Охота за угрозами (Threat Hunting)
Простыми словами
Проще говоря, «Охота за угрозами (Threat Hunting)» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Охота за угрозами (Threat Hunting)» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Охота за угрозами (Threat Hunting)», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Проактивная защитаПроактивная защита — действия по заблаговременному снижению риска и поиску угроз до появления подтверждённого инцидента.
- Гипотеза охотыГипотеза охоты — проверяемое предположение о возможной активности противника в среде.
- Поведенческий индикаторПоведенческий индикатор — наблюдаемый паттерн действий, указывающий на возможную технику или цель противника.
Как это работает
- Поставить аналитический вопросДля «Охота за угрозами (Threat Hunting)» заранее определяют, какое решение должен поддержать результат.
- Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
- Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
- Операционализировать выводРезультат «Охота за угрозами (Threat Hunting)» превращают в поиск, приоритет защиты или изменение обнаружения.
Частые вопросы
Проще говоря, «Охота за угрозами (Threat Hunting)» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Охота за угрозами (Threat Hunting)» применяют на практике?В практике ИБ термин «Охота за угрозами (Threat Hunting)» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Охота за угрозами (Threat Hunting)» отличается от близких понятий?«Охота за угрозами (Threat Hunting)» описывает следующее: проактивный поиск признаков скрытой активности противника на основе гипотез, данных и TTP. «Проактивная защита» означает: действия по заблаговременному снижению риска и поиску угроз до появления подтверждённого инцидента. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.