Trusselsjagt (threat hunting)

Trusselsjagt bygger på en antagelse om, at et brud allerede er sket: forebyggende kontroller og detektionsregler vil overse nogle indbrud, så analytikerne søger proaktivt efter tegn på kompromittering, der ikke har udløst en alarm. Den klassiske procesmodel er det hunting loop, som Sqrrl gjorde udbredt i midten af 2010'erne: formulér en hypotese, undersøg med værktøjer og teknikker, afdæk nye mønstre og TTP'er, og informér og berig analyserne. De samme forfattere foreslog Hunting Maturity Model, fra HMM0 (bygger kun på automatiske alarmer) til HMM4 (de fleste vellykkede jagter automatiseres til detektioner). Splunks PEAK-rammeværk (2023) formaliserer tre typer jagt: hypotesedrevne jagter, baseline- eller udforskende jagter, der karakteriserer normal adfærd for at finde afvigelser, og modelassisterede jagter, der bruger maskinlæring.

Hypoteser er specifikke og kan afprøves, og de udspringer som regel af threat intelligence eller af en ATT&CK-teknik, der er relevant for organisationen, fx: "en angriber med fodfæste dumper legitimationsoplysninger fra LSASS-hukommelsen (T1003.001) på servere med et omdøbt eller signeret administrationsværktøj". Trusselsjægeren identificerer derefter de nødvendige data, fx procesoprettelse med kommandolinjer, procesadgangshændelser (Sysmon-hændelses-id 10 for adgang til lsass.exe), EDR-telemetri, autentificeringslogs eller netværksmetadata fra Zeek, og kontrollerer, om disse data faktisk indsamles og opbevares længe nok. Hyppige analyseteknikker er stacking eller least frequency of occurrence-analyse (sjældne par af forælder- og børneprocesser, sjældne autoruns på tværs af maskinparken), tidsserieanalyse for at finde beaconing og pivotering fra et mistænkeligt artefakt til relaterede maskiner og identiteter.

En jagt har tre mulige udfald, og de er alle nyttige. Et bekræftet fund bliver en hændelse og overdrages til hændelseshåndteringen. Et negativt resultat, der er veldokumenteret, viser, at hypotesen er afprøvet mod definerede data over en defineret periode. Og næsten hver jagt giver biprodukter: nye eller forbedrede detektionsregler, fundne huller i logning eller opbevaring og en bedre baseline for normal adfærd. Modne teams følger disse resultater, frem for antallet af fundne hændelser, som målet for programmets værdi.

Trusselsjagt adskiller sig fra triage af alarmer, som er reaktiv og tager udgangspunkt i en alarm, og fra indikatorsøgninger, der gennemsøger logs efter kendte IoC'er; en IoC-søgning kan indgå i en jagt, men er ikke jagt i den hypotesedrevne forstand. Den adskiller sig også fra penetrationstest og red teaming, der simulerer angribere i stedet for at lede efter rigtige. Effektiviteten afhænger af data: jagt uden telemetri fra endpoints, tilstrækkelig opbevaring og synkroniserede tidsstempler er for det meste gætteri. Praksissen er vigtig, fordi dwell time, tiden fra indbrud til opdagelse, i branchens rapporter stadig typisk måles i dage til uger, og målrettede angribere bevidst holder sig under alarmtærsklerne.