A fenyegetésvadászat proaktívan keresi azokat a fenyegetéseket, amelyek megkerülték a meglévő védelmeket. Nem vár riasztásra. Feltételezi, hogy a támadó már bent van, és bizonyítékokat keres. A vadász hipotézist alkot. Talán a támadó PowerShellt használ az oldalirányú mozgáshoz. Talán adatokat szivárogtat ki DNS-en keresztül. Ezután lekérdezi a naplókat és a végpontadatokat, hogy megerősítse vagy cáfolja ezt. A legtöbb vadászat semmit sem talál. Ez nem kudarc. Ez megerősítés arra, hogy a védelem működik.

A fenyegetésvadászat adatokat és szakértelmet igényel. A vadásznak hozzáférésre van szüksége a végpontok telemetriájához, a hálózati naplókhoz és a hitelesítési eseményekhez. Tudnia kell, hogy néz ki a normális, hogy észrevehesse a rendelleneset. Meg kell értenie a támadási technikákat, amelyeket gyakran olyan keretrendszerekből merítenek, mint a MITRE ATT&CK. A fenyegetésvadászat különbözik az incidensre adott választól. Az incidensre adott válasz egy megerősített eseményre reagál. A fenyegetésvadászat olyan eseményeket keres, amelyeket soha nem erősítettek meg. Kitölti az űrt az automatizált észlelés és az emberi vizsgálat között. Egy jó vadászat új észlelési szabályokat hoz létre. Az a hipotézis, hogy semmit sem talált, továbbra is tanít valamit a környezetről. Idővel a vadászat javítja az észlelési lefedettséget és csökkenti a tartózkodási időt. A támadók arra számítanak, hogy a védők reaktívak lesznek. A vadászat ezt a feltételezést megdönti.

Fenyegetésvadászati ​​folyamat

• Hipotézis felállítása fenyegetésfelderítés vagy támadó viselkedés alapján
• Gyűjtsön adatokat releváns forrásokból
• Bizonyítékok lekérdezése és elemzése
• Anomáliák kivizsgálása
• Dokumentálja a megállapításokat és hozzon létre új észleléseket

A fenyegetésvadászat nyomozói munka. Lehet, hogy a bűncselekmény meg sem történt. A feladat az, hogy bebizonyítsuk, megtörtént-e vagy sem.