Vânătoarea de amenințări constă în căutarea proactivă a amenințărilor care au evitat apărările existente. Nu așteaptă o alertă. Presupune că un atacator este deja înăuntru și caută dovezi. Vânătorul formulează o ipoteză. Poate că atacatorul folosește PowerShell pentru mișcare laterală. Poate că exfiltrează date prin DNS. Apoi interoghează jurnalele și datele endpoint-urilor pentru a o confirma sau a o infirma. Majoritatea căutărilor nu găsesc nimic. Aceasta nu este o eroare. Este o confirmare că apărările funcționează.

Vânătoarea necesită date și abilități. Vânătorul are nevoie de acces la telemetria endpoint-urilor, jurnalele de rețea și evenimentele de autentificare. Trebuie să știe cum arată normalul pentru a putea identifica anormalul. Trebuie să înțeleagă tehnicile atacatorilor, adesea extrase din framework-uri precum MITRE ATT&CK. Vânătoarea este diferită de răspunsul la incidente. Răspunsul la incidente reacționează la un eveniment confirmat. Vânătoarea de amenințări caută evenimente care nu au fost niciodată confirmate. Aceasta umple golul dintre detectarea automată și investigația umană. O vânătoare bună produce noi reguli de detectare. Ipoteza că nu a găsit nimic încă ne învață ceva despre mediu. În timp, vânătoarea îmbunătățește acoperirea de detectare și reduce timpul de staționare. Atacatorii se bazează pe reacția apărătorilor. Vânătoarea încalcă această presupunere.

Procesul de vânătoare a amenințărilor

• Formulați o ipoteză bazată pe informații despre amenințări sau pe comportamentul atacatorului
• Colectați date din surse relevante
• Interogare și analiză pentru dovezi
• Investigarea anomaliilor
• Documentați constatările și creați noi detectări

Vânătoarea de amenințări este o muncă de detectiv. Crima s-ar putea să nu fi avut loc. Sarcina este de a dovedi că a avut loc sau nu.