थ्रेट हंटिंग का मतलब है उन खतरों की सक्रिय रूप से खोज करना जो मौजूदा सुरक्षा प्रणालियों से बच निकले हैं। इसमें किसी अलर्ट का इंतजार नहीं किया जाता। इसमें यह मानकर चला जाता है कि हमलावर पहले से ही सिस्टम में मौजूद है और सबूत ढूंढ रहा है। थ्रेट हंटर एक परिकल्पना बनाता है। हो सकता है कि हमलावर लेटरल मूवमेंट के लिए पॉवरशेल का इस्तेमाल कर रहा हो। हो सकता है कि वे DNS के ज़रिए डेटा लीक कर रहे हों। फिर वे इसकी पुष्टि या खंडन करने के लिए लॉग और एंडपॉइंट डेटा की जांच करते हैं। ज़्यादातर खोजों में कुछ नहीं मिलता। यह विफलता नहीं है। यह इस बात की पुष्टि है कि सुरक्षा प्रणालियाँ कारगर हैं।

खतरे का पता लगाने के लिए डेटा और कौशल दोनों की आवश्यकता होती है। शिकारी को एंडपॉइंट टेलीमेट्री, नेटवर्क लॉग और प्रमाणीकरण घटनाओं तक पहुंच की आवश्यकता होती है। उन्हें यह जानना आवश्यक है कि सामान्य स्थिति कैसी दिखती है ताकि वे असामान्य स्थिति को पहचान सकें। उन्हें हमलावरों की तकनीकों को समझना आवश्यक है, जो अक्सर MITRE ATT&CK जैसे फ्रेमवर्क से ली जाती हैं। खतरे का पता लगाना घटना प्रतिक्रिया से भिन्न है। घटना प्रतिक्रिया किसी पुष्ट घटना पर प्रतिक्रिया करती है। खतरे का पता लगाना उन घटनाओं की खोज करता है जिनकी कभी पुष्टि नहीं हुई। यह स्वचालित पहचान और मानवीय जांच के बीच की खाई को भरता है। एक सफल खोज नए पहचान नियम बनाती है। यह परिकल्पना कि कुछ नहीं मिला, फिर भी पर्यावरण के बारे में कुछ न कुछ सिखाती है। समय के साथ, खतरे का पता लगाने की क्षमता में सुधार होता है और खोज में लगने वाला समय कम हो जाता है। हमलावर रक्षकों की प्रतिक्रियाशीलता पर भरोसा करते हैं। खतरे का पता लगाना इस धारणा को तोड़ता है।

खतरे की पहचान प्रक्रिया

• खतरे की जानकारी या हमलावर के व्यवहार के आधार पर एक परिकल्पना बनाएं।
• प्रासंगिक स्रोतों से डेटा एकत्र करें
• साक्ष्य के लिए पूछताछ और विश्लेषण करें
• विसंगतियों की जांच करें
• निष्कर्षों को दस्तावेज़ित करें और नए निदान बनाएं

खतरे की खोज करना जासूसी का काम है। अपराध हुआ ही न हो, ऐसा भी हो सकता है। काम यह साबित करना है कि अपराध हुआ या नहीं।