Поиск угроз — это активный поиск угроз, которые обошли существующие средства защиты. Он не предполагает ожидания оповещения. Он исходит из предположения, что злоумышленник уже находится внутри и ищет доказательства. «Охотник» выдвигает гипотезу. Возможно, злоумышленник использует PowerShell для горизонтального перемещения. Возможно, он похищает данные через DNS. Затем он запрашивает журналы и данные конечных точек, чтобы подтвердить или опровергнуть это. В большинстве случаев поиск ничего не находит. Это не провал. Это подтверждение того, что средства защиты работают.

Поиск угроз требует данных и навыков. Охотнику необходим доступ к телеметрии конечных точек, сетевым журналам и событиям аутентификации. Он должен знать, как выглядит нормальная ситуация, чтобы выявлять отклонения от нормы. Он должен понимать методы злоумышленников, часто заимствованные из таких фреймворков, как MITRE ATT&CK. Поиск угроз отличается от реагирования на инциденты. Реагирование на инциденты реагирует на подтвержденное событие. Поиск угроз ищет события, которые никогда не были подтверждены. Он заполняет пробел между автоматическим обнаружением и расследованием человеком. Хороший поиск угроз создает новые правила обнаружения. Гипотеза, которая ничего не обнаружила, все равно дает представление об окружающей среде. Со временем поиск угроз улучшает охват обнаружения и сокращает время обнаружения. Злоумышленники рассчитывают на реактивность защитников. Поиск угроз разрушает это предположение.

процесс поиска угроз

• Сформулируйте гипотезу на основе данных об угрозах или поведении злоумышленников.
• Соберите данные из соответствующих источников.
• Запрос и анализ для выявления доказательств.
• Исследуйте аномалии
• Документировать результаты и создавать новые обнаружения.

Расследование угроз — это детективная работа. Преступление могло и не произойти. Задача состоит в том, чтобы доказать, что оно произошло или нет.