Săn lùng mối đe dọa là việc chủ động tìm kiếm các mối đe dọa đã vượt qua các biện pháp phòng thủ hiện có. Nó không chờ đợi cảnh báo. Nó giả định rằng kẻ tấn công đã xâm nhập và đang tìm kiếm bằng chứng. Người săn lùng hình thành một giả thuyết. Có thể kẻ tấn công đang sử dụng PowerShell để di chuyển ngang. Có thể chúng đang đánh cắp dữ liệu qua DNS. Sau đó, họ truy vấn nhật ký và dữ liệu điểm cuối để xác nhận hoặc bác bỏ giả thuyết đó. Hầu hết các cuộc săn lùng đều không tìm thấy gì. Đó không phải là thất bại. Đó là sự xác nhận rằng các biện pháp phòng thủ đang hoạt động hiệu quả.

Săn mối đe dọa đòi hỏi dữ liệu và kỹ năng. Người săn cần có quyền truy cập vào dữ liệu đo từ xa của điểm cuối, nhật ký mạng và các sự kiện xác thực. Họ cần biết trạng thái bình thường trông như thế nào để có thể phát hiện ra những điều bất thường. Họ cần hiểu các kỹ thuật của kẻ tấn công, thường được rút ra từ các khung phân tích như MITRE ATT&CK. Săn mối đe dọa khác với phản ứng sự cố. Phản ứng sự cố phản ứng với một sự kiện đã được xác nhận. Săn mối đe dọa tìm kiếm các sự kiện chưa bao giờ được xác nhận. Nó lấp đầy khoảng trống giữa phát hiện tự động và điều tra của con người. Một cuộc săn tốt sẽ tạo ra các quy tắc phát hiện mới. Giả thuyết không tìm thấy gì vẫn dạy cho chúng ta điều gì đó về môi trường. Theo thời gian, săn mối đe dọa cải thiện phạm vi phát hiện và giảm thời gian chờ đợi. Kẻ tấn công dựa vào việc người phòng thủ phản ứng thụ động. Săn mối đe dọa phá vỡ giả định đó.

Quy trình săn lùng mối đe dọa

• Đưa ra giả thuyết dựa trên thông tin tình báo về mối đe dọa hoặc hành vi của kẻ tấn công.
• Thu thập dữ liệu từ các nguồn liên quan.
• Truy vấn và phân tích bằng chứng.
• Điều tra các hiện tượng bất thường
• Ghi lại các phát hiện và tạo ra các phát hiện mới.

Săn lùng mối đe dọa là công việc của một nhà điều tra. Tội phạm có thể chưa xảy ra. Nhiệm vụ là chứng minh nó đã xảy ra hay không.