Lov hrozeb proaktivně vyhledává hrozby, které se vyhnuly stávající obraně. Nečeká na upozornění. Předpokládá, že útočník je již uvnitř a hledá důkazy. Lovce si vytvoří hypotézu. Možná útočník používá PowerShell pro laterální pohyb. Možná získává data přes DNS. Pak se dotazuje na protokoly a data koncových bodů, aby to potvrdil nebo vyvrátil. Většina honů nic nenajde. To není selhání. Je to potvrzení, že obrana funguje.

Lov vyžaduje data a dovednosti. Lovce potřebuje přístup k telemetrii koncových bodů, síťovým protokolům a událostem ověřování. Potřebuje vědět, jak vypadá normální stav, aby dokázal odhalit abnormální. Potřebuje rozumět technikám útočníka, často čerpaným z frameworků, jako je MITRE ATT&CK. Lov se liší od reakce na incident. Reakce na incident reaguje na potvrzenou událost. Lov hrozeb hledá události, které nikdy nebyly potvrzeny. Vyplňuje mezeru mezi automatickou detekcí a lidským vyšetřováním. Dobrý lov vytváří nová pravidla detekce. Hypotéza, že nic nenašlo, stále něco učí o prostředí. Postupem času lov zlepšuje pokrytí detekce a zkracuje dobu setrvání. Útočníci počítají s reaktivitou obránců. Lov tento předpoklad boří.

Proces hledání hrozeb

• Vytvořte hypotézu na základě informací o hrozbách nebo chování útočníka
• Shromážděte data z relevantních zdrojů
• Dotazování a analýza důkazů
• Prozkoumejte anomálie
• Dokumentujte zjištění a vytvářejte nová zjištění

Lov na hrozby je detektivní práce. Zločin se nemusí stát. Úkolem je dokázat, že se stal, nebo nestal.