Beacon by Jamf Threat Labsの紹介

脅威ハンティングとは、サイバーインテリジェンスを活用し、過去または現在のシステム侵害を能動的に検出する活動です。脅威ハンティングは、現代のサイバー防御の最重要要素の一つであり、その実践には専門のスキル、人材、ツール、知識が不可欠です。攻撃者の間では現在、各プラットフォームの細かな隙を悪用できるような形での戦術・手法・手順（TPP）が巧妙化しています。そのため、各プラットフォームに特化したリソース、可視性、インテリジェンスを確保することが、セキュリティ部門にとって急務になっています。

自社が採用しているプラットフォームに対する専門知識がなければ、監視が行き届かないままエンドポイントが放置される事態も起こりかねません。

Macの導入が拡大するにつれて、Macに対する脅威アクターの関心も高まりつつあります。実際、macOSのセキュリティフレームワークの進化と足並みを揃えるかのように、Macに特化したTTP、マルウェアの亜種、配信手法が次々と編み出されています。問題は、macOSを取り巻く特殊な状況にあります。具体的には、Macの使用を希望する従業員が増えているのに対し、必ずしも全部の組織がMacに固有の脅威のハンティングに対応できるだけの専門知識を蓄積できているわけではない、という状況です。

また、エンドポイントセキュリティのための正しいツールとポリシーを導入できていても、防御側のリソースが足りないという状況も起こりえます。そのため、Macの脅威ハンティングプログラムの策定、拡張、運用、評価に頭を悩ませる組織はけっして少なくありません。

Beacon by Jamf Threat Labsで課題を解決

Beacon by Jamf Threat Labsは、組織のmacOS環境に影響を及ぼす脅威の検出、分析、対応をサポートする脅威ハンティングサービスです。セキュリティ部門が自社のmacOSのセキュリティ状態を十分に把握し、脅威に先回りで対応できるよう、Jamf Threat Labsがきめ細かなサポートを提供します。

Macの脅威ハンティングは他と何が違うのか

Macは、他のプラットフォームと大きく違っています。オペレーティングシステムからユーザエクスペリエンス、システムの整合性モデルまで、様々な領域にわたって独自性が備わっていることこそ、Macの大きな魅力です。

問題は、その独自性の結果、Macを標的とした脅威も独自の進化を遂げているという点です。

標的がmacOS環境の場合の攻撃者の振る舞いやTTPは、他の環境が標的の場合とは大きく異なります。例えば、macOS環境を標的とした攻撃では、Appleのネイティブ機能（AppleScriptなど）を悪用して永続化、権限昇格、検出回避を目指す傾向がみられます。

脅威ハンティングは、単に不審な挙動を検知すれば済むものではありません。macOSの特定の挙動がなぜ異常であるか、その背景やロジックまでをも理解できる必要があります。そのため、効果的な脅威ハンティングのためには、攻撃者のTTPに関する知識に加え、AppleのEndpoint Security APIをベースとしたテレメトリが欠かせません。このAPIこそ、各種のセキュリティツールでmasOS内部のイベントをリアルタイムで詳細かつ確実に可視化していくためのフレームワークです。Mac専用に作られていない脅威インテリジェンスやハンティングルールでは、Macを標的とした脅威を完全に見落としてしまう事態も起こりかねません。

Beacon by Jamf Threat Labsとは

Beacon by Jamf Threat Labsは、macOSに特化した可視性と実用的な脅威ハンティングを実現する脅威ハンティングサービスです。

専属のチームがサービスを提供

このサービスを支えているのが、セキュリティ調査員、アナリスト、検出エンジニアで構成されるJamf Threat LabsのMacチームです。チーム内には、脅威ハンティングに関する書籍の著者もいれば、macOS セキュリティコンプライアンスプロジェクトに関与している人物もいます。また、セキュリティに関する国際会議で講演・登壇した実績のある者もいます。チーム全員が漏れなくApple製品を熟知しているといっても過言ではありません。Macに特化しているため、macOSを標的とした脅威、脅威アクターのTPP、攻撃者の振る舞いにも詳しく、macOS特有の脅威ハンティングのニーズに応えます。

具体的には、以下のような事例に対応できます。

• トロイの木馬のパッケージが含まれるサプライチェーン攻撃
• VSCodeまたはXcodeのプロジェクトでの悪意のあるコードの実行
• macOSユーザを標的としたソーシャルエンジニアリングキャンペーン（ClickFix）
• 北朝鮮（DPRK）政府系ハッカー集団が偽の求人を通じて拡散しているバックドア
• その他、macOSを標的として進化を続ける様々な脅威

Jamf Threat Labsの活動は、様々な形でJamfに活かされています。

• 例えば、Jamf製品のセキュリティ機能を動かす「燃料」として役立てられています。具体的には、2025年にJamf Threat Labsがデータベースに追加したマルウェアサンプルは26,000件以上にのぼります。また、YARAルールも230件以上追加しました。
• また、調査結果をレポートやブログ記事、論文の形で世に送り出している点も重要です。最近の実績としては、ClickFixの新手法（macOSのターミナルではなくスクリプトエディタを使用する）を解説した記事や、macOSを標的とする新たなインフォスティーラー「DigitStealer」を詳しく分析した記事などが挙げられます。

Beaconでは、このJamf Threat Labsがお客さまのmacOS環境の保護を直接サポートします。

継続的ハンティングとレトロハンティング

このサービスでは、Jamf Threat Labsが、Apple製品を狙って次々に生み出される攻撃手法、各種のセキュリティ侵害インジケータ（IOC）、デバイスに潜伏しているマルウェアのハンティングにあたります。ハンティング活動はいずれも、Jamf Threat Labsが開発したハンティングルールに基づいて実施します。このルールは、新たなマルウェア、不審な挙動、進化を続けるTTPのいずれの検出にも対応できるよう、Macセキュリティの専門集団による調査の知見と実践的な専門知識を組み込んで絶えず改善を続けています。

しかし、このサービスはそれだけにとどまりません。レトロハンティングにより最大1年前までのテレメトリを調査し、テレメトリが記録された当時には認識されていなかった脅威の痕跡をも炙り出します。

運用管理の主導権を握るのはお客様

セキュリティ関連のサービスでよく聞かれる懸念に、管理権限の問題があります。Jamfが熟知しているのはあくまでMacのことであり、お客様のビジネスを最もよく理解しているのは、お客様であるはずです。そこで、Beacon by Jamf Threat Labsでは、脅威が発見された時点でお客様の担当部門に詳細な修復手順をお届けします。この手順は、お客様の組織の要件や運用環境を加味したものとなっており、Jamf Threat Labsと連携しつつ状況に応じた正しい対応を進めていくことが可能になります。最終的な判断とコントロールは、常にお客様の手にあります。ポリシーを実装するのもお客様です。Jamf Threat Labsは、分析と助言を提供することにより、お客様の意思決定を強力にバックアップします。

カスタマイズされた月次のセキュリティレポート

このサービスでは、お客様のセキュリティ状態、ブロックしたMacマルウェア、お客様の環境に関連する新たな脅威などの事項を記載したセキュリティレポートを毎月お届けします。このレポートは、リーダー層への定期的な情報共有に役立つほか、セキュリティ状態に関する議論の土台や、セキュリティプログラムで発見した事象の記録文書としても便利です。レポートに記載される事項の具体例は以下のとおりです。

• 脅威ハンティングの結果：悪意のあるものからそうでないものまで、Jamf Threat Labsが発見した事象をわかりやすくまとめています。各事象には、macOSの現実の脅威を発見できる独自の検出ルールを使用し、Jamfの脅威ハンティング部門が手作業でトリアージおよび分析を実施しています。
• エンドポイントの概要：アラートの発生件数が特に多かったエンドポイントがわかります。修復作業の優先順位を決める際や、詳細なフォレンジック調査が必要なデバイスを特定する際に有用です。
• 不審な挙動の検出結果の概要：不審なパターン、異常なプロセスアクティビティ、セキュリティ侵害インジケータなどをまとめています。悪意のある挙動や既知のマルウェアのシグネチャに一致する脅威がJamfのルールによりブロックされた結果が記録されています。

AppleのEndpoint Security APIをベースに可視性を実現

Jamf Threat Labsでは、各エンドポイントで何が起きているかを把握するにあたり、JamfのMacテレメトリ機能を使用しています。この機能は、AppleのEndpoint Security APIを基盤としてネイティブに構築されているもので、Appleの各種APIから直接データを取得できるため、macOSに対して詳細で正確、かつ包括的な可視性が実現します。つまり、システム、ユーザ、ネットワーク、アプリケーションの操作や挙動に関するインサイトをmacOS専用の脅威インテリジェンスへと昇華させ、攻撃に起因する異常なアクティビティや挙動の発見につなげていくことが可能になるのです。Macに対する攻撃と単なる異常のどちらもすぐに捕捉できることは、この機能の大きな強みです。

Beacon by Jamf Threat Labsの実装

テレメトリの構成は、Jamfのプロフェッショナルサービスチームが担当します。これは、導入初日から最適な可視性を確保するとともに、データを正しく送信し、Jamf Threat Labsがアクティブな脅威のハンティングをすぐさま開始できるようにするための措置です。

Beacon by Jamf Threat Labsの利用を開始するには

Beaconは、組織がMac向けのセキュリティプログラムを新規に構築しようとしているか、既存のプログラムを強化しようとしているかを問わず、目標の実現に向けた専門知識、可視性、運用サポートをお届けします。

Beacon by Jamf Threat Labsは現在、Jamf for MacまたはJamf for Mac Hi-Edをご利用のお客様を対象に提供しています。詳細情報をご希望の場合には、こちらからお問い合わせいただくか、Jamfの担当者までご連絡ください。