脅威ハンティングとは？概要・流れ・必要性と米国・英国・イスラエルの公的事例を解説|セキュリティ対策Lab

投稿日時: 2026年08月03日更新日時: 2026年08月03日

脅威ハンティングとは、アラートが鳴ってから調査する従来型の監視ではなく、「すでに侵入されているかもしれない」という前提で、ログや端末、ネットワーク上の痕跡を自発的に探しにいくセキュリティ活動です。

令和8年7月31日に開催された第6回サイバーセキュリティ戦略本部では、「脅威ハンティングの普及促進・実施等に係る基本方針」が決定されました。日本政府は、脅威ハンティングを「従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動」と位置づけ、政府機関、独立行政法人、基幹インフラ事業者、重要インフラ事業者等での普及を進める方針です。

本記事では、脅威ハンティングの概要、実施の流れ、なぜ今必要なのかを整理し、米国、英国、イスラエルの公的機関が示している考え方や実例をもとに、情報システム部門が押さえるべきポイントを解説します。

脅威ハンティングとは何かのサマリー

脅威ハンティングは、アラート発生後の調査ではなく、検知されていない侵害や潜伏の痕跡を自発的に探す活動です。
日本政府は令和8年7月31日の第6回サイバーセキュリティ戦略本部で、脅威ハンティングの普及促進・実施等に係る基本方針を決定しました。
米国CISAやUSCYBERCOM、英国NCSC、イスラエルINCDなどは、重要インフラや政府機関を守るうえで、受動的監視だけでなく能動的な探索・通知・官民連携を重視しています。
情報システム部門では、EDRやSIEMの導入だけでなく、ログ収集、仮説設定、探索記録、検知ルールへの反映までを運用として回すことが重要です。

項目	内容
用語	脅威ハンティング
英語表記	Threat Hunting
目的	既存の検知ルールやアラートをすり抜けた侵害・潜伏・横展開の痕跡を探す
従来監視との違い	アラートに反応するのではなく、侵害の仮説を立てて能動的に探索する
主な対象データ	エンドポイントログ、認証ログ、DNSログ、ネットワークフロー、プロキシログ、クラウド監査ログ、EDR/XDRのテレメトリ
主な担い手	SOC、CSIRT、情報システム部門、MSSP、外部インシデント対応事業者
日本政府の位置づけ	令和8年7月31日の第6回サイバーセキュリティ戦略本部で基本方針を決定
基本方針上の対象	政府機関、独立行政法人、基幹インフラ15業種の指定事業者、重要インフラ事業者等
重要な前提	侵入を完全に防ぐだけでなく、侵入後の早期発見と被害最小化を重視する
情シスが最初に行うこと	資産管理、ログ取得範囲の確認、EDR/SIEMの運用確認、探索仮説の作成

脅威ハンティングの概要

脅威ハンティングは、セキュリティ製品が出すアラートだけに頼らず、攻撃者がすでに組織内に入り込んでいる可能性を前提に、内部のログや通信、端末の挙動を調べる活動です。

従来の監視は、ファイアウォール、IDS/IPS、アンチウイルス、EDR、SIEMなどが定義済みのルールやシグネチャに一致したものを検知し、担当者がそのアラートに対応する形が中心でした。もちろん、この方式は今も必要です。しかし、国家を背景とするAPT、ランサムウェアグループ、認証情報を悪用する攻撃者は、既知のマルウェアだけでなく、PowerShellやWMI、正規の管理ツール、クラウド管理機能などを使って、通常業務に紛れながら活動します。

この場合、アラートが出ないから安全とは言えません。むしろ、攻撃者はアラートが出ない方法を選んで動きます。脅威ハンティングは、この前提に立って、「もし攻撃者がいるなら、どこにどのような痕跡が残るか」を考え、データを横断的に確認していく作業です。

英国NCSCは、脅威ハンティングを既存のセキュリティ制御を回避した脅威を、熟練した分析者がデータの中から探し出す、人間中心で反復的な活動として説明しています。米国CISAも、脅威ハント評価を、防御をすり抜けて足場を確立した脅威をネットワークやシステムの中から能動的に探す取り組みとして位置づけています。

日本政府が今回基本方針を決定した背景にも、この「待つ防御」から「探す防御」への転換があります。第6回サイバーセキュリティ戦略本部では、AIの高度化、サイバー対処能力強化法に基づく取組、社会全体のレジリエンス強化があわせて議論されており、脅威ハンティングは単なるSOCの高度化ではなく、国家レベルのレジリエンス政策の一部として扱われています。

脅威ハンティングの流れ

脅威ハンティングは、思いつきでログを眺める作業ではありません。効果を出すには、仮説、データ、分析、対応、改善の流れを明確にしておく必要があります。

フェーズ	実施内容	情報システム部門の確認点
1. 前提整理	重要資産、管理対象端末、クラウド環境、外部公開資産、認証基盤を把握する	資産台帳、ネットワーク構成図、クラウドアカウント、委託先管理の状況を確認する
2. 仮説設定	攻撃者が侵入している場合に起こり得る行動を想定する	直近の脅威情報、業界で悪用されているTTPs、自社の弱点をもとに仮説を作る
3. データ収集	エンドポイント、認証、DNS、プロキシ、VPN、クラウド監査ログなどを集約する	ログの保存期間、時刻同期、欠損、検索可能性を確認する
4. 探索・分析	通常と異なるログイン、通信、プロセス実行、権限操作、データ転送を調べる	SIEM、EDR、XDR、ログ分析基盤を使い、複数ログを横断して確認する
5. 検証	発見した挙動が業務上の正規操作か、攻撃の痕跡かを切り分ける	システム担当者、業務部門、委託先に確認し、誤検知と実害を区別する
6. 対応	侵害が疑われる場合は隔離、認証情報リセット、通信遮断、証跡保全を行う	インシデント対応手順と連動させ、法務・広報・経営層への報告経路を確認する
7. 文書化	探索した仮説、クエリ、結果、判断理由、未解決事項を記録する	属人化を防ぎ、次回のハンティングや監査説明に使える形に残す
8. 改善	有効だった探索条件を検知ルール、監視シナリオ、運用手順へ反映する	一度きりで終わらせず、EDR/SIEMの検知精度向上につなげる

この流れの中で、特に重要なのは仮説設定です。単に大量のログを集めても、何を探すのかが曖昧であれば成果は出ません。たとえば、「業務時間外に海外IPからVPNへログインし、直後に管理者権限を持つ端末へRDP接続している」「普段使われないサービスアカウントが大量のファイルへアクセスしている」「管理ツールを使った正規風の横展開が起きている」といった形で、攻撃者の行動から逆算して調べます。

日本政府の基本方針でも、情報資産管理やリスクアセスメントなどの従来対策、ログの収集・集約、ログ分析、脅威ハンティングの実施という段階的な考え方が示されています。現場感としても、この順序は妥当です。ログが取れていない環境では、いくら高度な分析者がいても探す材料がありません。逆に、ログは大量にあるが資産や業務の正常状態が分からない場合も、異常の判断ができません。

なぜ脅威ハンティングが必要なのか

脅威ハンティングが必要になっている理由は、攻撃者が「検知されないこと」を前提に動くようになったためです。

従来の攻撃は、不審なファイル、既知マルウェア、異常な通信先など、比較的分かりやすい痕跡を残すものが多くありました。しかし現在は、侵入後に正規の認証情報を使い、正規の管理ツールを使い、クラウドやVPN、SaaSの管理画面を通じて静かに情報を収集する手口が増えています。この場合、マルウェア検知だけでは侵害を見落とす可能性があります。

ランサムウェアでも同じです。暗号化が始まってから気付くのでは遅すぎます。多くの攻撃では、暗号化の前に認証情報の窃取、内部偵察、権限昇格、バックアップ探索、データ持ち出しが行われます。脅威ハンティングの目的は、暗号化や大規模な情報漏えいの前段階で、こうした行動の痕跡を見つけることにあります。

AIの高度化も無視できません。攻撃者は、フィッシング文面の自然化、偵察の自動化、脆弱性探索、マルウェアやスクリプトの変形にAIを使えるようになっています。日本政府がProject YATA-Shieldの取組状況を第6回サイバーセキュリティ戦略本部で扱ったことは、攻撃側のAI活用に対して、防御側も可視化、探索、分析の能力を上げる必要があるという問題意識の表れです。

もう一つの理由は、サプライチェーンと重要インフラの境界が曖昧になっていることです。大企業や官公庁が直接強固な対策をしていても、子会社、委託先、クラウド連携、リモートアクセス、ネットワーク機器の管理不備が侵入口になることがあります。脅威ハンティングは、境界で止める前提だけでなく、内部に入られた後にどう早く見つけるかという現実的な対策です。

情報システム部門にとっての要点は、脅威ハンティングを「高度な専門家だけが行う特別な作業」と考えすぎないことです。もちろん高度な分析には専門性が必要です。しかし、資産台帳を整える、ログの保存期間を延ばす、VPNや管理者操作のログを確認する、EDRの未導入端末をなくす、業務上の正常な通信を把握する、といった地味な運用がなければ、本格的なハンティングは成立しません。

米国の公的事例

米国では、CISAとUSCYBERCOMが、それぞれ文民領域と軍事・同盟国支援の領域で、脅威ハンティングに近い能動的な活動を展開しています。

CISAは、Cyber Threat Hunt Assessmentを通じて、政府機関がネットワークやシステム内を能動的に調査し、防御をすり抜けて足場を確立した脅威を探す取り組みを示しています。ここで重要なのは、攻撃者が数か月にわたりネットワーク内に潜伏し、機密情報を探し、目的達成のために横展開する可能性を前提としている点です。

2025年には、CISAと米沿岸警備隊が、米国の重要インフラ組織に対するプロアクティブな脅威ハントの結果を公表しました。この事例は、特定組織で見つかったセキュリティ衛生上の課題を、他の組織にも参考になる形で共有するものです。単に侵害の有無を調べるだけでなく、同種の弱点を持つ組織全体の防御力を底上げするという意味があります。

USCYBERCOMのHunt Forward Operationsも、脅威ハンティングを国家安全保障の文脈で理解するうえで重要です。HFOは、相手国の招待に基づき、米国のサイバー部隊がパートナー国のネットワーク内で悪性活動や脆弱性を探す防御的な作戦です。ウクライナでは、ロシアによる侵攻前に米国チームが現地のサイバー専門家と共同で重要システムを調査し、潜在的な脅威への対処を支援しました。ラトビアの事例では、重要インフラを対象に米国、カナダ、ラトビアが連携し、脅威情報やハンティング指標を共有しています。

この米国の事例から分かるのは、脅威ハンティングが単なる社内SOCの高度化ではなく、同盟国、重要インフラ、民間企業との情報共有を含む防御エコシステムになっていることです。

米国の取組	主な機関	内容	示唆
Cyber Threat Hunt Assessment	CISA/DOJ	防御をすり抜けた脅威をネットワークやシステム内から能動的に探す	政府機関でも侵入後の検知能力を重視している
重要インフラでのプロアクティブハント	CISA/USCG	重要インフラ組織でのハント結果から、他組織にも共通する改善点を共有	個別調査を社会全体の対策に還元している
Hunt Forward Operations	USCYBERCOM/CNMF	パートナー国の招待に基づき、現地ネットワークで悪性活動を探索	同盟国支援と国内防御のためのTTPs収集が一体になっている

英国の公的事例

英国NCSCは、脅威ハンティングをセキュリティ運用の成熟度の一部として明確に位置づけています。NCSCのCyber Assessment Frameworkでは、C2 Threat Huntingとして、ハンティングに必要なリソース、頻度、方法、記録、事後分析、検知ルールへの反映などを評価項目にしています。

ここで参考になるのは、「一度実施したか」ではなく、「リスクに見合った頻度で、業務として回せているか」を見ている点です。NCSCは、仮説駆動、データ駆動、エンティティ駆動といった方法を例示し、ハンティング結果を自動検知やアラートへ反映することも重視しています。

英国NCSCのSOC構築ガイダンスでは、脅威ハンティングを、既存のセキュリティ制御を回避した脅威を見つけるための人間中心の活動として説明しています。これは、SIEMやEDRを入れれば終わりではなく、そこから得られるデータを人間が攻撃者の視点で読み解く必要があるということです。

英国のもう一つの特徴は、Active Cyber Defenceです。ACDは、フィッシング、悪性URL、なりすましドメインなどを社会規模で減らすための自動化された防御施策です。厳密には組織内部の脅威ハンティングそのものではありませんが、国家がデータと自動化を使い、攻撃が利用するインフラや経路を先回りして減らす考え方は、日本の脅威ハンティング基本方針や能動的サイバー防御を考えるうえで参考になります。

2026年にNCSCが公表した中国関連の秘密ネットワークに関する注意喚起では、SOHOルーターやIoT機器を利用した隠密ネットワークに対し、エッジ機器通信のマッピング、ベースライン化、動的な脅威フィード、リスクの高い組織における能動的なハンティングが推奨されています。静的なIoCだけに依存すると、攻撃インフラが入れ替わった時点で検知できなくなるためです。

英国の取組	主な機関	内容	示唆
CAF C2 Threat Hunting	NCSC	ハンティングの方法、頻度、記録、改善を成熟度として評価	継続運用できるかが重視されている
SOCガイダンス	NCSC	既存制御を回避した脅威を、熟練分析者がデータから探す活動として説明	ツール導入だけでなく分析者の仮説力が必要
Active Cyber Defence	NCSC	自動化とデータにより、攻撃を社会規模で減らす国家施策	個社防御と国家レベルの防御を接続している
秘密ネットワークへの注意喚起	NCSCほか	SOHO/IoT経由の攻撃に対し、通信のベースライン化と能動的探索を推奨	静的IoC依存からの脱却が必要

イスラエルの公的事例

イスラエルの公開情報では、米国のHFOや英国CAFのように「脅威ハンティング」という用語を前面に出した制度文書だけで整理されているわけではありません。一方で、Israel National Cyber Directorate（INCD）の発表を見ると、能動的な探索、通知、官民連携、セクター別対応を重視していることが分かります。

INCDの2025年年次報告に関する公表では、同年に約2,480件のアラートを発出し、そのうち2,304件が、標的型攻撃の具体的な指標に基づく組織へのプロアクティブ通知だったとされています。組織側が攻撃に気付いていない段階でも、国家機関が観測した情報をもとに個別通知する運用は、脅威ハンティングや脅威インテリジェンスを社会全体の防御につなげる実例です。

フィッシング対策でも、INCDは2025年に31,657件のフィッシング攻撃に対処したと発表しています。市民から119国家サイバー緊急センターへ寄せられる報告、悪性リンクの遮断、なりすましや認知戦的なメッセージへの対応が、国家規模の防御運用として組み合わされています。イスラエルでは通信、金融、エネルギー、政府などの分野別Command & Control Centerも整備されており、重要分野ごとの状況把握と初動支援を行う体制が見えます。

イスラエル政府系のNational Digital Agencyが公表したShadowCaptchaの調査も、現場の脅威ハンティングを考えるうえで参考になります。同レポートでは、偽CAPTCHAや正規Windowsツールの悪用、長期的な潜伏、複数のマルウェア配布に対応するため、EDR/XDRの可視性、コマンドラインテレメトリ、PowerShellログ、そして反復的なハントプログラムの構築が推奨されています。ここでも、単発の検知ではなく、攻撃者の行動を継続的に探す運用が強調されています。

イスラエルの取組	主な機関	内容	示唆
プロアクティブ通知	INCD	標的型攻撃の指標に基づき、攻撃に気付いていない可能性のある組織へ通知	国家機関の観測情報を個社防御へ戻している
119国家サイバー緊急センター	INCD	市民・組織からの報告を受け、フィッシングや不審活動に対応	報告窓口と脅威観測を接続している
分野別C2センター	INCD、関係省庁	通信、金融、エネルギー、政府などの分野で状況把握と初動支援を実施	重要インフラの特性ごとに防御体制を分けている
ShadowCaptcha調査	Israel National Digital Agency	ClickFix型攻撃への対策として、反復的なハントプログラムを推奨	ユーザー操作を悪用する攻撃にも、端末・ログの能動的探索が必要

日本政府の基本方針と情シスへの影響

第6回サイバーセキュリティ戦略本部で決定された脅威ハンティング基本方針は、政府機関や重要インフラ事業者だけの話に見えるかもしれません。しかし、実務への影響はそれより広いと考えています。

理由は、重要インフラの多くが、委託先、クラウド、SaaS、子会社、保守ベンダー、ネットワーク機器メーカー、地域の中小企業に支えられているためです。基幹インフラ事業者に脅威ハンティングが求められるようになれば、委託先にもログ提出、EDR導入、インシデント時の証跡保全、脅威情報共有への対応が求められる可能性があります。

サイバー対処能力強化法に基づく官民連携やアクセス・無害化措置、Project YATA-ShieldによるAI時代の脅威可視化も、同じ方向を向いています。攻撃が高度化する中で、政府が収集・分析した情報を民間に戻し、民間側もログやインシデント情報を共有し、社会全体で早期発見する形に近づいていくということです。

ただし、現場の情報システム部門に求められるのは、いきなり高度なハンティングチームを作ることではありません。最初の一歩は、ログが残っているか、残っていても検索できるか、端末やクラウドの監査ログが欠けていないか、委託先環境の状況が見えるかを確認することです。脅威ハンティングは高度な分析の前に、見える状態を作ることから始まります。

情報システム部門への示唆

情報システム部門が脅威ハンティングに取り組む際は、最初から高度な分析基盤や専任チームを作ることを目標にしすぎない方が現実的です。実務では、資産管理、ログ取得、EDRの展開、認証ログの保管、クラウド監査ログの有効化、VPNや管理者操作の可視化といった基礎が先に来ます。

特に確認すべきなのは、インシデント発生時に過去を追えるだけのログが残っているかです。VPNログ、Entra IDやGoogle Workspaceなどの認証ログ、EDRのプロセス実行履歴、DNSやプロキシログ、ファイルアクセスログが短期間で消えている場合、脅威ハンティング以前に調査が成立しません。

次に、正常状態の把握が必要です。普段からどの管理者が、どの端末から、どの時間帯に、どのシステムへ接続しているのかを知らなければ、異常な操作を見つけることはできません。脅威ハンティングは、攻撃者の知識だけでなく、自社の業務を知っていることが重要です。

外部サービスを使う場合も、単にレポートを受け取るだけでは不十分です。どの仮説で調査したのか、どのログを見たのか、何が見えなかったのか、次回までにどのログを増やすべきかまで確認する必要があります。MSSPやSOCベンダーと契約している場合は、ハンティングクエリの内容、報告頻度、重大な兆候を見つけた際の連絡基準を契約や運用手順に落とし込むべきです。

日本政府の基本方針、米国のCISAやUSCYBERCOM、英国NCSC、イスラエルINCDの事例に共通するのは、攻撃を完全に防ぐ前提から、侵入後に早く見つけて封じ込める前提へ重心が移っていることです。情報システム部門としては、EDRやSIEMを導入して終わりではなく、ログから仮説を立て、探し、改善する運用を小さく始めることが、今後の標準的な防御力になっていくと見ておくべきです。