* 脅威ハンターの役割：
脅威ハンターは、従来のセキュリティ対策をすり抜けたサイバー脅威を積極的に探索します。この役割は、自動検出システムを回避する高度で巧妙な攻撃者を特定する上で非常に重要です。
* 主な職務内容：
* 事前脅威特定：
脅威ハンターは、高度なツールと技術を用いて、ネットワーク内に潜む脅威を特定します。これには、異常の分析、異常な動作の調査、脅威インテリジェンスの活用などが含まれます。
参考資料：SANS Institute、「脅威ハンティング：敵対者に対する解禁」SANS脅威ハンティング脅威状況の理解：
彼らは、脅威アクターが使用する一般的な戦術、技術、手順（TTP）や新たな戦術、技術、手順（TTP）など、脅威の状況について深く理解する必要がある。
参考: MITRE ATT&CK フレームワーク MITRE ATT&CK
高度な分析スキル：
脅威ハンターは、高度な分析スキルとツールを活用し、ログ、ネットワークトラフィック、エンドポイントデータを分析して、侵害の兆候を発見します。
参照: サイバーセキュリティおよびインフラストラクチャセキュリティ庁 (CISA) 脅威ハンティングガイド CISA 脅威ハンティング 他の役割との区別:
事件の調査と対応（A）：
これは通常、報告された事件に対応し、証拠を収集し、影響を判断するインシデント対応担当者の役割です。
参照: NIST 特別刊行物 800-61、「コンピュータ セキュリティ インシデント処理ガイド」NIST インシデント処理 証拠の収集と影響の判断 (B):
これは多くの場合、事件発生後の証拠収集と影響評価に重点を置くデジタルフォレンジックアナリストの役割である。
ネットワークログの監視（D）：
これは、異常な動作や初期検出のためにログやアラートを監視するSOCアナリストの責任範囲に含まれます。
結論：
脅威ハンターは、自動化システムでは見逃してしまう可能性のある高度な脅威を発見するために、SOC（セキュリティオペレーションセンター）において不可欠な存在です。
彼らの積極的なアプローチは、組織のセキュリティ体制を強化する上で極めて重要である。
参考文献：
SANS Institute、「脅威ハンティング：敵対者に対する解禁」
MITRE ATT&CKフレームワーク
CISA脅威ハンティングガイド
NIST特別刊行物800-61「コンピュータセキュリティインシデント対応ガイド」によると、脅威ハンターは、検出を逃れる隠れた脅威を探し出すことで、組織のネットワークのセキュリティと完全性を維持する上で重要な役割を果たします。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEM 7.3インターフェースで提供されるトリガーイベントと生メッセージの分析に基づくと、次のようになります。
* アクティブ偵察 (A):「トリガーイベント」テーブルには、単一の送信元 IP (10.200.3.219) が複数の異なる宛先 IP アドレス (10.200.200.166、.128、.129、.159、.
91) 同じサービス (FTP/ポート 21) 上で接続を試みます。各試行は、送信パケット 1 つと受信パケット 0 個で構成されます。この「1 対 多」の連続接続試行のパターンは、アクティブ偵察の主要な手法である水平ポートスキャンの特徴です。
* 宛先ホストが応答していません (C): 生ログにはアクションが「timeout」と表示され、具体的には「sentpkt=1 rcvdpkt=0」と表示されます。FortiGate ログのロジック (FortiSIEM が解析) では、受信パケットがゼロの「timeout」は、ファイアウォールがパケットの送信を許可した (アクションが「deny」ではなかった) ものの、セッションタイムアウト期間内にターゲットホストから SYN-ACK または応答が受信されなかったことを示します。これは、宛先ホストがオフライン、存在しない、またはトラフィックをサイレントに破棄していることを示しています。
他の選択肢が間違っている理由：
* FortiGate がルーティングを行っていない (B): FortiGate がパケットをルーティングしていない場合、ログには通常、「タイムアウト」で終了するセッション初期化の成功は表示されず、ルーティングエラー/拒否が表示されます。
44バイトが送信されたという事実は、FortiGateがトラフィックを処理し、転送を試みたことを示しています。
* FortiGate が戻りフローをブロックしています (D): FortiGate のセキュリティ ポリシーによって戻りフローがブロックされている場合、通常、戻りトラフィックに対してアクションが「拒否」としてログに記録され、セッション状態は一般的なセッション「タイムアウト」ではなくポリシー違反を反映します。

* 脅威ハンティングデータの理解：
* 提供された資料にある脅威ハンティングモニターには、さまざまなアプリケーションサービス、その使用回数、および送信バイト数、平均送信バイト数、最大送信バイト数などのデータメトリックが表示されます。
* 展示の2番目の部分には、特定の送信元IPアドレス（10.0.1.10）から宛先IPアドレス（8.8.8.8）への接続試行がリストされており、「接続失敗」メッセージが繰り返し表示されています。
* アプリケーションサービスの分析：
* DNSは、非常に高い件数（251,400）と注目すべき送信バイト数（9.1 MB）を誇る、トップのアプリケーションサービスです。
* この大量の DNS トラフィックは、通常の DNS クエリとしては異例であり、DNS トンネリングの存在を示している可能性があります。
* DNSトンネリング:
* DNSトンネリングとは、攻撃者がDNSクエリとレスポンスにデータをエンコードすることでセキュリティ制御を回避するために用いる手法です。これにより、攻撃者は検出されることなくローカルネットワークからデータを抽出できます。
* 大量のDNSトラフィックと詳細なメトリクスから、DNSトンネリングが使用されている可能性が示唆される。
* 8.8.8.8への接続失敗:
* 送信元IPアドレス(10.0.1.10)から宛先IPアドレス(8.8.8.8)への接続試行が繰り返され、接続に失敗している場合は、外部サーバーとの通信を試みている可能性があります。
* Google DNS (8.8.8.8) は、その信頼性とグローバルな普及率から、DNS トンネリングによく使用されます。
* 結論：
* 大量のDNSトラフィックと接続試行の性質を考慮すると、DNSトンネリングがローカルネットワークから機密データを抽出するために使用されていると結論付けるのは妥当である。
* 他の選択肢が実現しにくい理由：
* スピアフィッシング（A）：提供されたデータには、電子メールログやフィッシング指標など、スピアフィッシングの試みを示す証拠はありません。
* 偵察（C）：データには、メールサーバーのスキャンやプロービングなどの典型的な偵察活動は示されていません。
* FTP C&C (D): 提供されたデータには、FTP トラフィックや FTP を使用したコマンドおよび制御通信の証拠はありません。
SANS Institute: "DNS トンネリング: DNS クエリによるデータ漏洩とトンネリングの検出方法" SANS DNS トンネリング OWASP: "DNS トンネリング" OWASP DNS トンネリング 提供された脅威ハンティングデータを分析すると、DNS トンネリングがデータ漏洩に使用されていることが明らかになり、ネットワークから機密情報を抽出する高度な方法が示されています。

* MITRE ATT&CKフレームワークの理解：
* MITRE ATT&CKフレームワークは、攻撃者が目的を達成するために使用する戦術と技術を包括的に示したマトリックスです。
* これは、敵対者の行動を理解し、防御戦略を改善し、セキュリティ評価を実施するために広く使用されています。
* オプションの分析：
* オプションA：このフレームワークは、具体的な技術やサブ技術を含む、敵対者の活動に関する詳細な技術的説明を提供します。
* オプションB：このフレームワークには、各技術およびサブ技術に対する緩和策と検出に関する情報が含まれており、包括的なガイダンスを提供します。
* オプションC：MITRE ATT&CKは、ユーザーエンドポイント、ネットワークデバイス、サーバーを標的とする攻撃など、幅広い攻撃ベクトルを網羅しています。
* オプション D: 確かに、いくつかの技術やサブ技術は複数の戦術に分類され、異なる目的を果たす可能性のある敵対者の活動の複雑な性質を反映しています。
* 結論：
MITRE ATT&CKフレームワークを最も的確に表す記述は、複数の戦術に該当する技術やサブ技術が含まれているという点です。
参考文献：
MITRE ATT&CK フレームワークのドキュメント。
MITRE ATT&CK を活用したセキュリティのベストプラクティスと脅威インテリジェンスレポート。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEM 7.3の検索ロジックのコンテキストでクエリ構成図を分析すると、クエリが結果を返さない原因となる構文エラーと論理エラーがいくつか明らかになります。
* 論理演算子エラー (E): ユーザーはヨーロッパまたはアジアへのトラフィックを検索しようとしています。図では、最初の行 (グループ: ヨーロッパ) の後にデフォルトの AND 演算子が続いています。これにより、クエリは宛先がヨーロッパとアジアの両方にある単一のフローを検索しようとしますが、これは論理的に不可能です。OR に変更する必要があります。
* 括弧の欠落 (C): FortiSIEM で OR と AND のロジックを組み合わせる場合、演算の順序を定義するために括弧が必要です。括弧がないと、クエリが「アジア AND 宛先国 IS NOT null AND 送信元 IP IN...」を最初に評価してしまう可能性があります。LAN セグメントにも一致する (ヨーロッパ OR アジア) を正しく見つけるには、最初の 2 行を括弧で囲む必要があります。
* IP 範囲の演算子が間違っています (D):展示では値 10.0.0.0 に IN 演算子を使用しています。
10.200.200.254。FortiSIEMでは、IN演算子は、特定の値またはCMDBグループをカンマで区切ったリストに使用されます。連続したIPアドレスの範囲（「LANセグメント」）を指定するには、BETWEEN演算子を使用する必要があります。
他の選択肢が間違っている理由：
* IS NOT null (A): FortiSIEM では、「IS NOT null」は、特定の属性が正常に解析され、イベント レコードに入力されたことを確認するために使用される有効な演算子/値の組み合わせです。
* 時間範囲 (B): CMDB グループを使用する場合、時間範囲が「絶対」である必要はありません。
「相対的な」期間範囲（例えば、表示されている「過去30日間」など）は、このようなクエリで一般的に使用され、完全にサポートされています。
SOCの概念とフレームワーク