Threat hunting is het proactief opsporen van bedreigingen die de bestaande verdedigingsmechanismen hebben omzeild. Het wacht niet op een waarschuwing, maar gaat ervan uit dat een aanvaller al binnen is en zoekt naar bewijs. De threat hunter formuleert een hypothese. Misschien gebruikt de aanvaller PowerShell voor laterale verplaatsing. Misschien exfiltreert hij gegevens via DNS. Vervolgens worden logs en endpointgegevens geraadpleegd om de hypothese te bevestigen of te ontkrachten. De meeste zoektochten leveren niets op. Dat is geen mislukking, maar juist een bevestiging dat de verdedigingsmechanismen werken.

Het opsporen van bedreigingen vereist data en vaardigheid. De jager heeft toegang nodig tot endpoint-telemetrie, netwerklogs en authenticatiegebeurtenissen. Ze moeten weten wat normaal is om afwijkend gedrag te kunnen herkennen. Ze moeten de aanvalstechnieken begrijpen, vaak gebaseerd op frameworks zoals MITRE ATT&CK. Het opsporen van bedreigingen verschilt van incidentrespons. Incidentrespons reageert op een bevestigde gebeurtenis. Bij het opsporen van bedreigingen wordt gezocht naar gebeurtenissen die nooit zijn bevestigd. Het overbrugt de kloof tussen geautomatiseerde detectie en menselijk onderzoek. Een goede zoektocht levert nieuwe detectieregels op. Zelfs een hypothese die niets oplevert, leert ons iets over de omgeving. Na verloop van tijd verbetert het opsporen van bedreigingen de detectiedekking en verkort het de verblijftijd. Aanvallers rekenen erop dat verdedigers reactief zijn. Het opsporen van bedreigingen doorbreekt die aanname.

Proces voor het opsporen van bedreigingen

• Formuleer een hypothese op basis van dreigingsinformatie of het gedrag van aanvallers.
• Verzamel gegevens uit relevante bronnen.
• Onderzoek en analyseer bewijsmateriaal
• Onderzoek afwijkingen
• Documenteer bevindingen en creëer nieuwe detectiemethoden.

Het opsporen van bedreigingen is detectivewerk. De misdaad heeft misschien niet plaatsgevonden. De taak is om te bewijzen of die wel of niet heeft plaatsgevonden.