スレットハンティング
自動アラートをすり抜けてすでに内部にいる攻撃者を、能動的に探し出す手法。仮説を一つずつ立て、テレメトリを手作業で調べていく。
通常の防御は受け身だ。ツールが警告を出し、人が調べる。スレットハンティングはこれを逆転させ、攻撃者はすでに侵入済みで、ただ見えていないだけだと仮定するところから始める。ハンターは「アカウントが乗っ取られているなら、不自然な時間帯のログインがあるはずだ」といった仮説を立て、ログやEDRのデータを掘って裏付けるか否定する。
作業はEDR、XDR、SIEMの豊富なテレメトリと、攻撃手法に関する最新の脅威インテリジェンスに支えられる。腕のあるハンターは希少なため、CrowdStrikeなどは人員付きのサービスとして販売している。もっとも、見つかるものの大半は決定的な証拠ではなく、人為的なミスである。