「侵入させない」から「侵入を見つける」へ―脅威ハンティング基本方針が示す防御モデルの転換―

2026年7月、日本政府は「脅威ハンティングの普及促進・実施等に係る基本方針」を決定しました。政府が本方針を策定した背景には、攻撃者の行動変容があります。

あるセキュリティ機関の調査によると、国家支援型サイバー攻撃で最も多く観測された手法は正規ツールや機能の悪用であり、その割合は76％にも達します¹。攻撃者はマルウェアを持ち込むのではなく、組織内部の正規機能を利用することで検知を回避するようになっており、従来型の防御だけでは発見が困難なケースも増えています。そのため海外では「侵入させない」だけでなく「侵入を見つける」脅威ハンティングが重視されており、日本国内においても早期の対応が求められています。

本稿では、脅威ハンティングが注目される背景、諸外国との比較、そして企業が今から取り組むべきことについて解説します。

1. 「侵入を見つける」視点の必要性

従来型の攻撃としては、侵入後にバックドアなどのマルウェアを設置して遠隔操作の足がかりを作るケースがあります。この場合、設置されたマルウェア自体がファイルとして残るため、シグネチャを手がかりに発見することができます。

しかし、サイバー攻撃の手法は、AIの活用も相まって年々巧妙化・高度化しています。近年はLotL（Living off the Land、環境寄生型）攻撃²のように、正規のツールや機能を悪用しマルウェアを持ち込まずに攻撃する手法が広がっており、従来のシグネチャ検知だけでは発見が困難になっています。

このような攻撃に対して有効なアプローチの一つが脅威ハンティングです。脅威ハンティングでは、「攻撃者がこの組織に侵入・潜伏しているなら、こういう痕跡を残しているはずだ」という仮説を立て、能動的に探索します。これにより、正規のツールや操作記録に紛れた痕跡を発見できる可能性があります。

2. 脅威ハンティングとは何か

日本政府の脅威ハンティング基本方針では、脅威ハンティングを「従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動」と定義しています。この「自発的に探索する」という点が従来の対策との違いであり、実践のためにはマインドセットの転換が必要です（図表1）。

図表1：求められるマインドセットの転換

^{※セキュリティツールが不要になるのではなく補完関係
出典：Nadhem AlFardan「脅威ハンティング 潜むサイバー攻撃を暴く技術」を基にPwC作成}

まず、攻撃が巧妙化しているため、侵入を前提とした発想・対応が求められます。そして侵入を前提とする以上、アラートを待つだけでは検知をすり抜けた脅威に気づけないことを踏まえ、攻撃兆候を自ら探索する姿勢が重要です。最後に、ハンター（人間）が主役という点です。既知のパターンに基づくアラート対応とは異なり、すり抜けた未知の脅威を見つけるには人間ならではの思考と判断が欠かせないためです。なお、脅威ハンティングの実践により他のセキュリティツールが不要になることはなく、補完関係にある点に留意が必要です。

3. 脅威ハンティングの類型と実践例

こうしたマインドセットを基に、実践に移す方法として、脅威ハンティングにはいくつかの類型があります（図表2）。

このうち、調査範囲が明確で再現性が高く、着手しやすいのが構造化ハンティングです。ここでは構造化ハンティングの中でも代表的な攻撃主導型のアプローチについて、ビーコン通信（攻撃者のサーバーと定期的に通信し、指示を待ち受ける挙動）を例に解説します。

攻撃主導型の脅威ハンティングでは、ハンターが攻撃者のTTPs（戦術・技術・手順）を起点に、「攻撃者がすでに侵入しているのであれば、プロキシ経由で定期的な外部通信が行われているはずだ」という仮説を立てて、ログを使って検証を進めます。

このため、脅威ハンティングの前提として、ログが取得・保管され、分析できる状態になっていることが必須です。

こうした前提が整って初めて、ハンターはこの仮説に基づき、攻撃者が用いるビーコン通信の特徴的な挙動（一定間隔・一定サイズ・長期間継続）をプロキシログから探索することができるようになります。脅威が確認されればセキュリティ・インシデント対応チームに引き継ぎ、確認されなかったとしても監視ルールの見直しや、探索中に発見された課題（必要ログの不足、未管理のIT資産の発見など）への対応に生かすことができます（図表3）。

図表3：脅威ハンティングの流れ

^{出典：IPA「脅威ハンティング実践のすゝめ」を基にPwC作成}

4. 日本は普及・促進の段階

脅威ハンティングは、海外の先行国ではすでに実務として定着している対策です（図表4）。

米国では政府機関が脅威ハンティングサービスを提供し、防御を突破した脅威の発見を支援する枠組みが見られます。また、英国では標準的な検知を回避する活動について、組織自らが積極的に探索することが原則として整理されており、継続的な実施が難しい場合でも、政府機関からの情報提供を受けて必要に応じて実施することがリスク低減につながるとされています。さらに、シンガポールでは、重要情報インフラのオーナーに対し、少なくとも2年に一度の脅威ハンティングの実施を法律で義務付けています。

一方、日本国内は普及に向けた基盤整備を開始した段階であり、巧妙化した攻撃に気づくためにも、早急な対応が求められているという状況です。

5. 日本の民間企業における脅威ハンティング

ここまでは国としての取り組みを見てきましたが、実際に脅威ハンティングを実施するのは個々の組織であり、民間企業も含まれます。

今回の政府基本方針が定める対象組織には、「重要インフラ事業者（14分野）」、「基幹インフラ事業者（15分野258事業者）」（いずれも2026年7月時点）、そして「その他重要情報の漏えい等が我が国に深刻・致命的な影響を生じさせるおそれがある民間事業者等」が含まれています。該当する場合、政府から脅威ハンティングの実施を要請される可能性があります。

ただし、前掲の図表4のとおり、日本の現行方針はあくまで「推奨」の位置づけであり、罰則を伴う法的義務ではありません。しかし、脅威ハンティングの必要性は法的義務の有無によって決まるものではなく、LotL攻撃のように既存の監視をすり抜ける攻撃が増加する中、「侵入を前提に攻撃兆候を継続的に探索する」ことが重要です。

政府基本方針の対象組織は、国家や社会に与える影響が大きい事業者として位置づけられています。こうした組織において検討が求められるのはもちろんのこと、対象組織以外であっても、事業停止や情報漏えいのリスク低減という観点から、脅威ハンティングの実施を検討する価値があります。

6. 今から取り組むべきこと

脅威ハンティングを開始するにあたっては、段階的に実施することが肝要です。

第一に、脅威ハンティングの前提となるIT基盤を整備することです。ログの取得・保管、SIEM（Security Information and Event Management）の活用、EDR（Endpoint Detection and Response）の導入・運用、資産管理など、探索活動を支える基盤が必要となります。脅威ハンティングは、リスクアセスメントやログ管理といった従来の対策に取って代わるものではなく、それらの土台があってはじめて成立する取り組みです。十分な可視化がなければ、仮説に基づく探索そのものが実施できません。

第二に、脅威ハンティングを継続的に実施できる体制を構築することです。実務者だけでなく、経営層や、セキュリティ課題を経営課題として翻訳する橋渡し人材も含めて、目的や必要性を共有し、継続的に実施できる体制を整備することが重要です。

第三に、対象を絞って実践を開始することです。全ての資産や脅威を対象に一度に始める必要はなく、まずは重要資産や優先度の高い脅威シナリオを対象に仮説を設定し、探索のプロセスを経験することが有効です。その結果を監視ルールの改善やログ取得範囲の見直しに生かしながら、段階的に対象範囲を拡大していくことが現実的なアプローチとなります。

サイバー攻撃の手法が巧妙化・高度化する今、「侵入させない」対策だけでなく、侵入を前提として「侵入を見つける」ための取り組みを進めていくことが求められています。

脅威ハンティングは、その実現に向けた有効な手段の一つであり、今後さらに重要性を増していくと考えられます。

脚注

¹ 出典：SANS Institute, 2025,「SANS 2025 Threat Hunting Survey: Advancements in Threat Hunting Amid AI and Cloud Challenges」。同調査では、国家支援型脅威アクターに関して、正規ツールや機能の悪用が76％と最も多く観測された手法とされている。

² LotL（Living off the Land、環境寄生型）攻撃：攻撃者が独自のマルウェアや外部ツールを標的環境に持ち込むのではなく、OSに標準でインストールされている正規の管理コマンドやシステムツール、スクリプトを悪用して攻撃を展開する手法。

出典

サイバーセキュリティ戦略本部,2026,「脅威ハンティングの普及促進・実施等に係る基本方針」
https://www.cyber.go.jp/pdf/policy/kihon-1/threat_hunting_basic_policy_2026.pdf

サイバーセキュリティ戦略本部,2026,「脅威ハンティングの普及促進・実施等に係る基本方針の概要」
https://www.cyber.go.jp/pdf/policy/kihon-1/threat_hunting_basic_policy_2026_abstract.pdf

SANS Institute,2025,「SANS 2025 Threat Hunting Survey: Advancements in Threat Hunting Amid AI and Cloud Challenges」
https://www.sans.org/white-papers/sans-2025-threat-hunting-survey-advancements-threat-hunting-amid-ai-cloud-challenges

独立行政法人情報処理推進機構（IPA）,2025,「脅威ハンティング実践のすゝめ」
https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2025/threat_hunting.html

CISA,「Cyber Threat Hunting」
https://www.cisa.gov/resources-tools/services/cyber-threat-hunting

UK Government, 2018,「The Network and Information Systems Regulations 2018」
https://www.legislation.gov.uk/uksi/2018/506/contents

NCSC,2025,「Cyber Assessment Framework version 4.0」
https://www.ncsc.gov.uk/files/NCSC-Cyber-Assessment-Framework-4.0.pdf

NCSC,2025「Cyber Assessment Framework: Principle C2 - Threat hunting」
https://www.ncsc.gov.uk/collection/cyber-assessment-framework/caf-objective-c-detecting-cyber-security-events/principle-c2-threat-hunting

Government of Singapore,2018,「Cybersecurity Act 2018」
https://sso.agc.gov.sg/Act/CA2018

Cyber Security Agency of Singapore,2026,「Cybersecurity Code of Practice for Critical Information Infrastructure」
https://www.csa.gov.sg/legislation/codes-of-practice