インシデント対応・フォレンジック重要度:★★出題: AM2・PM1

ハニーポットと脅威ハンティング (Threat Hunting)

はにーぽっと / すれっとはんてぃんぐ / Honeypot / Cyber Deception / Threat Hunting

あえて脆弱性や魅力的な資産があるように見せかけたおとりシステム（ハニーポット）による攻撃手法の観測と、アラートが出る前に仮説ベースで潜伏脅威を能動探索する脅威ハンティング。

3行速習ポイント

ハニーポット：インターネット側で攻撃者のスキャンや未知マルウェア検体を収集する用途と、社内LANに配置して侵入者の内部偵察を即座に検知する用途（内部ハニーポット）がある
対話度による分類：OSやサービスをソフトウェアで簡易模倣する「低対話型（乗っ取りリスクが低い）」と、実OSを稼働させて詳細な挙動を記録する「高対話型（踏み台化防止の通信制御が必須）」
脅威ハンティング：既存の自動検知ルール（SIEM/EDRアラート）をすり抜けて潜伏している高度な攻撃者を、アナリストが仮説を立ててログやエンドポイントから能動的に洗い出す活動

図ハニーポット（受動的おとり観測）と脅威ハンティング（能動的潜伏探索）

ハニーポット / ディセプション（おとり検知）おとりによる炙り出し

業務通信が一切発生しないおとりサーバ・偽クレデンシャルを配置

外部公開型では未知マルウェア検体や攻撃手口を収集し、社内LAN配置型（内部ハニーポット）では侵入者のポートスキャンや横展開を誤検知ゼロで即時検知

脅威ハンティング (Threat Hunting)仮説主導の能動調査

既存アラートをすり抜けた潜伏攻撃者を仮説ベースで能動探索

アラート発生を待つのではなく、MITRE ATT&CKや最新脅威情報から「もし侵害されていたらこの痕跡があるはず」と仮説を立ててEDR/SIEMログを精査

💡 実OSを動かす「高対話型ハニーポット」は詳細な攻撃挙動を観察できる反面、乗っ取られて外部攻撃の踏み台にされないようアウトバウンド通信制限が必須

通常の業務では絶対にアクセスされるはずのない「おとりサーバ（ハニーポット）」や「おとりアカウント（ハニートークン）」を社内ネットワークに配置しておけば、そこに1回でもアクセスがあった時点で「社内ネットワークに攻撃者が侵入し横展開を試みている」と誤検知ゼロで即座に断定できます。

高対話型ハニーポットの注意点：攻撃者に完全に乗っ取られて外部への他社攻撃（DDoSやスパム送信）の踏み台にされないよう、外部向けアウトバウンド通信を厳格に制限・監視する
仮説主導型ハンティング：MITRE ATT&CKの手法や最新の業界攻撃トレンドに基づき、「もし自社のADが侵害されていたらこのイベントログが残っているはずだ」と仮説を立てて検索
サンドボックス（動的解析環境）：収集した不審ファイルを隔離された仮想環境内で実際に実行させ、ファイル生成・レジストリ変更・C2通信の挙動を観察する解析手法