Threat Hunt エージェントの概要

以下でサポートされています。

Threat Hunt エージェントは、Google Security Operations に組み込まれた自律型の AI 機能で、企業全体のセキュリティ テレメトリーに対するプロアクティブな脅威ハンティングを自動化します。

このガイドは、企業全体のセキュリティ テレメトリーに対するプロアクティブな脅威ハンティングを自動化したい Google SecOps アナリストと脅威ハンターを対象としています。Threat Hunt エージェントを使用して、脅威ハンティングの計画、テレメトリーのクエリ、フォレンジック証拠の分析を自律的に行う方法について説明します。Threat Hunt エージェントを使用すると、手動で調査しなくても、隠れた攻撃者を検出し、セキュリティの仮説を検証できます。完了すると、調査時間が短縮され、新たな脅威への対応が迅速化されます。

ユースケース: 脅威の仮説検証を自動化する

  • 目的: 脅威の仮説を検証するために必要な調査、クエリの作成、ノイズのフィルタリングを自動化します。
  • 価値: 手動でのログ分析とクエリの作成にかかる時間を短縮することで、上級アナリストが複雑なタスクに集中できるようにします。

主な用語

  • Threat Hunt エージェント: Gemini を搭載し、Google Threat Intelligence、Mandiant の最前線の専門知識、MITRE ATT&CK® フレームワークに基づいて、プロアクティブな脅威ハンティングを自動化する自律型 AI 機能。
  • YARA-L 2.0（YL2）: Google SecOps が過去のテレメトリーをクエリするために使用する検索クエリ言語。
  • 判定: エージェントが発行した最終的な結論。例: Substantial Evidence、Evidence Found、Threat Not Found。

始める前に

次の前提条件を満たしていることを確認します。

  • Enterprise Plus ライセンス: 公開プレビュー版の段階では、Threat Hunt エージェントは Enterprise Plus をご利用のお客様のみが利用できます。これは、Google Threat Intelligence を頻繁に呼び出す Emerging Threats 統合ポイントが原因です。
  • 新しいケース管理エクスペリエンス: Threat Hunt エージェントを使用するには、新しいケース管理エクスペリエンス を有効にする必要があります。新しいケース管理エクスペリエンスは現在、公開プレビュー版です。プレビュー機能を有効にする方法については、プレビュー機能を管理するをご覧ください。
  • 権限: Google SecOps プラットフォーム（特にケース管理）への適切なアクセス権が必要です。
  • 環境チェック: 組織でマルチテナント環境またはセグメント化された環境を使用している場合は、ターゲット環境にアクセスできることを確認してください。

脅威ハンティングを開始する

次の手順では、[Emerging Threats] ウィンドウから Threat Hunt エージェントを開始する方法について説明します。

  1. ナビゲーション メニューから、[Detection] [>] [Emerging Threats] に移動します。[New Threat Hunt] をクリックします。
  2. [Agentic Threat Hunt] ダイアログで、次のように構成します。
    • [What would you like to hunt for?] セクションで、調査する脅威カテゴリを選択します。
      • Actor: や など、既知の攻撃者グループを検索します。APT28UNC2452
      • Campaign: 組織化された攻撃者のキャンペーンを検索します。
      • マルウェア: FAKEUPDATES や CHERRYRED など、特定のマルウェア ファミリーまたはローダーを検索します。
      • ソフトウェア ツールキット: PowerShell、Certutil、vssadmin など、悪用された管理ツールまたは Living-off-the-Land Binaries（LOLbins）を検索します。
      • TTP: T1003.001 - OS Credential Dumping: LSASS Memory など、特定の MITRE ATT&CK 手法を検索します。
    • 脅威カテゴリを選択したら、その横のフィールドで特定の脅威名、エイリアス、MITRE ID を選択します。
    • [Select your hunt window] で、分析する過去のテレメトリーの期間を定義します。デフォルトは過去 7 日間です。最長 30 日間です。
    • [Case environment] メニューで、該当する場合は、検索するターゲット環境を選択します。
  3. [Begin Hunt] をクリックして、調査を開始します。

Threat Hunt エージェントを開始すると、バックグラウンドで自律的に実行され、Google SecOps は [Case Management] に新しいケースを作成します。新しいケースでは、Threat Hunt for [Subject Name] 接頭辞を使用して、Threat Hunt エージェントによって生成されたケースを簡単に識別できます。Threat Hunt タグは [Tags] 列にも表示されます。

[Agentic Threat Hunt] ダイアログを開いて、次の追加のエントリ ポイントから脅威ハンティングを開始することもできます。

  • Google Threat Intelligence ポップアップ: [Threats Feed] ページまたは [Campaign Detail] ページで、脅威レポートまたは攻撃者プロファイルの横にある [Run Threat Hunt] をクリックします。
  • 脅威の関連付けの詳細: 脅威インテリジェンス ドロワー内で、[Run Threat Hunt] をクリックします。
  • [MITRE ATT&CK マトリックス]: [MITRE ATT&CK] で、手法ドロワーをクリックします。[Run Hunt] をクリックします。

脅威ハンティング ケースを表示する

[Case Management] キューから、いつでも脅威ハンティングを見つけて追跡できます。

  • ナビゲーション メニューから [Cases] に移動します。
    • [タグでフィルタ] : タグフィルタを使用して、[Threat Hunt] タグを選択します。
    • 名前で検索: 検索バーを使用して、Mimikatz など、特定のハンティング タイトルをクエリします。

ステータスとアラート

ケースリストとケースウォール内で、脅威ハンティングのライブ ステータスが表示されます。ケースを開くと、[Manage Tags] オプションの横に次のようにタグが表示されます。

ステータス 説明
Threat Hunt Running エージェントが積極的に計画を立て、クエリを変換し、UDM イベントをスキャンしているときに表示されます。ケースのステータスはオープンのままで、自動的に更新されます。
Completed エージェントが分析を完了し、最終的な判定と証拠の概要を投稿したときに表示されます。
Queued エージェントが開始する前に、以前の脅威ハンティングの実行が完了するのを待っているときに表示されます。
Failed 致命的なエラーが発生した場合（検索サービスのタイムアウトなど）に表示されます。

脅威ハンティング ケースを確認する

脅威ハンティング ケースを確認して管理するには、次の操作を行います。

  1. [Cases] キューから、確認するケースを選択します。
  2. [Agentic Threat Hunt] ウィジェットに移動して、ケースの概要を表示します。
  3. [Determination] ボタンで、脅威ハンティングの結果を確認します。
    • Substantial Evidence: 脅威の動作が検出されたことを示す、強力で説得力の高い証拠。
    • Evidence Found: 仮説を裏付ける可能性のある指標または脅威の動作が検出されました。
    • 脅威は検出されませんでした: 脅威の動作の証拠は検出されませんでした。
  4. [Results Summary] を読みます。これは、Threat Hunt エージェントが検出した内容を詳しく説明するハンティングの概要です。これには、観測されたホスト名、ユーザー アカウント、プロセス コマンドライン、タイムスタンプ、動作コンテキストなどの情報が含まれます。

詳細情報を表示する

ケースの詳細情報を表示するには、次の操作を行います。

  1. ケースの [Agentic Threat Hunt] ウィジェットで、[Subject] の下にあるリンクをクリックします。
  2. 表示される次のいずれかのオプションをクリックします。
    • Actor/Malware: 詳細な脅威インテリジェンス プロファイルの [Entity Summary] サイド ドロワーを開きます。
    • MITRE Technique: 手法の説明と緩和ガイダンスの [MITRE Details] オーバーレイを開きます。
    • Campaign: [Campaign] または [Emerging Threats] の詳細ウィンドウに直接移動します。

ハンティング ステップのタイムラインを調べる

[Hunt Steps] タイムラインで、エージェントの調査のフォレンジック トレイルを確認します。

  1. [Agentic Threat Hunt] ウィジェットの右側にある [View Hunt Detail] をクリックします。
  2. 各ステップを開いて、そのステップの詳細を表示します。
  3. 次のことができます。
    • [Atomic questions] を表示する: エージェントがハンティング プランを検証するために行った個々の質問を調べます。
    • [generated YL2 queries] を調べる: エージェントが使用した正確な YL2 検索クエリを確認します。
    • [event counts &telemetry] を確認する: エージェントが抽出した関連イベントの数を確認します。
    • [step evidence] を確認する: 各ステップの特定の親子プロセス関係やコマンドライン フラグなどのフォレンジック観測を読みます。

ハンティング結果に関するフィードバックを送信する

フィードバックを送信して、AI エージェントの精度向上にご協力ください。

  1. [Agentic Threat Hunt] ウィジェットで、 [thumb_down] または [ thumb_down] をクリックします。

  2. 表示される [Send Feedback] ダイアログで、判定やクエリが正確だった理由や改善できる点などを説明するコメントを含めて、フィードバックを送信できます。

  3. [Send Feedback] をクリックします。

トラブルシューティング

  • 実行時間: 脅威ハンティングの完了には通常 60 ～ 90 分 かかります。これは、選択した時間枠と環境内のテレメトリーの量によって異なります。
  • キューに登録されたステータス: エージェントが以前の脅威ハンティングの実行が完了するのを待っている場合、脅威ハンティングがキューに登録されることがあります。AI の容量上の理由から、複数の冗長なハンティングをトリガーしないようにしてください。
  • ハンティングの割り当て: プレビュー期間中は、同時実行できる脅威ハンティングは 2 件まで、1 日あたりの脅威ハンティングは 5 件までです。これは、グローバルな容量を管理するために調整される可能性があります。

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。