Trusselsjagt er proaktiv søgning efter trusler, der har undgået eksisterende forsvar. Det er ikke at vente på en alarm. Det antager, at en angriber allerede er indeni og leder efter beviser. Jægeren danner en hypotese. Måske bruger angriberen PowerShell til lateral bevægelse. Måske exfiltrerer de data via DNS. Derefter forespørger de logfiler og endpoint-data for at bekræfte eller modbevise det. De fleste jagter finder ingenting. Det er ikke en fiasko. Det er en bekræftelse af, at forsvaret fungerer.

Jagt kræver data og færdigheder. Jægeren har brug for adgang til endpoint-telemetri, netværkslogfiler og godkendelseshændelser. De skal vide, hvordan normalt ser ud, så de kan få øje på det unormale. De skal forstå angriberteknikker, ofte hentet fra frameworks som MITRE ATT&CK. Jagt er forskellig fra hændelsesrespons. Hændelsesrespons reagerer på en bekræftet hændelse. Trusselsjagt leder efter hændelser, der aldrig blev bekræftet. Den udfylder hullet mellem automatiseret detektion og menneskelig undersøgelse. En god jagt producerer nye detektionsregler. Hypotesen om, at der ikke fandtes noget, lærer stadig noget om miljøet. Over tid forbedrer jagt detektionsdækningen og reducerer opholdstiden. Angribere regner med, at forsvarere er reaktive. Jagt bryder med den antagelse.

Trusselsjagtproces

• Dan en hypotese baseret på trusselsinformation eller angriberadfærd
• Indsaml data fra relevante kilder
• Forespørg og analyser for beviser
• Undersøg anomalier
• Dokumentér fund og opret nye detektioner

Trusselsjagt er detektivarbejde. Forbrydelsen er måske ikke sket. Opgaven er at bevise, at den skete eller ej.