Vânătoarea de amenințări (threat hunting) este procesul proactiv prin care specialiști în securitate caută manual, pe baza unor ipoteze concrete, semne de compromitere sau de activitate malițioasă ascunsă într-o rețea, fără să aștepte declanșarea unei alerte automate. Pornește de la premisa realistă că anumiți atacatori reușesc deja să ocolească sistemele automate de detectare, oricât de bine configurate ar fi acestea.
Cum funcționează vânătoarea de amenințări?
Un analist formulează o ipoteză plauzibilă — de exemplu, "un atacator ar putea folosi instrumente native de administrare pentru mișcare laterală" — și caută apoi activ dovezi care să o confirme sau să o infirme, folosind date din SIEM, EDR și jurnale de sistem. Spre deosebire de monitorizarea reactivă, care așteaptă o alertă, vânătoarea de amenințări pornește de la curiozitate structurată și cunoștințe despre tacticile reale ale atacatorilor, adesea documentate în cadre de referință recunoscute la nivel de industrie. Fiecare ipoteză investigată, confirmată sau nu, contribuie treptat la o hartă tot mai clară a comportamentului normal al rețelei, utilă și pentru investigațiile viitoare.
De ce contează?
Pentru că unele atacuri sofisticate, precum o amenințare persistentă avansată, sunt construite special pentru a evita declanșarea alertelor automate, rămânând ascunse luni de zile. Un proces de vânătoare regulat crește semnificativ șansele de a descoperi astfel de amenințări înainte ca acestea să atingă obiectivul final, în loc să afli despre ele abia după ce paguba deja s-a produs. Organizațiile care practică vânătoarea de amenințări constant reușesc, în general, să reducă semnificativ timpul mediu în care un atacator rămâne nedetectat, ceea ce limitează direct amploarea daunelor posibile într-un incident real, indiferent de cât de sofisticat a fost accesul inițial obținut de atacator.
Cum se practică corect?
- Pornește de la ipoteze concrete, bazate pe threat intelligence relevant pentru domeniul tău de activitate, nu de la căutări la întâmplare.
- Ai nevoie de acces la date istorice bogate — jurnale, trafic de rețea, activitate a proceselor — pentru a putea investiga în profunzime.
- Documentează fiecare investigație, indiferent de rezultat, ca să îmbunătățești constant regulile automate de detectare pe viitor.
- Integrează vânătoarea de amenințări ca activitate regulată în cadrul unui serviciu de monitorizare SOC, nu ca exercițiu ocazional.
- Compară periodic rezultatele cu incidente reale descoperite ulterior, ca să evaluezi cât de eficiente au fost ipotezele investigate.
Un exemplu concret
Un analist formulează ipoteza că un atacator ar putea folosi instrumente de administrare native pentru a evita detectarea automată. Căutarea manuală în jurnalele de sistem scoate la iveală comenzi rulate la ore neobișnuite, de pe un cont care nu are, de regulă, activitate nocturnă. Investigația confirmă un atac activ de trei săptămâni, nesemnalat de niciun sistem automat, oprit abia în urma acestei căutări manuale deliberate.
Vrei o echipă care caută activ semnele unui atac, nu doar așteaptă alerte? Cere monitorizare 24/7 (SOC).
Întrebări frecvente
Vânătoarea de amenințări înlocuiește nevoia unui SIEM sau EDR?
Nu, se bazează pe ele — analistul folosește exact datele colectate de aceste sisteme pentru a investiga manual. Vânătoarea completează detectarea automată, nu o înlocuiește.
Ce diferență e între vânătoarea de amenințări și un răspuns la incident?
Răspunsul la incident pornește de la o alertă sau un eveniment confirmat. Vânătoarea de amenințări e proactivă — caută semne de compromitere fără să existe încă vreo alertă declanșată.