Historia Pojęcie polowania na zagrożenia jest w bezpieczeństwie teleinformatycznym stosunkowo nowe, a jego dokładna definicja wciąż się kształtuje. Do około 2016 roku poszukiwania opierały się głównie na wyszukiwaniu wskaźników naruszenia bezpieczeństwa, czyli niezmiennych cech złośliwego oprogramowania, takich jak sumy kontrolne, nazwy plików i ciągi znaków, albo na zbieraniu i analizie śladów pozostawionych na dyskach i w pamięci operacyjnej.
W 2016 roku ukazały się pierwsze opublikowane metodyki. Firma Sqrrl przedstawiła model złożony z czterech etapów – sformułowania hipotezy, jej weryfikacji przy użyciu narzędzi, ujawnienia nowych wzorców i technik napastnika oraz wzbogacenia na tej podstawie mechanizmów automatycznej analizy – wraz z modelem dojrzałości, pozwalającym organizacjom oceniać własne zdolności w tym zakresie. Firma Endgame opisała z kolei cykl obejmujący rozpoznanie wybranego fragmentu środowiska, jego zabezpieczenie, wykrycie napastnika i reakcję.