Το κυνήγι απειλών αναζητά προληπτικά απειλές που έχουν ξεφύγει από τις υπάρχουσες άμυνες. Δεν περιμένει μια ειδοποίηση. Υποθέτει ότι ένας εισβολέας βρίσκεται ήδη μέσα και αναζητά στοιχεία. Ο κυνηγός διατυπώνει μια υπόθεση. Ίσως ο εισβολέας χρησιμοποιεί το PowerShell για πλευρική κίνηση. Ίσως αποσπά δεδομένα μέσω DNS. Στη συνέχεια, ρωτά αρχεία καταγραφής και δεδομένα τελικού σημείου για να τα επιβεβαιώσει ή να τα διαψεύσει. Οι περισσότερες αναζητήσεις δεν βρίσκουν τίποτα. Αυτό δεν είναι αποτυχία. Είναι επιβεβαίωση ότι οι άμυνες λειτουργούν.

Το κυνήγι απαιτεί δεδομένα και δεξιότητες. Ο κυνηγός χρειάζεται πρόσβαση σε τηλεμετρία τελικού σημείου, αρχεία καταγραφής δικτύου και συμβάντα ελέγχου ταυτότητας. Πρέπει να γνωρίζει πώς μοιάζει το φυσιολογικό, ώστε να μπορεί να εντοπίσει το μη φυσιολογικό. Πρέπει να κατανοήσει τις τεχνικές του εισβολέα, οι οποίες συχνά αντλούνται από πλαίσια όπως το MITRE ATT&CK. Το κυνήγι διαφέρει από την απόκριση σε συμβάντα. Η απόκριση σε συμβάντα αντιδρά σε ένα επιβεβαιωμένο συμβάν. Το κυνήγι απειλών αναζητά συμβάντα που δεν επιβεβαιώθηκαν ποτέ. Γεμίζει το κενό μεταξύ της αυτοματοποιημένης ανίχνευσης και της ανθρώπινης έρευνας. Ένα καλό κυνήγι παράγει νέους κανόνες ανίχνευσης. Η υπόθεση που δεν βρήκε τίποτα εξακολουθεί να διδάσκει κάτι για το περιβάλλον. Με την πάροδο του χρόνου, το κυνήγι βελτιώνει την κάλυψη ανίχνευσης και μειώνει τον χρόνο παραμονής. Οι επιτιθέμενοι βασίζονται στην αντίδραση των αμυνόμενων. Το κυνήγι καταρρίπτει αυτή την υπόθεση.

Διαδικασία κυνηγιού απειλών

• Διαμορφώστε μια υπόθεση βασισμένη σε πληροφορίες απειλών ή συμπεριφορά εισβολέα
• Συγκεντρώστε δεδομένα από σχετικές πηγές
• Ερώτηση και ανάλυση για αποδεικτικά στοιχεία
• Διερεύνηση ανωμαλιών
• Καταγράψτε τα ευρήματα και δημιουργήστε νέες ανιχνεύσεις

Το κυνήγι απειλών είναι δουλειά του ντετέκτιβ. Το έγκλημα μπορεί να μην έχει συμβεί. Η δουλειά είναι να αποδειχθεί ότι συνέβη ή όχι.