A vadászat jellemzően tesztelhető hipotézissel, gyanús mintával, fenyegetésfelderítési nyommal vagy ismert láthatósági réssel indul, majd megvizsgálja a releváns végpont-, identitás-, hálózati, felhő- vagy alkalmazásbizonyítékokat.
A vadászat akkor is értékes, ha nem talál kompromittálódást, feltéve hogy a keresés jól volt behatárolva és a feltételezései tesztelve lettek. Feltárhat hiányzó telemetriát, gyenge vizsgálati útvonalakat, nem biztonságos konfigurációkat vagy új észlelési lehetőségeket. Az ismétlődő, céltalan lekérdezés kérdés, módszer vagy dokumentált eredmény nélkül nem érett vadászati gyakorlat.
Legfontosabb pontok
KiindulópontokTámadói viselkedések, kockázatváltozások, incidenstanulságok, anomáliák, fenyegetésfelderítés, valamint olyan kérdések, amelyekre az automatizált analitika nem tud megbízhatóan válaszolni.
Tipikus munkafolyamatHipotézis felállítása, a szükséges bizonyíték definiálása, az adatminőség ellenőrzése, keresés és pivotálás, a megállapítások validálása, a következtetések rögzítése, és a fejlesztések visszacsatolása a kontrollokba.
Hasznos eredményekMegerősített vagy kizárt tevékenység, új észlelési logika, javult telemetria, dokumentált alapvonalak és világosabb reagálási playbookök.
Fontos korlátA vadászat csak a rendelkezésére álló bizonyítékot tudja megvizsgálni. A találat hiánya nem bizonyítja, hogy a környezet kompromittálatlan — különösen ott, ahol a gyűjtés vagy a megőrzés hiányos.