Lov zvyčajne začína testovateľnou hypotézou, podozrivým vzorom, stopou spravodajstva alebo známou medzerou vo viditeľnosti, potom skúma relevantné dôkazy koncových zariadení, identít, siete, cloudu alebo aplikácií.
Lov je cenný aj keď nenájde kompromitáciu, pokiaľ bolo hľadanie dobre ohraničené a jeho predpoklady boli testované. Môže odhaliť chýbajúcu telemetriu, slabé vyšetrovacie cesty, nebezpečné konfigurácie alebo príležitosti pre nové detekcie. Opakované, bezcieľne dopytovanie bez otázky, metódy alebo zdokumentovaného výsledku nie je vyspelá prax lovu.
Kľúčové body
VýchodiskáSprávania útočníkov, zmeny rizika, lekcie incidentov, anomálie, spravodajstvo o hrozbách a otázky, na ktoré automatizované analytiky nedokážu spoľahlivo odpovedať.
Typický tok práceVytvoriť hypotézu, definovať potrebné dôkazy, skontrolovať kvalitu údajov, hľadať a pivotovať, validovať nálezy, zaznamenať závery a vliať zlepšenia späť do kontrol.
Užitočné výsledkyPotvrdená alebo vylúčená aktivita, nová detekčná logika, zlepšená telemetria, zdokumentované základné stavy a jasnejšie playbooky reakcie.
Dôležité obmedzenieLov môže skúmať len dôkazy, ktoré má k dispozícii. Žiadne nálezy nedokazujú, že prostredie nie je kompromitované, najmä tam, kde je zber alebo uchovávanie neúplné.