EDR（エンドポイントでの検知・対応ツール）やSOC（セキュリティ監視を担う組織）を整えても、「アラートを待つだけでは、すでに侵入して潜んでいる攻撃者は見つけられないのではないか」という不安はなかなか消えません。近年の攻撃は、正規のツールを悪用してシステムに溶け込み、長期間潜伏する手口が報告されています。こうした「検知をすり抜けた脅威」を自ら探しにいく活動が、脅威ハンティングです。
一方で、「脅威ハンティングという言葉は聞いたが、中身を正確に説明できない」「いま入れているEDRやSOCと何が違うのか」が曖昧なままの方も多いはずです。手法や体制の話に進む前に、まずこの2点をはっきりさせたいところです。
本記事では、脅威ハンティングの定義と既存対策との違いを整理したうえで、代表的な手法の型、必要なデータ・ツール・人材、実際の進め方、そして自社の体制でどう始めるか（内製が難しい場合の外部委託という選択肢を含めて）までを解説します。自社に関係する話かどうかを判断する材料としてご活用ください。
目次
一括ダウンロードする
脅威ハンティングとは？
ここからは、脅威ハンティングが何を指す活動なのか、なぜ今その必要性が語られるのかを順に見ていきます。
脅威ハンティングを一文でいうと
脅威ハンティングとは、検知をすり抜けてシステム内に侵入・潜伏している攻撃者を、アラートを待たずに、人が仮説を立てて能動的に探し出す活動です。政府の文書でも、次のように定義されています。
各国政府のサイバーセキュリティ関連文書において記された脅威ハンティングの説明も踏まえ、本基本方針における脅威ハンティングを「従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動」と定義する。
出典：脅威ハンティングの普及促進・実施等に係る基本方針 II.1｜サイバーセキュリティ戦略本部（令和8年7月31日決定）
この方向性は特定の組織に限った見方ではありません。基本方針は、米国のNIST（米国国立標準技術研究所）の「脅威ハンティングは、従来の防御手段とは対照的な、能動的なサイバー防御手段である」という説明を引用しています。英国政府の「セキュリティ対策をすり抜けた脅威を特定するために、ネットワークや端末を能動的に調査する取組」という説明も同様に引いています。
IPA（情報処理推進機構）の資料も、セキュリティ企業Sqrrl社の「既存のセキュリティソリューションを回避する高度な脅威を検出・隔離するために、ネットワークを能動的かつ反復的に探索するプロセス」という定義を採用しています。いずれも「受動的な検知をすり抜ける脅威を、能動的に探す」という点で共通しています。
出典・参考資料（2件）
なぜ今、脅威ハンティングが必要なのか
脅威ハンティングの根底には、「侵害前提（Assume Breach）」という考え方があります。これは「攻撃者はすでにネットワーク内に侵入している可能性がある」という前提に立ち、環境内に潜む痕跡や異常を自ら探しにいく姿勢のことです。IPAの資料も、脅威ハンティングの定義の根底にこの視点があると説明しています。
この前提が重視される背景には、攻撃の巧妙化があります。基本方針は、ゼロデイ脆弱性や「Living Off The Land戦術（LOTL戦術、正規のツールやOSの標準機能を悪用してシステム内に寄生する手口）」を使った侵入・潜伏が報告されていると指摘しています。
具体例として、中国を背景とすると指摘される「Volt Typhoon」が、米軍・政府機関や重要インフラを狙い、LOTL戦術などを用いて長期間侵入・潜伏した事案を挙げています。
正規ツールに紛れて潜む攻撃者は、既知の攻撃パターンに合致したときだけ鳴るアラートでは捉えきれません。だからこそ、アラートを待つのではなく、こちらから仮説を立てて探しにいく脅威ハンティングが求められています。
一括ダウンロードする
脅威ハンティングと既存対策（EDR・SOC・インシデント対応・脅威インテリジェンス）の違い
ここからは、すでに多くの企業が導入しているEDRやSOCのアラート対応、インシデント対応、脅威インテリジェンスと、脅威ハンティングが何をどう分担するのかを整理します。脅威ハンティングはこれらを置き換えるものではなく、その上に積み重ねる高度化の取り組みです。まずは違いを一覧で見比べてみましょう。
| 対策 | 脅威ハンティング | EDR・SOCのアラート対応 | インシデント対応 | 脅威インテリジェンス |
|---|---|---|---|---|
| 主な目的 | 検知をすり抜けて潜伏する脅威を自ら発見する | 検知ルールに合致した事象のアラートに対応する | 判明した侵害を封じ込め、復旧する | 脅威の情報を収集・分析し判断に活かす |
| 動き方 | 能動的（仮説を立てて探す） | 受動的（アラートを待つ） | 受動的（事後に動く） | 情報の収集・提供 |
| 主に探す・扱うもの | 未知・巧妙な脅威の痕跡 | 既知の攻撃・ルールに合致する事象 | 発生が判明したインシデント | 攻撃者の手口（TTPs）やIOC・IOAの知見 |
| 動くタイミング | 平時から継続的に | アラート発生時 | 侵害が判明した後 | 平時（ハンティングの入力になる） |
EDRは「端末やサーバ装置（エンドポイント）における活動を可視化し、不正プログラムの検知や記録、攻撃遮断などの対処といった機能を提供する製品」、SOCは「セキュリティ・サービス及びセキュリティ監視を提供するセンター」と定義されています。いずれも、あらかじめ定めたルールや検知の仕組みに引っかかった事象をとらえて動くのが基本で、ルールに現れない潜伏には気づきにくいという限界があります。
脅威ハンティングは、その限界を埋めるために「まだアラートになっていない異常」を人が探しにいく点で役割が異なります。
インシデント対応は、侵害が判明したあとに封じ込めと復旧を行う事後の活動です。脅威ハンティングは、侵害が表面化する前の段階で潜伏を見つけにいくため、インシデント対応の「手前」に位置づけられます。脅威インテリジェンスは、攻撃者の手口や指標に関する知見を集めて分析するもので、ハンティングの仮説を立てる材料（入力）として使われます。
脅威ハンティングの主な手法と考え方
ここからは、脅威ハンティングが実際にどう進められるのか、その「型」と、型をまたいで使う考え方を見ていきます。まず、調査の進め方には代表的な3つの型があります。
手法の3つの型（仮説主導・インテリジェンス主導・分析主導）
脅威ハンティングのアプローチは、代表的な整理として「仮説主導」「インテリジェンス主導」「分析主導」の3つの型で捉えると分かりやすく、本記事でもこの3つを軸に解説します。それぞれ、何を出発点に攻撃者を探すかが異なります。まずはこの3つを押さえておけば十分です。
仮説主導型ハンティング
アナリストが「攻撃者ならこう動くはずだ」という仮説を立て、その痕跡が自社の環境に存在するかを調べる型です。新たな攻撃の手口（TTPs、攻撃者の戦術・技術・手順）が特定されたときに、その振る舞いが自社にも起きていないかを確認するといった進め方で、体系化されており再現性が高いのが特徴とされています。
インテリジェンス主導型ハンティング
外部や内部の脅威インテリジェンス（攻撃者の手口や指標に関する知見）を出発点にする型です。IOC（侵害の痕跡）やTTPsのレポート、脆弱性情報などをもとに、関連するリスクが自社内に潜んでいないかを探します。リスクの高い脅威にリソースを集中させやすい点が利点です。
分析主導型ハンティング（機械学習・振る舞い分析）
統計分析やベースライン（平常状態）の設定、行動分析、機械学習などを使い、膨大なデータから「正常な状態からの逸脱」を探す型です。特定の仮説から入るのではなく、異常そのものを手がかりにする点が、前の2つと異なります。
ただし、型の数え方は資料によって異なります。Trend Microはこの3つに「状況依存型（新たな脆弱性の公表などをきっかけに開始する型）」を加えた4類型として整理しています。
CrowdStrikeは「仮説に基づく調査」「既知のIOC・IOAに基づく調査」「高度な分析と機械学習を用いた調査」の3分類、IPAは攻撃主導型・データ主導型・エンティティ主導型・インテリジェンス主導型・ハイブリッド型の5つのアプローチに整理しています。切り口や粒度の違いであり、矛盾するものではありません。
出典・参考資料（3件）
痕跡の捉え方：IOC（侵害の痕跡）とIOA（攻撃の痕跡）の違い
脅威ハンティングでは、「何を手がかりに攻撃者を探すか」として、IOCとIOAという2つの指標がよく使われます。これは手法の型とは別の、探す手がかりの種類です。
IOC（Indicators of Compromise、侵害の痕跡）は、悪意あるファイルのハッシュ値やIPアドレス、ドメイン名など、既知の攻撃に関連する形跡を指します。既知の脅威の検知には有用な一方、有効期間が短く、攻撃者に容易に変更されてしまう側面があります。
IOA（Indicators of Attack、攻撃の痕跡）は、攻撃者の行動や手法そのものに注目した指標です。不審なPowerShellの使用、異常な特権昇格、通常と異なる認証パターンなどが含まれます。ファイルやIPのように簡単には変えられないため、効果的な脅威ハンティングではIOAを優先的に活用することが一般的とされています。
分析の共通言語：MITRE ATT&CKの使い方
仮説を立てたり痕跡を探したりするとき、攻撃者の手口を体系的に整理した「MITRE ATT&CK（マイターアタック）」がよく参照されます。MITRE ATT&CKは、実際の攻撃観測にもとづく、攻撃者の戦術・技術を世界的に参照される形でまとめた知識ベースです。
脅威ハンティングでは、このフレームワークを「共通言語」として使い、攻撃者の戦術・技術・手順（TTPs：Tactics, Techniques, and Procedures）を分析します。
たとえば「この戦術が使われたなら、次はこの技術で痕跡が残るはずだ」という形で仮説を具体化でき、組織をまたいで同じ用語で攻撃手口を語れるようになります。IPAも、MITRE ATT&CKを共通言語および知識ベースとして活用すると説明しています。
出典・参考資料（2件）
脅威ハンティングに必要なもの（データ・ツール・人）
ここからは、脅威ハンティングを実際に回すために何が要るのかを、データ・ツール・人の3つに分けて見ていきます。ここは「兼任の体制でも本当にできるのか」という不安に直結する部分です。
必要なログ・データ（テレメトリ）
脅威ハンティングは、探すための手がかりとなるデータがなければ成り立ちません。Trend Microは、効果的な脅威ハンティングには、エンドポイントのテレメトリ（端末が出す稼働・通信の記録）、ネットワークトラフィック、IDログ、クラウドの監査ログといった高品質なデータへのアクセスが前提になると説明しています。
重要なのは、これらのデータの粒度（どこまで細かく記録しているか）と保持期間です。潜伏が長期に及ぶ攻撃では、いざ調べようとしたときに該当時点のログが残っていなければ追跡できません。何をどれだけの期間記録しておくかが、ハンティングの精度と成果を左右します。
出典・参考資料（1件）
必要なツール（EDR・SIEM・XDR・NDRの役割の違い）
データを集め、横断して調べるためのツールも必要です。脅威ハンティングで使われる代表的なツールは、見ている場所によって役割が分かれます。
- EDR（エンドポイントでの検知・対応）：PCやサーバなど端末上の活動を記録し、不審な挙動を調べる。
- SIEM（ログの一元管理・分析）：各種のセキュリティ関連ログを集約し、横断して分析・監視する。
- XDR（検知・対応の範囲拡張）：端末・ネットワーク・クラウドなど複数の領域のデータを統合して調べる。
- NDR（ネットワークでの検知・対応）：ネットワーク上を流れる通信を監視・記録し、通信側に残る痕跡を調べる。
どれか1つで完結するわけではなく、端末・ネットワーク・ログというそれぞれの層を補い合う関係です。自社がどの層のデータを十分に取れているかを確認すると、何が足りないかが見えてきます。
必要な人材（熟練ハンターと、兼任体制の現実）
そして、仮説を立てて痕跡を読み解くのは人の仕事です。CrowdStrikeは、脅威ハンティングの概念は明快でも、これを的確に実践できる人員を確保するのは簡単ではなく、優れた脅威ハンターはサイバー攻撃者との戦いで十分な経験を積んだ人材だと指摘しています。必須の要素として、人材・豊富なデータ・脅威インテリジェンスの3つを挙げています。
そのうえで、ほとんどの組織では24時間365日の体制で継続的に脅威ハンティングを運用できるだけの人員や設備が整っていないのが実情だとも述べています。専任のセキュリティ人材を置けず、情報システム担当が兼任で回している企業にとっては、この「人の確保」が最大のハードルになりがちです。だからこそ、次の章で見るように、内製にこだわらず外部の力を借りる選択肢も現実的な解になります。
出典・参考資料（1件）
脅威ハンティングの進め方（ライフサイクル）
ここからは、脅威ハンティングが実際にどういう流れで回るのかを見ていきます。資料によって段階の数は違いますが、骨格は「仮説を立てて調べ、対応し、次に活かす」という点で共通しています。
CrowdStrikeは、プロセスをトリガー → 調査 → 解決の3段階で説明しています。トリガーは、検知ツールなどが示した異常をきっかけに、調べるべき領域を定める段階です。調査は、EDRなどを使ってシステムに潜む侵害を詳しく調べる段階。解決は、見つかった脅威を運用・セキュリティチームに伝え、インシデント対応につないで脅威を軽減する段階です。
公的な整理も同じ骨格です。IPAは複数のフレームワークに共通する流れとして計画 → 実行 → 完了を軸にライフサイクルを再構成しており、計画の段階は「目的と範囲の明確化」から始まります。
Trend Microはより細かく、仮説の策定からデータの準備、調査、検証、対応のエスカレーション、検知ロジックへのフィードバック、ドキュメント化と継続的改善までの7段階に分けています。段階の粒度は違っても、「仮説 → 調査 → 対応 → 改善（次への反映）」という流れは共通していると捉えておくとよいでしょう。
出典・参考資料（3件）
自社で脅威ハンティングを始めるには（内製と外部委託/MDR）
ここからは、専任の体制を持たない企業が、脅威ハンティングをどこから始めればよいかを具体的に見ていきます。最初から完璧を目指す必要はなく、小さく始めて広げるのが現実的です。
スモールスタートの手順（重要資産の特定からログ有効化、小さな仮説へ）
ライフサイクルの計画段階が「目的と範囲の明確化」から始まるように、始め方の第一歩は、守るべき対象を絞ることです。次の順に進めると、兼任の体制でも着手しやすくなります。
- 重要資産を特定する：止まると事業に影響が大きいサーバやデータ、狙われやすい端末を洗い出し、範囲を絞る。
- 必要なログを有効化・保全する：絞った範囲について、端末・ネットワーク・ID・クラウドのログが取得・保持できているかを確認し、足りない部分を有効化する。
- 小さな仮説から試す：「この重要資産に、異常な認証や通信が起きていないか」といった具体的な仮説を1つ立て、手元のデータで確かめる。
いきなり全社・全端末を対象にするのではなく、重要資産を起点に小さく回し、検知ロジックの改善につなげていく進め方が、限られた人員でも続けやすい形です。
内製が難しい場合の外部委託（MDR・マネージドハンティング）という選択肢
とはいえ、熟練したハンターを自社で抱え、24時間体制で運用するのは多くの企業にとって現実的ではありません。その場合は、外部の専門サービスに任せる選択肢があります。常時監視と対応を外部に委託するMDR（Managed Detection and Response、検知・対応を代行するマネージドサービス）や、脅威ハンティングそのものを代行するマネージドハンティングがこれにあたります。
公的な文書も、外部委託を後押ししています。基本方針は、組織内の人材を十分に確保できない場合などには、必要に応じて外部組織への業務委託や政府による助言・支援の受入れを行うことが望ましいとしています。
ただし、この記述が直接の対象としているのは政府機関や重要インフラ事業者などであり、すべての企業に実施を義務づけるものではありません。人材確保が難しいときに外部の力を借りるという考え方自体は、規模を問わず参考になります。
内製と外部委託のどちらを選ぶかは、守りたい重要資産の範囲、社内で確保できる人材とログ、求める監視の頻度・時間帯を照らし合わせて決めることになります。自前での常時運用が難しければ、まずは外部の診断やマネージドサービスで現状を把握し、必要な範囲から委託するのが無理のない進め方です。おおまかな違いは次のとおりです。
| 観点 | 内製（自社で運用） | 外部委託（MDR・診断サービス） |
|---|---|---|
| 立ち上げの速さ | 人材の採用・育成に時間がかかる | 契約後から比較的早く始めやすい |
| 常時運用（24時間365日） | 専任人員が必要で負担が大きい | 監視・対応を委託先に任せられる |
| 必要な人材 | 経験を積んだ脅威ハンターの確保が前提 | 自社に専門人材がいなくても利用できる |
| 費用の考え方 | 人件費・ツール費が継続的にかかる | サービス利用料（継続型・スポット型） |
| 向く企業像 | 専任チームやSOCを自社で持てる企業 | 専任を置けない・兼任で回す企業 |
外部委託の受け皿となるMDRにも、どこまでを代行するか・課金はどの単位か・24時間監視の中身はどうかといった違いがサービスごとにあります。内製が難しく、委託先を具体的に比べたい段階では、以下の記事もあわせてご覧ください。
一括ダウンロードする
脅威ハンティングを支えるソリューションと活用
ここからは、脅威ハンティングの前提となる「通信側に残る痕跡」と「端末側に残る痕跡」を押さえるための、代表的なサービスを2つ紹介します。脅威ハンティングは、この両面から攻撃者を追うためです。
いずれも脅威ハンティングを支える土台（通信記録の保全・分析と、端末の侵害痕跡の調査）にあたるものです。脅威ハンティングそのものを継続的に代行するMDR／マネージドハンティングを比べたい場合は、前の章で挙げた比較記事もあわせてご覧ください。
| サービス名 | Network Blackbox | CoWorker 端末侵害診断サービス |
|---|---|---|
| 対象レイヤ | ネットワーク（通信）側 | 端末（PC）側 |
| 提供形態 | NDR製品（自社に導入して使う） | フォレンジック診断サービス（外部に調査を委託） |
| 脅威ハンティングでの役割 | 通信をフルパケットで保存し、潜伏が後から判明しても遡って調査。MITRE ATT&CKにもとづくシナリオ型のハンティング機能を内包 | 端末のログをAI（Blue Agent）と専門家が解析し、侵害や情報持ち出しの痕跡を事後に調査 |
| 主な使いどころ | 平時からの通信の収集・保存と、インシデント後の通信記録の遡及調査 | 退職者PCの調査や支給PCの定期チェック、侵害が疑われるときの事後診断 |
| 導入・運用の形 | ミラーリング方式で継続的に通信を収集（端末へのエージェント導入は不要）。EDR・SIEMとSyslog／REST APIで連携 | 実行ファイルをダブルクリックしてログを収集し、解析は同社側で実施。スポット／定期で区切って実施 |
| 料金 | 要問い合わせ | 1台あたり20万円（税別）／台数が増えるほど割安（具体額は要見積もり） |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、株式会社クワッドマイナージャパンが提供するNDR（ネットワークでの検知・対応）製品です。ネットワークを流れる通信をフルパケットキャプチャ（通信の中身まで丸ごと記録する方式）で収集・保存し、収集・検知・ハンティング・フォレンジック・対応という5つの機能を備えます。
通信そのものを保存しておくため、潜伏していた脅威が後から判明したときに、保存したパケットをさかのぼって調べられるのが特徴です。
ハンティング機能は、攻撃者の手口を体系化したMITRE ATT&CKフレームワークにもとづくシナリオベースで提供されます。保存したパケットの検索を高速化するPSA（パケット検索アクセラレーション）や、通信からメール・ファイル送受信などの活動を再構成するDCS（ディープコンテンツサーチ）といった技術を備えています。これにより、インシデント発生後に通信の記録を遡って調べる用途に対応します。
導入はミラーリング方式のため端末へのエージェント導入が不要で、EDRやSIEMとはSyslog・REST APIで連携し、置き換えではなく補完する位置づけです。料金は要問い合わせとなっています。
2. CoWorker 端末侵害診断サービス（CoWorker株式会社）
通信側に対して、端末側の痕跡を調べるのがCoWorker株式会社の「端末侵害診断サービス」です。会社が管理するPCなどの端末について、ランサムウェアへの感染や、情報漏洩・内部不正の痕跡がないかを事後に調べるフォレンジック（端末のログを解析して何が起きたかを調べる技術）診断で、侵害前提の考え方を端末側から外部委託できる具体策にあたります。
「事後に調べる」と聞くとインシデント対応のように思えますが、支給PCを平時から定期的に診断すれば、侵害がアラートとして表面化する前に潜伏の痕跡を洗い出せます。これは「すでに侵入されているかもしれない」という侵害前提に立って端末側を能動的に点検する、ハンティング的な使い方にあたります。
同社のAIエージェント「Blue Agent」が端末のログを解析し、従来は時間のかかったフォレンジックを高速化しているのが特徴です。AIの作業過程はログとして残り、根拠の薄い箇所は明示したうえで最終的に専門家がレポートを確認・承認する「エキスパート・イン・ザ・ループ」の進め方をとります。
退職者のPCからの情報持ち出し調査や、在籍社員の支給PCの定期チェックといった使い方があり、実行ファイルをオンラインで受け取ってダブルクリックするだけで調査データが集まる仕組みです。料金は1台あたり20万円（税別）で、台数が増えるほど1台あたりは割安になります（具体額は要見積もり、2026年時点）。
従来のフォレンジックがどの程度の費用水準にあり、なぜ今その形が変わりつつあるのか。同社でセールスを担当する一ノ瀬氏は、このサービスを開発した背景をこう説明しています。
フォレンジックはこれまで、1台あたり100万円から200万円ほどの費用がかかり、専門家も少ないという課題がありました。そこにAIの発達が組み合わさって、高速化・低価格化が実現できるようになったことが、このサービスを開発した大きなきっかけです。従来のフォレンジックは、何か大きな問題が起きてから重い腰を上げて対応するというイメージが強かったのですが、問題がまだ小さいうちに、より簡易でスピーディーに診断できるものが必要だと考えました。あわせて、攻撃者側もAIを使ってランサムウェアを高速化させていますので、年に1回ではなく、より定期的な診断が不可欠になってきているという背景もあります。
ここで取り上げたのは通信側・端末側の2製品ですが、社内のセキュリティは守る対象ごとに必要なソリューションが異なります。EDR・NDR・ログ管理など、守る対象別のタイプと代表的なサービスを見比べて自社の守りの全体像を整理したい場合は、以下の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
日本の政策的な後押し（能動的サイバー防御・IPA・内閣サイバー）
最後に、脅威ハンティングをめぐる国内の政策的な動きを補足します。実務の判断に必須ではありませんが、「国の方針として何が進んでいるのか」を知っておくと、社内で取り組みを説明するときの背景になります。
2025年5月には、能動的サイバー防御を導入可能とする「重要電子計算機に対する不正な行為による被害の防止に関する法律（サイバー対処能力強化法）」が成立しました。これを受けて、2026年7月にはサイバーセキュリティ戦略本部が「脅威ハンティングの普及促進・実施等に係る基本方針」を決定しています。脅威ハンティングは、こうした能動的サイバー防御の流れの中に位置づけられています。
この基本方針が脅威ハンティングの実施を直接求める対象は、政府機関や重要インフラ事業者、重要情報の漏えいが国に深刻な影響を及ぼしうる民間事業者などであり、すべての中小企業に義務を課すものではありません。ただし、海外では同様の動きが広がっています。
基本方針によれば、米国ではCISA（サイバーセキュリティ・インフラセキュリティ庁）が脅威ハンティングを中核的な運用手段と位置づけて専門部門を設置し、シンガポールは2022年の法改定で重要情報インフラの所有者に2年に一度以上の脅威ハンティング実施を義務づけています。重要インフラを対象に国が後押しする考え方は、一般の企業が自社の守りを見直すうえでも参考になります。
まとめ
脅威ハンティングは、検知をすり抜けて潜伏する攻撃者を、アラートを待たずに自ら探しにいく能動的な活動です。EDRやSOCのアラート対応が「ルールに合致した事象」をとらえるのに対し、脅威ハンティングは「まだアラートになっていない異常」を仮説を立てて探す点で役割が異なり、既存対策を置き換えるのではなく、その上に積み重ねる取り組みです。
手法には仮説主導・インテリジェンス主導・分析主導の型があり、IOC・IOAという手がかりやMITRE ATT&CKという共通言語を使って進めます。実行にはデータ・ツール・人の3つが要り、とりわけ熟練した人材の確保がハードルになります。
まずは重要資産を絞ってログを整え、小さな仮説から試すのが現実的な第一歩です。自前での常時運用が難しければ、通信記録の保全・分析や端末の侵害痕跡診断など、外部のサービスを活用して必要な範囲から始める選択肢もあります。
一括ダウンロードする
よくある質問（FAQ）
Q. 脅威ハンティングとは何ですか？
A. 脅威ハンティングとは、検知をすり抜けてシステム内に侵入・潜伏している攻撃者を、アラートを待たずに人が仮説を立てて能動的に探し出す活動です。政府の基本方針でも「従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動」と定義されています。根底には、攻撃者はすでに侵入しているかもしれないという「侵害前提（Assume Breach）」の考え方があります。
Q. 脅威ハンティングとEDRやSOCの監視は何が違うのですか？
A. 脅威ハンティングとEDR・SOCの監視の違いは、アラートを待つ「受動的」な対応か、こちらから探しにいく「能動的」な活動かという点にあります。EDRやSOCは、あらかじめ定めた検知ルールに合致した事象のアラートに対応するため、ルールに現れない潜伏には気づきにくい限界があります。
脅威ハンティングは、その「まだアラートになっていない異常」を人が仮説を立てて探す点で役割が異なり、既存対策を置き換えるのではなく、その上に積み重ねる取り組みです。
Q. 脅威ハンティングと脅威インテリジェンスの違いは何ですか？
A. 脅威インテリジェンスは攻撃者の手口や指標に関する知見を集めて分析する「情報」であり、脅威ハンティングはその情報をもとに自社内の脅威を探す「活動」です。脅威インテリジェンスは、ハンティングの仮説を立てる材料（入力）として使われます。両者は対立する概念ではなく、質の高い脅威インテリジェンスがあるほどハンティングの精度が上がる、補完の関係にあります。
Q. 脅威ハンターとはどのような役割を担うのですか？
A. 脅威ハンターとは、攻撃者の手口を想定して仮説を立て、ログやテレメトリから潜伏の痕跡を読み解く専門人材です。MITRE ATT&CKなどを手がかりに「攻撃者ならこう動くはずだ」という仮説を立て、EDRやSIEMのデータを調べて異常を見つけ、検知ロジックの改善につなげます。
CrowdStrikeは、優れた脅威ハンターはサイバー攻撃者との戦いで十分な経験を積んだ人材であり、その確保は簡単ではないと指摘しています。
Q. IOC（侵害の痕跡）とIOA（攻撃の痕跡）の違いは何ですか？
A. IOCは悪意あるファイルのハッシュ値やIPアドレスなど「既知の攻撃に残る形跡」、IOAは不審なPowerShellの使用や異常な特権昇格など「攻撃者の行動・手法そのもの」を指す指標です。IOCは既知の脅威の検知に有用ですが、有効期間が短く攻撃者に容易に変更されてしまいます。一方IOAは簡単には変えられないため、効果的な脅威ハンティングではIOAを優先的に活用することが一般的とされています。
Q. 脅威ハンティングを始めるには、どんなデータやツールが必要ですか？
A. 脅威ハンティングには、エンドポイントのテレメトリ・ネットワークトラフィック・IDログ・クラウド監査ログといった高品質なデータと、それらを集めて横断的に調べるEDR・SIEM・XDR・NDRなどのツールが必要です。とくに重要なのがデータの粒度と保持期間で、潜伏が長期に及ぶ攻撃では、調べようとした時点で該当するログが残っていなければ追跡できません。
どれか1つのツールで完結するわけではなく、端末・ネットワーク・ログの各層を補い合う形で使います。
Q. 専任のセキュリティ担当がいなくても、兼任の体制で脅威ハンティングを始められますか？
A. 兼任の体制でも始めることは可能ですが、熟練ハンターによる本格的な常時運用を内製だけで担うのは、多くの企業にとって現実的ではありません。脅威ハンティングには仮説を立てて痕跡を読み解く経験豊富な人材が要り、CrowdStrikeも24時間365日の体制で運用できる人員や設備が整っている組織は多くないと指摘しています。
兼任で始める場合は、対象を重要資産に絞って小さく試し、常時運用が必要な部分は外部のマネージドサービスに委託するなど、内製と外部委託を組み合わせるのが現実的です。
Q. 脅威ハンティングは内製と外部委託（MDR）のどちらを選べばよいですか？
A. 内製と外部委託は、守りたい重要資産の範囲・社内で確保できる人材とログ・求める監視の頻度や時間帯を照らし合わせて判断します。熟練ハンターを自社で抱えて24時間体制で運用できるなら内製も選べますが、それが難しい場合は、常時監視と対応を代行するMDRや、脅威ハンティングそのものを代行するマネージドサービスへの委託が無理のない進め方になります。
まずは外部の診断やマネージドサービスで現状を把握し、必要な範囲から委託する方法もあります。
Q. MDR（マネージド検知・対応）とは何ですか？脅威ハンティングとどう関係しますか？
A. MDR（Managed Detection and Response）とは、脅威の検知から対応までを外部の専門事業者が代行するマネージドサービスです。専任のセキュリティ人材やSOCを自社で持てない企業が、常時監視と対応、さらに脅威ハンティングそのものを外部に委託する手段として使われます。
熟練ハンターの確保が最大のハードルになりやすい脅威ハンティングにおいて、内製が難しい場合の現実的な選択肢になります。
Q. 中小企業も脅威ハンティングに取り組む必要がありますか？
A. 国の基本方針が脅威ハンティングの実施を直接求めている対象は政府機関や重要インフラ事業者などであり、すべての中小企業に義務を課すものではありません。ただし、正規ツールを悪用して長期潜伏する攻撃は企業規模を問わず起こりうるため、機密情報や顧客データを扱う中小企業でも、重要資産に絞ってログを整え、外部サービスも活用しながら守りを見直す意義はあります。
Q. 脅威ハンティングを外部に委託すると、費用はどれくらいかかりますか？
A. 費用はサービスの形態によって幅があり、通信記録を保存・分析するNDR製品は要問い合わせ、端末の侵害痕跡を調べるフォレンジック診断は1台あたり20万円（税別）からといった料金設定が目安です。常時監視を代行するMDRのように継続して利用するものから、侵害が疑われるときにスポットで依頼する診断まで幅があります。
まずは必要な範囲を絞り、各サービスの資料で費用感を確認するのがよいでしょう（金額は2026年時点の一例です）。
Q. 脅威ハンティングを始めるときは、何から着手すればよいですか？
A. 最初の一歩は、止まると事業への影響が大きい重要資産を特定し、その範囲に対象を絞ることです。次に、絞った範囲について端末・ネットワーク・ID・クラウドのログが取得・保持できているかを確認して不足分を有効化し、「この重要資産に異常な認証や通信が起きていないか」といった小さな仮説を1つ立て、手元のデータで確かめるところから始めます。
いきなり全社・全端末を対象にせず、重要資産を起点に小さく回して検知の改善につなげるのが、限られた人員でも続けやすい進め方です。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、脅威ハンティングや通信・端末の調査に関わる法人向けセキュリティサービスの最新資料を無料で一括請求できます。NDRや端末侵害診断など、自社の守りを補う仕組みを比べて選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
