Polowanie na zagrożenia to proaktywne poszukiwanie zagrożeń, które ominęły istniejące zabezpieczenia. Nie czeka się na alert. Zakłada się, że atakujący jest już w środku i szuka dowodów. Łowca stawia hipotezę. Być może atakujący używa programu PowerShell do ruchu bocznego. Być może wykrada dane przez DNS. Następnie przeszukuje logi i dane punktów końcowych, aby potwierdzić lub obalić hipotezę. Większość polowań niczego nie znajduje. To nie jest porażka. To potwierdzenie, że zabezpieczenia działają.

Polowanie wymaga danych i umiejętności. Łowca potrzebuje dostępu do telemetrii punktów końcowych, logów sieciowych i zdarzeń uwierzytelniania. Musi wiedzieć, jak wygląda sytuacja normalna, aby móc wykryć anomalie. Musi zrozumieć techniki atakujących, często zaczerpnięte z frameworków takich jak MITRE ATT&CK. Polowanie różni się od reagowania na incydenty. Reakcja na incydenty polega na reagowaniu na potwierdzone zdarzenie. Polowanie na zagrożenia wyszukuje zdarzenia, które nigdy nie zostały potwierdzone. Wypełnia lukę między automatycznym wykrywaniem a badaniem prowadzonym przez człowieka. Dobre polowanie generuje nowe reguły detekcji. Hipoteza, która niczego nie wykazała, nadal czegoś uczy o środowisku. Z czasem polowanie poprawia zasięg detekcji i skraca czas pozostawania w miejscu. Atakujący liczą na reaktywność obrońców. Polowanie podważa to założenie.

Proces wykrywania zagrożeń

• Sformułuj hipotezę na podstawie informacji o zagrożeniach lub zachowania atakującego
• Zbierz dane z odpowiednich źródeł
• Zapytaj i przeanalizuj dowody
• Zbadaj anomalie
• Dokumentowanie ustaleń i tworzenie nowych wykryć

Polowanie na zagrożenia to praca detektywa. Przestępstwo mogło nie mieć miejsca. Zadanie polega na udowodnieniu, że miało miejsce lub nie.