Perburuan ancaman adalah pencarian proaktif terhadap ancaman yang telah lolos dari pertahanan yang ada. Ini bukan menunggu peringatan. Ini mengasumsikan penyerang sudah berada di dalam dan mencari bukti. Pemburu membentuk hipotesis. Mungkin penyerang menggunakan PowerShell untuk pergerakan lateral. Mungkin mereka mengeksfiltrasi data melalui DNS. Kemudian mereka menanyakan log dan data endpoint untuk mengkonfirmasi atau membantahnya. Sebagian besar perburuan tidak menemukan apa pun. Itu bukan kegagalan. Itu adalah konfirmasi bahwa pertahanan berfungsi.

Perburuan ancaman membutuhkan data dan keterampilan. Pemburu membutuhkan akses ke telemetri titik akhir, log jaringan, dan peristiwa otentikasi. Mereka perlu mengetahui seperti apa kondisi normal agar dapat mendeteksi kondisi abnormal. Mereka perlu memahami teknik penyerang, yang sering kali diambil dari kerangka kerja seperti MITRE ATT&CK. Perburuan ancaman berbeda dari respons insiden. Respons insiden bereaksi terhadap peristiwa yang telah dikonfirmasi. Perburuan ancaman mencari peristiwa yang belum pernah dikonfirmasi. Ini mengisi celah antara deteksi otomatis dan investigasi manusia. Perburuan yang baik menghasilkan aturan deteksi baru. Hipotesis yang tidak menemukan apa pun tetap memberikan pelajaran tentang lingkungan. Seiring waktu, perburuan meningkatkan cakupan deteksi dan mengurangi waktu deteksi. Penyerang mengandalkan pihak bertahan untuk bersikap reaktif. Perburuan mematahkan asumsi tersebut.

Proses perburuan ancaman

• Rumuskan hipotesis berdasarkan informasi intelijen ancaman atau perilaku penyerang.
• Kumpulkan data dari sumber yang relevan.
• Lakukan penyelidikan dan analisis untuk mencari bukti.
• Selidiki anomali
• Mendokumentasikan temuan dan membuat deteksi baru

Perburuan ancaman adalah pekerjaan detektif. Kejahatan mungkin tidak terjadi. Tugasnya adalah membuktikan apakah kejahatan itu terjadi atau tidak.