La chasse aux menaces consiste à rechercher proactivement les menaces qui ont contourné les défenses existantes. Elle ne repose pas sur l'attente d'une alerte, mais sur la présomption qu'un attaquant est déjà infiltré et la recherche de preuves. L'expert en chasse aux menaces formule une hypothèse : l'attaquant utilise peut-être PowerShell pour se déplacer latéralement, ou exfiltre peut-être des données via DNS. Il interroge ensuite les journaux et les données des terminaux pour confirmer ou infirmer cette hypothèse. La plupart des chasses aux menaces ne donnent rien. Ce n'est pas un échec, mais la confirmation que les défenses fonctionnent.

La chasse aux menaces exige des données et des compétences. Le chasseur a besoin d'accéder à la télémétrie des terminaux, aux journaux réseau et aux événements d'authentification. Il doit connaître les caractéristiques d'un fonctionnement normal afin de repérer les anomalies. Il doit comprendre les techniques des attaquants, souvent inspirées de frameworks comme MITRE ATT&CK. La chasse aux menaces diffère de la réponse aux incidents. La réponse aux incidents réagit à un événement confirmé. La chasse aux menaces recherche des événements jamais confirmés. Elle comble le fossé entre la détection automatisée et l'investigation humaine. Une chasse fructueuse génère de nouvelles règles de détection. Même une hypothèse infructueuse apporte des informations précieuses sur l'environnement. À terme, la chasse aux menaces améliore la couverture de détection et réduit le temps d'attente. Les attaquants comptent sur la réactivité des défenseurs. La chasse aux menaces remet en question cette hypothèse.

processus de chasse aux menaces

• Formulez une hypothèse basée sur les renseignements sur les menaces ou le comportement des attaquants.
• Collecter des données provenant de sources pertinentes
• Interroger et analyser pour trouver des preuves
• Enquêter sur les anomalies
• Documenter les résultats et créer de nouvelles détections

La traque des menaces s'apparente à un travail d'enquête. Le crime n'a peut-être pas eu lieu. Il s'agit de prouver s'il a eu lieu ou non.