【脅威ハンティングとは？】
サイバー攻撃に先回りする防御術！

サイバー攻撃の手口は巧妙化し、従来のセキュリティツールをすり抜けてネットワーク内に何ヶ月も潜伏する攻撃者が後を絶ちません。アラートを待ってから対応する「事後対応型」の防衛だけでは、もう追いつかない。

そこで注目されているのが「脅威ハンティング（Threat Hunting）」です。

本記事では、脅威ハンティングの基本概念から活用されるフレームワークやツール、2026年の最新トレンド、日本と海外の政府・民間の取り組みまでを取り上げます。

脅威ハンティングとは何か？
1. 従来の防御との決定的な違い
脅威ハンティングの3つのアプローチ
脅威ハンティングのプロセス
脅威ハンティングを支えるフレームワーク
1. MITRE ATT&CK フレームワーク
2. その他の重要なフレームワーク
脅威ハンティングを支えるツール群
【2026年のトレンド】AIとクラウドが脅威ハンティングを変える
1. AIと人間の協働モデルが主流に
2. SANS 2026脅威ハンティング調査が示す進化
【日本の取り組み】能動的サイバー防御への転換
【海外の取り組み】政府と民間の連携モデル
日本と海外の比較サマリー
これからの脅威ハンティングに向けて
これからのサイバーセキュリティ
関連記事

脅威ハンティングとは何か？

脅威ハンティング（Threat Hunting）とは、ネットワーク内で検知されずに潜んでいるサイバー脅威をプロアクティブ（事前対応型）に探索する手法です。

従来のセキュリティ監視は「アラートが出たら対応する」という受動的な対応でした。しかし、攻撃者は検知回避技術を進化させ、セキュリティツールに引っかからないようにネットワーク内に潜伏できます。

攻撃者が検知を回避してネットワーク内に数ヶ月間留まり、密かにデータを収集し、機密資料を探し、ラテラルムーブメントのための認証情報を取得するケースが珍しくありません。

脅威ハンティングは、この「見えない敵」を見つけ出すための能動的なアプローチです。

従来の防御との決定的な違い

項目	従来の防御（インシデント対応）	脅威ハンティング
対応タイミング	事後対応型（リアクティブ）	事前対応型（プロアクティブ）
視点	外部からの侵入を防ぐ	すでに侵入されているという前提
手法	シグネチャ・ルールベース	仮説駆動・行動分析・TTP分析
対象	既知の脅威	未知の脅威・検知回避型攻撃

脅威ハンティングの根底にある考え方は、「攻撃者はすでに組織のコアシステムを侵害している」と仮定して行動することです。攻撃者は既存のツールでの検知を回避する方法を見つけており、脅威を根絶するにはアクティブなアプローチが必要だ。これが脅威ハンティングの出発点です。

脅威ハンティングの3つのアプローチ

脅威ハンティングには、3つの調査アプローチがあります。

仮説に基づく調査（Hypothesis-Driven）

クラウドソーシングされた攻撃データや攻撃者の最新のTTP（戦術・技術・手順）から仮説を構築し、自社環境内に同様の振る舞いがないかを探索します。
「この攻撃グループが最近使っている手法が、うちの環境でも使われているのではないか？」
そうした仮説を立てて調査を開始します。

IOC・IOAに基づく調査（Indicator-Driven）

既知の侵害の痕跟（IoC）や攻撃の痕跟（IoA）をトリガーにして、進行中の悪意あるアクティビティを明らかにします。脅威インテリジェンスフィードから得られた新しい指標を用いて、自社環境に該当する兆候がないかをスキャンします。

高度な分析と機械学習を用いた調査（Analytics-Driven）

膨大なデータを機械学習でふるいにかけ、悪意あるアクティビティの可能性がある異常を検知し、熟練アナリストが調査します。特定の手がかりを使わず、データ分析や異常検知の手法を用いて異常なパターンを見つけ出す「非構造化ハンティング」と呼ばれるアプローチも含まれます。

脅威ハンティングのプロセス

脅威ハンティングは4段階のプロセスで進行します。

【ステップ1】データの収集と分析

ログ、トラフィック、エンドポイントデータ、脅威インテリジェンスフィードなど組織のネットワーク内外から大量のデータを収集し、機械学習等で正常な振る舞いの基準を確立します。

【ステップ2】仮説の構築

データ分析から得られたインサイトに基づいて、潜在的な脅威に関する仮説を立てます。「この異常な通信パターンは、C2サーバーへのビーコン通信ではないか？」といった具体的な仮説です。

調査と検証

ネットワークトラフィックの調査、ログの確認、エンドポイントのアクティビティ調査などを通じて、IoCや悪意のあるアクティビティの兆候、異常なパターンを探します。Cybereasonによれば、調査対象となる具体的な指標には以下が含まれます。

特権ユーザーの異常な挙動
ログイン試行の異常
レジストリの変更
ポートへの異常なアクセス
地理的・季節的要因とは異なるデータ利用パターンの変動

継続的な改善

今回の教訓や新たな脅威インテリジェンスを以降の分析に反映させ、プロセスを洗練させます。収集したデータは自動化テクノロジーの有効性向上にも活用されます。

脅威ハンティングを支えるフレームワーク

効果的な脅威ハンティングには、標準化されたフレームワークの活用が不可欠です。

MITRE ATT&CK フレームワーク

攻撃者の「振る舞い」を体系化した世界標準の知識ベースです。

MITRE ATT&CKは、攻撃のさまざまな段階にわたる脅威の振る舞いを分類・分析する標準化された手法を提供します。政府機関ではレッドチームとブルーチームの演習に組み込まれ、現実的な攻撃シミュレーションと一貫した防御テストを支えています。

実際の活用事例として、下記が報告されています。

グローバル金融機関：ATT&CKを用いて検出エンジニアリングプログラムを再設計し、金融業界を標的とする攻撃者の手法に検出ルールを整合
医療機関：脅威ハンティングのプレイブックにATT&CKを統合し、初期アクセスや権限昇格などの早期段階に焦点を当てることでランサムウェア対応を迅速化
政府機関：レッドチーム・ブルーチーム演習にATT&CKを組み込み、現実的な攻撃シミュレーションを実施

その他の重要なフレームワーク

フレームワーク	概要
Lockheed Martin サイバーキルチェーン	攻撃プロセスの各段階と軽減策を特定し、予防的ハンティングを支援
OODAループ	観察→状況把握→意思決定→行動のサイクルで、進化する脅威に迅速適応
侵入分析のダイヤモンドモデル	攻撃者・インフラ・被害者・能力の4要素の相関を分析
脅威インテリジェンスのライフサイクル	インテリジェンスの収集・分析・配信の継続的プロセス

脅威ハンティングを支えるツール群

2026年時点での脅威ハンティングツールは、3つのカテゴリーに分類されます。

SIEM（セキュリティ情報・イベント管理）

SIEMとは、環境全体のログデータを一元管理し、相関分析で異常を検出。

Exabeam：振る舞い分析（UEBA）と自動化された調査ワークフロー
Splunk Enterprise Security：AI駆動の検出と機械学習を活用
SolarWinds Security Event Manager：中小規模環境向けの軽量SIEM

XDR（拡張検出・対応）

XDRとは、エンドポイント、クラウドワークロード、アイデンティティなど複数のセキュリティ層にわたるテレメトリを統合可視化。

CrowdStrike Falcon Insight XDR：AI搭載の統合脅威検出・対応
Microsoft Defender for Endpoint：デバイス全体の脅威防止・検出・対応
Cynet XDR：エンドポイント・ネットワーク・クラウドの統合プラットフォーム

TIP（脅威インテリジェンスプラットフォーム）

TIPとは、脅威インテリジェンスフィードを一元化、IoCや攻撃者の戦術に関する最新情報を提供。

IBM X-Force：脅威ハンティング、アドバイザリーシミュレーション、インシデント対応
Heimdal Threat-Hunting：SIEMとXDRが統合されたプラットフォーム
Cyble Vision：サーフェス・ディープ・ダークウェブからのインテリジェンス収集

ツール選定の4つの基準

Exabeamが提示する重要な選定基準は以下の通りです。

仮説駆動型調査のサポート：構造化されたワークフロー、テンプレート、プレイブック
高忠実度なテレメトリ収集：EDR、NDR、クラウドログソースとの統合
高度な検索・クエリ能力：大規模データセットに対する柔軟なクエリ言語
脅威インテリジェンスによるコンテキスト拡充：外部インテリジェンスとの自動相関

【2026年のトレンド】AIとクラウドが脅威ハンティングを変える

AIと人間の協働モデルが主流に

2026年、AIベースの分析と人間主導の脅威ハンティングを融合させる「デュアルアプローチ」が多くのセキュリティチームで採用されています。AIが大量データの収集・関連付け・異常特定を人間よりはるかに効率的に行い、脅威の検知と対応を迅速化する一方で、複雑な意思決定は人間のアナリストが担う分担が標準になりつつあります。

SANS 2026脅威ハンティング調査が示す進化

SANS Instituteの2026年脅威ハンティング調査によれば、脅威ハンティングはもはやニッチなスキルではなく、現代の防御における重要な柱へと成熟しました。主な発見事項は下記の通りです。

マルウェアフリー侵入の検知が主要課題に（マルウェアを使わない攻撃の増加）
認証情報の悪用とラテラルムーブメントの探索が重点領域
クラウド環境でのハンティングは進展する一方で、マルチクラウド環境の課題も顕在化
AIの有効性：どこが助けになり、どこが助けにならないかの実態が明確化

マルウェアを使わない攻撃（Living Off The Land戦術など）が増加する中、従来のシグネチャベースの検知だけでは対応できません。攻撃者の「振る舞い」に着目する脅威ハンティングの価値が高まっています。

【日本の取り組み】能動的サイバー防御への転換

NISCが推進する脅威ハンティングの普及

日本政府は、サイバー攻撃に対する防御力を強化するため、「能動的サイバー防御（ACD）」の実現を目指しています。内閣サイバーセキュリティセンター（NISC）、現在の国家サイバー統括室（NCO）は、能動的サイバー防御の3つの柱で施策を推進しています。

官民連携の強化：国が積極的に関与し、官民一体でサイバーセキュリティを確保
通信情報の利用：複雑化するネットワークから攻撃元を探知するための通信情報活用
アクセス・無害化措置の導入：攻撃元サーバ等に対し政府機関がアクセスし、脅威を無害化する措置（国際法上許容される範囲内で実施）

脅威ハンティングは、この能動的サイバー防御に資する情報を得る手段として、極めて有効と位置付けられています。

2026年夏に基本方針を策定

日本のサイバーセキュリティ戦略では、脅威ハンティングは下記のように位置付けられています。

「脅威ハンティングが浸透していない我が国の現状に鑑み、脅威ハンティングの普及を促進する必要がある。」

2026年夏を目処に脅威ハンティングの普及促進・実施に関する基本方針を策定
脅威ハンティングの定義や先端技術活用手法の確立を通じて認知度の向上を図る
各組織の必要性や能力・体制に応じた取り組みを整理し、実施を促進
警察や防衛省・自衛隊が有する脅威ハンティング能力を政府機関・重要民間事業者等に対して活用することを検討

NISCの具体的な取り組み

NISCは2025年、脅威ハンティング調査の支援・調整・分析等に関する業務に従事する特定任期付職員を募集するなど組織的な対応力の強化を進めています。

政府機関・重要インフラに対して脅威ハンティング手法を導入し、侵害の兆候を探索する支援を拡大。人材育成プログラムとしてNICT「CYDER」やIPA「中核人材育成プログラム」の拡充も行われています。

地方自治体への対応拡大

2026年度から地方自治体にサイバー対策方針の策定が義務化されます。支援するため、セキュリティクラウドの提供や人材育成体制の強化が計画されています。

【海外の取り組み】政府と民間の連携モデル

【🇺🇸 米国】CISAの主導的役割

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、重要インフラをサイバー脅威から保護する政府機関として脅威ハンティングを含む包括的なサイバーセキュリティ対策を主導しています。CISAは堅固なトレーニングプログラムを提供し、官民連携のハブとして機能しています。

政府機関ではMITRE ATT&CKフレームワークをレッドチーム・ブルーチーム演習に組み込み、現実的な攻撃シミュレーションと継続的な防御テストを実施しています。

【🇪🇺 欧州】ENISAとサプライチェーン防御

欧州ネットワーク・情報セキュリティ機関（ENISA）は、サプライチェーン攻撃の増加に警鐘を鳴らし、2020年には前年の4倍のサプライチェーン攻撃が発生したと推定しています。報告されたインシデントの約66%は、顧客を侵害するためにソフトウェアサプライチェーンが悪用された事例でした。

民間企業の先進的な取り組み

海外の先進的な民間企業では、下記のような取り組みが進んでいます。

グローバル金融機関：ATT&CKを用いた検出エンジニアリングプログラムの再設計
医療機関：ATT&CKを脅威ハンティングのプレイブックに統合し、ランサムウェア対応の迅速化
マネージド脅威ハンティングサービス：CrowdStrikeの「Falcon OverWatch」など、専門チームによる24時間365日のハンティングサービスが普及

日本と海外の比較サマリー

項目	日本	海外（米国・欧州）
脅威ハンティングの浸透度	まだ浸透途上（戦略でも指摘）	政府・民間ともに比較的浸透
法制度	「サイバー対処能力強化法」成立、能動的サイバー防御を推進	CISA法、ENISA法等で権限明確化
基本方針	2026年夏に脅威ハンティング基本方針を策定予定	MITRE ATT&CK等を政府演習に統合済み
官民連携	新たな官民連携エコシステムを構築中	情報共有のエコシステムが比較的成熟
人材育成	CYDER、中核人材育成プログラム等を拡充	SANS等の民間トレーニングが充実

これからの脅威ハンティングに向けて

脅威ハンティングは、「あれば良いもの」から「なくてはならないもの」へと移行しています。2026年のトレンドを総合すると、下記の方向性が明確です。

AI×人間の協働が標準に：AIがデータ処理を担い、人間が戦略的判断を担う
クラウド環境への対応が必須：マルチクラウド環境でのラテラルムーブメント検知が課題
マルウェアフリー攻撃への対応：振る舞いベースの検知が重要性を増す
日本の本格始動：2026年夏の基本方針策定を起点に脅威ハンティングが普及へ

これからのサイバーセキュリティ

脅威ハンティング（Threat Hunting）は、「アラートを待つ」防御から「脅威を狩りに出る」防御へのパラダイムシフトです。攻撃者がすでに中にいるという前提に立ち、仮説を構築し、データを分析し、異常を見つけ出す能動的なプロセスこそが、現代のサイバーセキュリティにおいて不可欠な要素になっています。

日本は2026年夏の基本方針策定を前に、脅威ハンティングの普及に本腰を入れています。海外ではすでにMITRE ATT&CKフレームワークを活用した高度なハンティングが政府・民間で実践されています。

「最善の防御は、攻撃者を見つけに出ることだ。」

サイバー空間の脅威は、待っていては見つかりません。
狩りに出る時が来ています。