Trusseljakt er proaktivt å søke etter trusler som har unngått eksisterende forsvar. Det er ikke å vente på et varsel. Det antar at en angriper allerede er inne og leter etter bevis. Jegeren danner en hypotese. Kanskje angriperen bruker PowerShell for lateral bevegelse. Kanskje de eksfiltrerer data over DNS. Deretter spør de logger og endepunktdata for å bekrefte eller motbevise det. De fleste jakter finner ingenting. Det er ikke feil. Det er en bekreftelse på at forsvaret fungerer.

Jakt krever data og ferdigheter. Jegeren trenger tilgang til endepunkttelemetri, nettverkslogger og autentiseringshendelser. De må vite hvordan normalt ser ut, slik at de kan oppdage det unormale. De må forstå angriperteknikker, ofte hentet fra rammeverk som MITRE ATT&CK. Jakt er forskjellig fra hendelsesrespons. Hendelsesrespons reagerer på en bekreftet hendelse. Trusseljakt ser etter hendelser som aldri ble bekreftet. Den fyller gapet mellom automatisert deteksjon og menneskelig etterforskning. En god jakt produserer nye deteksjonsregler. Hypotesen om at ingenting fant lærer fortsatt noe om miljøet. Over tid forbedrer jakt deteksjonsdekningen og reduserer oppholdstiden. Angripere regner med at forsvarere er reaktive. Jakt bryter med den antagelsen.

Trusseljaktprosess

• Dann en hypotese basert på trusselinformasjon eller angriperatferd
• Samle inn data fra relevante kilder
• Spør og analyser for bevis
• Undersøk avvik
• Dokumenter funn og opprett nye deteksjoner

Trusseljakt er detektivarbeid. Forbrytelsen har kanskje ikke skjedd. Jobben er å bevise at den har skjedd eller ikke.