Threat Hunting ist die proaktive Suche nach Bedrohungen, die bestehende Abwehrmechanismen umgangen haben. Es wartet nicht auf eine Warnung, sondern geht davon aus, dass sich ein Angreifer bereits im System befindet und sucht nach Beweisen. Der Threat Hunter stellt eine Hypothese auf. Vielleicht nutzt der Angreifer PowerShell zur lateralen Bewegung. Vielleicht exfiltriert er Daten über DNS. Anschließend werden Protokolle und Endpunktdaten abgefragt, um die Hypothese zu bestätigen oder zu widerlegen. Die meisten Threat Hunting-Aktivitäten verlaufen ergebnislos. Das ist kein Misserfolg, sondern bestätigt, dass die Abwehrmechanismen funktionieren.

Die Bedrohungssuche erfordert Daten und Fachkenntnisse. Der Angreifer benötigt Zugriff auf Endpunkt-Telemetriedaten, Netzwerkprotokolle und Authentifizierungsereignisse. Er muss den Normalzustand kennen, um Abweichungen zu erkennen. Er muss die Techniken von Angreifern verstehen, die häufig Frameworks wie MITRE ATT&CK entnommen werden. Die Bedrohungssuche unterscheidet sich von der Reaktion auf Sicherheitsvorfälle. Die Reaktion auf Sicherheitsvorfälle reagiert auf bestätigte Ereignisse. Die Bedrohungssuche sucht nach Ereignissen, die noch nicht bestätigt wurden. Sie schließt die Lücke zwischen automatisierter Erkennung und menschlicher Untersuchung. Eine erfolgreiche Suche führt zu neuen Erkennungsregeln. Selbst eine Hypothese, die nichts ergeben hat, liefert Erkenntnisse über die Umgebung. Mit der Zeit verbessert die Bedrohungssuche die Erkennungsabdeckung und verkürzt die Verweildauer. Angreifer setzen darauf, dass Verteidiger reaktiv agieren. Die Bedrohungssuche widerlegt diese Annahme.

Bedrohungsjagdprozess

• Formulieren Sie eine Hypothese auf der Grundlage von Bedrohungsinformationen oder dem Verhalten von Angreifern.
• Sammeln Sie Daten aus relevanten Quellen
• Fragen stellen und analysieren, um Beweise zu finden
• Anomalien untersuchen
• Ergebnisse dokumentieren und neue Erkennungen erstellen

Bedrohungsanalyse ist Detektivarbeit. Das Verbrechen muss nicht stattgefunden haben. Die Aufgabe besteht darin, zu beweisen, ob es stattgefunden hat oder nicht.