Hunt obvykle začíná testovatelnou hypotézou, podezřelým vzorem, vodítkem z zpravodajství nebo známou mezerou ve viditelnosti a poté zkoumá relevantní důkazy koncových zařízení, identit, sítě, cloudu či aplikací.
Hunting je hodnotný i když nenajde kompromitaci, za podmínky, že hledání bylo dobře vymezené a jeho předpoklady byly testovány. Může odhalit chybějící telemetrii, slabé vyšetřovací cesty, nebezpečné konfigurace nebo příležitosti pro nové detekce. Opakované, bezcílné dotazování bez otázky, metody či dokumentovaného výsledku není vyspělá praxe lovu hrozeb.
Klíčové body
Výchozí bodyChování protivníků, změny rizika, ponaučení z incidentů, anomálie, informace o hrozbách a otázky, na které automatizované analytiky nemohou spolehlivě odpovědět.
Typické workflowVytvořte hypotézu, definujte požadované důkazy, zkontrolujte kvalitu dat, hledejte a pivotujte, validujte nálezy, zaznamenejte závěry a napájejte zlepšení zpět do kontrol.
Užitečné výstupyPotvrzená či vyloučená aktivita, nová detekční logika, vylepšená telemetrie, dokumentované baseline a jasnější playbooky reakce.
Důležité omezeníHunt může zkoumat pouze důkazy, které má k dispozici. Žádné nálezy nedokazují, že prostředí je nekompromitované, zejména tam, kde je sběr či uchovávání neúplné.