البحث الاستباقي عن التهديدات هو البحث عن التهديدات التي تجاوزت الدفاعات الحالية. لا يعتمد على انتظار التنبيهات، بل على افتراض وجود مهاجم بالفعل داخل النظام يبحث عن أدلة. يقوم الباحث الاستباقي بوضع فرضية، كأن يستخدم المهاجم PowerShell للتنقل الجانبي، أو ربما يقوم بتسريب البيانات عبر نظام أسماء النطاقات (DNS). ثم يستعلم عن السجلات وبيانات نقاط النهاية لتأكيد أو دحض هذه الفرضية. في أغلب الأحيان، لا تسفر عمليات البحث عن شيء، وهذا ليس فشلاً، بل هو تأكيد على فعالية الدفاعات.

يتطلب البحث عن التهديدات بيانات ومهارة. يحتاج الباحث إلى الوصول إلى بيانات القياس عن بُعد لنقاط النهاية، وسجلات الشبكة، وأحداث المصادقة. عليه أن يعرف كيف يبدو الوضع الطبيعي ليتمكن من رصد ما هو غير طبيعي. كما يحتاج إلى فهم أساليب المهاجمين، والتي غالبًا ما تُستمد من أُطر عمل مثل MITRE ATT&CK. يختلف البحث عن التهديدات عن الاستجابة للحوادث. فالاستجابة للحوادث تتفاعل مع حدث مؤكد، بينما يبحث البحث عن التهديدات عن أحداث لم يتم تأكيدها. إنه يسد الفجوة بين الكشف الآلي والتحقيق البشري. ينتج عن البحث الجيد عن التهديدات قواعد كشف جديدة. حتى الفرضية التي لم تسفر عن شيء تُعلّمنا شيئًا عن البيئة. بمرور الوقت، يُحسّن البحث عن التهديدات تغطية الكشف ويُقلل وقت الرصد. يعتمد المهاجمون على رد فعل المدافعين، لكن البحث عن التهديدات يُفنّد هذا الافتراض.

عملية البحث عن التهديدات

• قم بصياغة فرضية بناءً على معلومات استخباراتية عن التهديدات أو سلوك المهاجم
• اجمع البيانات من مصادر ذات صلة
• استفسر وحلل الأدلة
• التحقيق في الحالات الشاذة
• توثيق النتائج وإنشاء اكتشافات جديدة

البحث عن التهديدات هو عمل استقصائي. قد لا تكون الجريمة قد وقعت أصلاً، لكن المهمة هي إثبات وقوعها أو عدم وقوعها.