脅威ハンティング & 検知エンジニアリング
アクション必須（読んだらすぐ実行）
NOW: ブルーチーム/ハンティングの権限とデータソース範囲を確認（SIEM、EDRエクスポート）NOW: 仮説を明確にしてからデータを調査し、闇雲にアラートを追わないNEXT: ツールとデータの接続方法を確認ACT: 仮説 → クエリ → 検証 → ルール化
適用シナリオ
- 脅威ハンティング（仮説駆動型）
- Sigma / YARA 検知エンジニアリング
- アラートチューニング、誤検知分析
malware-analysis/との連携：サンプル由来のIOC → 本スキルで検知ルール化digital-forensics/との連携：フォレンジックアーティファクト → 横断的ハンティング
ワークフロー
1. 仮説構築
例：攻撃者が living-off-the-land 手法で横展開
→ データソース：Sysmon イベントID 1/3/10、Windows Security イベントID 4624/4648
→ 成功基準：異常な親プロセスまたは珍しいアカウントのログオン元の発見
2. クエリと積み上げ
□ ベースライン：通常の管理者行動時間帯とホスト
□ 異常：新しいサービス、エンコードされたPowerShell、異常な外部通信
□ 関連付け：同一アカウントによる複数ホストへの短時間ログオン
3. ルール化
# Sigmaの骨格は malware-analysis を参照；本スキルでは以下を重視：
# - 誤検知の範囲
# - データソースのフィールドマッピング
# - 対応プレイブックへのリンク
4. 検証
□ アトミックテスト（Atomic Red Team）は許可された実験室でのみ実行
□ 過去ログのリプレイによる再現性の確認
ツールチェーン
| ツール | 用途 |
|---|---|
| Sigma CLI / sigmac | ルール変換 |
| YARA | ファイル/メモリ検知 |
| SIEM（ELK/Splunk 等） | クエリ実行 |
| osquery | エンドポイントハンティング |
| Atomic Red Team | 検知検証（実験室） |
参考
references/hunting-loop.md../malware-analysis/references/yara-sigma-rules.md../digital-forensics/
ルーティングコンテキスト
上流: MASTER R27 下流: 侵入確定 → forensics；悪性サンプル → malware-analysis 禁止事項: 許可のない本番環境での攻撃シミュレーションの実行
タスク完了チェックリスト
- 明確な仮説と結論があるか？
- ルールに誤検知情報とデータソースが明記されているか？
- チェックリストはあるか？