Гипотеза охоты
Простыми словами
Проще говоря, «Гипотеза охоты» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Гипотеза охоты» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Гипотеза охоты», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Охотничий запросОхотничий запрос — запрос к телеметрии, журналам или данным, созданный для проверки гипотезы охоты.
- Охотничий сценарийОхотничий сценарий — воспроизводимый план поиска угрозы с гипотезой, источниками данных, запросами и критериями результата.
- Цепочка убийства (Cyber Kill Chain)Cyber Kill Chain — модель последовательных этапов атаки, используемая для анализа и построения защитных мер.
Как это работает
- Поставить аналитический вопросДля «Гипотеза охоты» заранее определяют, какое решение должен поддержать результат.
- Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
- Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
- Операционализировать выводРезультат «Гипотеза охоты» превращают в поиск, приоритет защиты или изменение обнаружения.
Частые вопросы
Проще говоря, «Гипотеза охоты» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Гипотеза охоты» применяют на практике?В практике ИБ термин «Гипотеза охоты» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Гипотеза охоты» отличается от близких понятий?«Гипотеза охоты» описывает следующее: проверяемое предположение о возможной активности противника в среде. «Охотничий запрос» означает: запрос к телеметрии, журналам или данным, созданный для проверки гипотезы охоты. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.