Czy telemetria, którą Państwa zespół już dysponuje, może odpowiedzieć na konkretne pytanie dotyczące bezpieczeństwa? Threat Hunting Engagement to ograniczony w czasie, oparty na hipotezach przegląd, którego celem jest zbadanie takiego pytania na podstawie uzgodnionych dowodów z endpointów, systemów tożsamości, chmury, sieci lub aplikacji. Bada uzgodnione dowody pod kątem oznak naruszenia, złośliwego oprogramowania i podejrzanej aktywności oraz raportuje, co te dowody potwierdzają. Jego wartością jest zdyscyplinowany przegląd tego, co wybrane dowody mogą potwierdzić, czego nie mogą, i co zasługuje na praktyczny kolejny krok. Wyniki zależą od hipotez, widoczności telemetrii, okresu przechowywania danych, metody dostępu, jakości dowodów, ograniczeń dotyczących danych wrażliwych oraz uzgodnionego okna polowania.
Co to jest
Prace są zorganizowane wokół niewielkiego zestawu uzgodnionych hipotez. Przed polowaniem strony określają źródła telemetrii, okresy przechowywania, metodę dostępu, granice danych wrażliwych, wskazane osoby kontaktowe, wymagane zgody dostawców oraz decyzję, którą ustalenia mają wspierać. Analitycy przeglądają podejrzane wzorce i istotne artefakty IOC lub IOA, a następnie klasyfikują materiał jako informacyjny, podejrzany lub potwierdzony jako istotny w ramach dostępnych dowodów. Raport zapisuje luki w wykrywaniu i telemetrii obok ustaleń, priorytetów i ograniczeń. To ukierunkowane, ograniczone w czasie polowanie; monitoring, reagowanie na incydenty, analiza powłamaniowa i naprawy są w razie potrzeby realizowane w ramach odrębnych ustaleń.
Dla kogo
Polowanie jest przydatne dla zespołów, które:
- Mają określony problem lub hipotezę, na które istniejąca telemetria może być w stanie odpowiedzieć
- Mogą udostępnić uzgodnione dowody z endpointów, systemów tożsamości, chmury, sieci lub aplikacji na ograniczony okres przeglądu
- Potrzebują uporządkowanego rozróżnienia między sygnałami informacyjnymi, podejrzanymi wzorcami i pozycjami wymagającymi dalszych działań wskazanego właściciela
- Chcą zrozumieć luki w telemetrii i wykrywaniu przed wyborem szerszych prac z zakresu monitoringu, reagowania lub inżynierii
Co pomaga wyjaśnić
Polowanie pomaga wyjaśnić:
- Które hipotezy można rozsądnie zbadać na podstawie uzgodnionych źródeł, okresu przechowywania, dostępu i jakości dowodów
- Które wzorce lub artefakty są informacyjne, podejrzane lub potwierdzone jako istotne w granicy przeglądu
- Gdzie brakujące logi, krótki okres przechowywania, uprawnienia, ograniczenia dostawców lub ograniczenia dotyczące danych wrażliwych obniżają pewność
- Które pytanie dotyczące wykrywania, dochodzenia, operacji lub reagowania powinien w następnej kolejności podjąć właściwy właściciel
Co jest zawarte
- Potwierdzone hipotezy, źródła telemetrii, okresy przechowywania, metoda dostępu, ograniczenia dotyczące danych wrażliwych, wskazane osoby kontaktowe, koordynacja z dostawcami w razie potrzeby oraz okno polowania
- Przegląd uzgodnionej telemetrii z endpointów, systemów tożsamości, chmury, sieci lub aplikacji pod kątem istotnych wzorców oraz artefaktów IOC lub IOA
- Oparty na dowodach triaż materiału informacyjnego, podejrzanego i potwierdzonego jako istotny
- Dokumentacja luk w wykrywaniu i telemetrii, granic zakresu, ustaleń i dalszych działań uszeregowanych według priorytetu
- Wspólne podsumowanie ze wskazanymi interesariuszami w celu omówienia dowodów, niepewności, eskalacji i kolejnych pytań
Co nie jest uwzględnione
- Ciągły monitoring, MDR, całodobowe operacje SOC, dyżurna obsługa alertów ani automatyczne wdrażanie agentów i logowania
- Reagowanie na trwające incydenty, bezpośrednie powstrzymywanie, przywracanie działania, wdrażanie napraw ani pełna analiza powłamaniowa
- Obietnica wykrycia naruszenia, złośliwego oprogramowania, przyczyny źródłowej, zagrożenia lub podejrzanego działania albo potwierdzenia czystego środowiska
- Certyfikacja, uniwersalne pokrycie wykrywania ani przegląd źródeł spoza uzgodnionej granicy czasowej i dowodowej
Kiedy to wybrać
Polowanie warto wybrać, gdy firma potrafi sformułować konkretne pytanie, na przykład czy dany wzorzec jest widoczny w określonym zbiorze telemetrii, czy znany wskaźnik ma znaczenie lub czy luka w kontrolach wymaga lepszych dowodów. Jest przydatne po zmianie logowania, po zgłoszeniu obaw przez interesariusza lub przed decyzją, czy model operacyjny powinien się rozwinąć. W sytuacjach awaryjnych właściwą drogą są ustalenia dotyczące reagowania awaryjnego. Jeśli w trakcie prac pojawią się wskaźniki aktywnego incydentu, są one eskalowane do wskazanych osób kontaktowych i mogą wymagać wsparcia reakcji w odrębnym zakresie.
Nasze podejście
Polowanie zaczyna się od jasnych pytań. Uzgadniamy hipotezy i tworzymy mapę dostępnych dowodów: źródła, okres przechowywania, ścieżkę dostępu, ograniczenia dotyczące danych wrażliwych, warunki dostawców, kontakty i okno czasowe. Analitycy podążają następnie zatwierdzonym tropem dowodowym, zachowując rozróżnienie między obserwacją a potwierdzonym wnioskiem. Brakujące źródło danych jest zapisywane jako luka, a nie traktowane jako wynik negatywny. Podczas podsumowania klient otrzymuje zwięzłą narrację ustaleń, istotne artefakty, obserwacje dotyczące wykrywania, ograniczenia i dalsze działania uszeregowane według priorytetu. Taki zapis wspiera świadomy wybór dotyczący strojenia, dodatkowej telemetrii, dochodzenia, reagowania lub odrębnego zlecenia. Raport zapisuje też praktyczne warunki przeglądu: kiedy dowody były dostępne, które systemy nie były widoczne i czy okres przechowywania lub dostęp mogły wpłynąć na wynik. Pozwala to liderowi bezpieczeństwa porównać polowanie z normalnymi operacjami i zobaczyć, jak uzupełnia ono program monitoringu. Kolejne polowanie można rozważyć tylko wtedy, gdy uzasadnia je nowe pytanie, zmiana źródeł lub punkt decyzyjny.
Często zadawane pytania
Artykuły pokrewne
Zacznij
Potrzebują Państwo jaśniejszej odpowiedzi z telemetrii bezpieczeństwa, którą już mają?
Wystarczy konkretne pytanie. Możemy potwierdzić hipotezy, źródła dowodów, ograniczenia dostępu oraz to, czy ograniczone w czasie polowanie jest właściwe.
Poproś o rozmowę o threat huntingu