Tehdit avcılığı, mevcut savunmaları atlatmış tehditleri proaktif olarak aramaktır. Bir uyarı beklemek değildir. Saldırganın zaten içeride olduğunu varsayarak kanıt arar. Avcı bir hipotez oluşturur. Belki saldırgan yatay hareket için PowerShell kullanıyordur. Belki de DNS üzerinden veri sızdırıyorlardır. Ardından, bunu doğrulamak veya çürütmek için günlükleri ve uç nokta verilerini sorgularlar. Çoğu av hiçbir şey bulamaz. Bu bir başarısızlık değildir. Savunmaların çalıştığının teyididir.

Avcılık veri ve beceri gerektirir. Avcının uç nokta telemetrisine, ağ günlüklerine ve kimlik doğrulama olaylarına erişimi olmalıdır. Anormal olanı tespit edebilmek için normalin neye benzediğini bilmeleri gerekir. Genellikle MITRE ATT&CK gibi çerçevelerden alınan saldırgan tekniklerini anlamaları gerekir. Avcılık, olay müdahalesinden farklıdır. Olay müdahalesi, doğrulanmış bir olaya tepki verir. Tehdit avcılığı ise asla doğrulanmamış olayları arar. Otomatik tespit ile insan araştırması arasındaki boşluğu doldurur. İyi bir av, yeni tespit kuralları üretir. Hiçbir şey bulamayan hipotez bile ortam hakkında bir şeyler öğretir. Zamanla, avcılık tespit kapsamını iyileştirir ve bekleme süresini azaltır. Saldırganlar, savunucuların reaktif olacağına güvenir. Avcılık bu varsayımı kırar.

Tehdit avlama süreci

• Tehdit istihbaratı veya saldırgan davranışına dayanarak bir hipotez oluşturun.
• İlgili kaynaklardan veri toplayın.
• Kanıt bulmak için sorgulama ve analiz yapın.
• Anormallikleri araştırın
• Bulguları belgeleyin ve yeni tespitler oluşturun.

Tehdit avcılığı dedektiflik işine benzer. Suç işlenmemiş olabilir. Buradaki görev, suçun işlenip işlenmediğini kanıtlamaktır.