チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「脅威ハンティングって聞くけど、具体的に何をすればいいの？」
「DLLサイドローディングという攻撃、うちの会社も受ける可能性がある？」
チップスボス！
みずほフィナンシャルグループが「脅威ハンティング」で攻撃を見つけたってニュース、なんかカッコいいでしゅ！
でも脅威ハンティングって何でしゅか？
ボス簡単にいえば「攻撃されるのを待つのではなく、自分から脅威を探しに行く」手法だ。
みずほはエンドポイント管理ツールのTaniumを使って、DLLサイドローディングという巧妙な攻撃を実際に検知している。
守りの姿勢だけでは見つからない脅威があるということだな。
この記事では、みずほFGの事例をもとに、DLLサイドローディングの仕組みと脅威ハンティングの実践方法を解説します。
セキュリティ対策を「待ち」から「攻め」に転換するヒントが得られるはずです。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
金融業界トップクラスの取り組みから、脅威ハンティングの実像を見ていきます。
みずほフィナンシャルグループは2018年にエンドポイント管理ツール「Tanium」を導入しました。
組織全体の端末をリアルタイムで可視化し、異常な挙動を能動的に探索する体制を構築しています。
この取り組みで得られた主な成果は以下の通りです。
注目すべきは、従来型のセキュリティソフトでは検知が難しいDLLサイドローディングを、脅威ハンティングのアプローチで見つけ出した点です。
「アラートが鳴ってから対応する」のではなく、「アラートが鳴る前に異常を見つける」という発想の転換が成果につながっています。
検知されたDLLサイドローディングとは、どのような攻撃なのかを掘り下げます。
DLLサイドローディングは、Windowsの仕様を逆手に取った攻撃手法です。
Windowsアプリケーションは起動時にDLL（ダイナミックリンクライブラリ）を読み込みますが、その検索順序に隙があります。
攻撃者は正規アプリと同じフォルダに悪意のあるDLLを配置し、正規のDLLより先に読み込ませるのです。
この攻撃が厄介な理由を整理します。
DLLサイドローディングへの対策は、複数の層で防御を固めることが基本です。
| 対策 | 内容 |
|---|---|
| OS・アプリの最新化 | DLL検索順序の修正パッチを速やかに適用 |
| デジタル署名の検証 | 読み込むDLLの署名を検証する設定を有効化 |
| アクセス権限の管理 | アプリケーションフォルダへの書き込み権限を最小限に制限 |
| 脅威ハンティングの実施 | EDRやエンドポイント管理ツールで不審なDLL読み込みを定期的に調査 |
パッチ適用やアクセス制御は防御の基盤ですが、それだけでは検知できない攻撃がある以上、脅威ハンティングを組み合わせることが不可欠です。
チップス脅威ハンティングってやっぱり専門知識がないと難しいでしゅよね？
うちの情シスでもできるんでしゅか？
ボス最初から完璧にやる必要はない。
まずはEDRのログを定期的に確認するところから始めればいい。
「普段と違う動き」に気づく習慣をつけることが、脅威ハンティングの第一歩だ。
ボスみずほの事例は、受動的な防御だけでは限界があることを示している。
脅威ハンティングは大企業だけのものではない。
規模に合った形で、能動的に脅威を探す体制を整えることだ。
チップスオイラもまずはEDRのログを読む練習から始めてみるでしゅ！
みずほFGの脅威ハンティング事例は、DLLサイドローディングのように従来型の防御では見逃されがちな攻撃への有効なアプローチを示しています。
パッチ適用やアクセス制御を徹底したうえで、EDRログの定期確認から脅威ハンティングを始めてみてください。
「待つセキュリティ」から「探すセキュリティ」への転換が、組織の防御力を一段引き上げてくれるはずです。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
