内容が変わる可能性がありますので、最新の公式発表もあわせてご確認ください。