Polowanie zwykle zaczyna się od testowalnej hipotezy, podejrzanego wzorca, tropu z informacji o zagrożeniach lub znanej luki widoczności, a potem bada istotne dowody punktów końcowych, tożsamości, sieci, chmury lub aplikacji.
Aktywne wyszukiwanie zagrożeń jest wartościowe nawet gdy nie znajdzie kompromitacji, pod warunkiem że poszukiwanie było dobrze określone, a jego założenia przetestowane. Może ujawnić brakującą telemetrię, słabe ścieżki dochodzenia, niebezpieczne konfiguracje lub okazje do nowych detekcji. Powtarzane, bezcelowe odpytywanie bez pytania, metody czy udokumentowanego wyniku nie jest dojrzałym aktywnym wyszukiwaniem zagrożeń.
Najważniejsze punkty
Punkty startoweZachowania przeciwników, zmiany ryzyka, wnioski incydentowe, anomalie, informacje o zagrożeniach i pytania, na które zautomatyzowane analityki nie potrafią wiarygodnie odpowiedzieć.
Typowy przepływUformuj hipotezę, zdefiniuj wymagane dowody, sprawdź jakość danych, szukaj i pivotuj, waliduj ustalenia, zapisz wnioski i przekaż usprawnienia z powrotem do kontroli.
Użyteczne wynikiPotwierdzona lub wykluczona aktywność, nowa logika detekcyjna, ulepszona telemetria, udokumentowane bazy i jaśniejsze playbooki reakcyjne.
Istotne ograniczeniePolowanie może badać tylko dostępne mu dowody. Brak ustaleń nie dowodzi, że środowisko jest nieskompromitowane, zwłaszcza gdy zbieranie lub retencja jest niekompletna.