Hotjakt är att proaktivt söka efter hot som har kringgått befintliga försvar. Det väntar inte på en varning. Det antar att en angripare redan är inne och letar efter bevis. Jägaren bildar en hypotes. Kanske använder angriparen PowerShell för lateral förflyttning. Kanske exfiltrerar de data via DNS. Sedan frågar de loggar och slutpunktsdata för att bekräfta eller motbevisa det. De flesta jakter hittar ingenting. Det är inte ett misslyckande. Det är en bekräftelse på att försvaret fungerar.

Jakt kräver data och skicklighet. Jägaren behöver tillgång till slutpunktstelemetri, nätverksloggar och autentiseringshändelser. De behöver veta hur normalt ser ut så att de kan upptäcka det onormala. De behöver förstå angripartekniker, ofta hämtade från ramverk som MITRE ATT&CK. Jakt skiljer sig från incidentrespons. Incidentrespons reagerar på en bekräftad händelse. Hotjakt letar efter händelser som aldrig bekräftades. Den fyller gapet mellan automatiserad detektion och mänsklig utredning. En bra jakt producerar nya detektionsregler. Hypotesen att ingenting hittades lär fortfarande något om miljön. Med tiden förbättrar jakt detektionstäckningen och minskar uppehållstiden. Angripare räknar med att försvarare är reaktiva. Jakt bryter mot det antagandet.

Hotjaktprocess

• Formulera en hypotes baserad på hotinformation eller angriparens beteende
• Samla in data från relevanta källor
• Fråga och analysera efter bevis
• Undersök avvikelser
• Dokumentera fynd och skapa nya detektioner

Hotjakt är detektivarbete. Brottet kanske inte har ägt rum. Jobbet är att bevisa att det har ägt rum eller inte.