Полювання на кіберзагрозу () або полювання на загрозу () є активною діяльністю в галузі кіберзахисту. Це «процес активного та ітеративного пошуку у мережах з метою виявлення та виділення просунутих загроз, які недосяжні для наявних рішень з безпеки». Цей підхід відрізняється від традиційних заходів з управління загрозами, таких, як брандмауери, системи виявлення вторгнень (, IDS), ізолювання шкідливих програм () та системи SIEM, які, зазвичай, передбачають розслідування після попередження про можливу загрозу або коли інцидент вже стався.

Методологія Полювання на загрозу традиційно було ручним процесом, в ході якого аналітик з питань безпеки аналізує різноманітну інформацію про дані, використовуючи свої власні знання та знайомство з мережею, щоб сформулювати гіпотези про можливі загрози, такі, як від агентів загроз чи , але не обмежуючись цим. Для більшої ефективності пошук може бути частково автоматизований або автоматичний. У такому випадку аналітик використовує програмне забезпечення, яке використовує машинне навчання та аналіз поведінки користувачів (, UEBA), які інформують аналітика про потенційні ризики. Аналітик досліджує потенційні ризики, відстежуючи підозрілу поведінку в мережі. Таким чином, полювання є ітераційним процесом, що означає, що його потрібно постійно виконувати в циклі, починаючи з гіпотези. Гіпотеза може зосереджувати увагу на відомих експлойтах, потенційних підозрілих суб'єктах () або цінних активах та даних. Використовуючи безпекові дані, галузеві звіти та іншу аналітичну інформацію, формується гіпотеза, і команда полювання () намагається довести або спростувати свої здогадки.

У полюванні на кіберзагрози використовуються як автоматичні, так і ручні інструменти та методи.

Використовуються три типи гіпотез:

Засновані на аналітиці: «Машинне навчання та аналіз поведінки, що використовуються для розробки агрегованих оцінок ризику, також можуть слугувати гіпотезами для полювання». Засновані на ситуаційній обізнаності: «Аналіз основних кібер-активів (), критично важливих для виконання місії компаніїhttps://www.mitre.org/publications/systems-engineering-guide/enterprise-engineering/systems-engineering-for-mission-assurance/crown-jewels-analysis, оцінки ризиків підприємства, тенденції на рівні компанії або працівників». Засновані на розвідувальних даних: «Звіти розвідки небезпек, канали розвідки загроз, аналіз шкідливих програм, сканування вразливостей».

Аналітик досліджує свою гіпотезу, опрацьовуючи величезну кількість даних про мережу. Результати зберігаються таким чином, що вони можуть бути використані для покращення автоматичної частини системи виявлення загроз та слугують основою для майбутніх гіпотез.

Модель виявлення рівня зрілості (), яка виражає показники загрози, може бути виявлена ​​на різних семантичних рівнях. Високі семантичні показники, такі, як цілі та стратегії, або тактики, методи та процедури, є більш цінними для виявлення, ніж низькі семантичні показники, такі, як мережеві артефакти () та атомізовані індикатори, такі, як IP-адреси. Інструменти SIEM зазвичай надають лише індикатори на відносно низьких семантичних рівнях. Отже, існує необхідність розробляти інструменти SIEM, які можуть забезпечити показники загрози на більш високих семантичних рівнях.

Постачальники ПЗ для полювання на кіберзагрози Список значних постачальників програмного забезпечення та послуг: IBM SentinelOne Elastic R9B 1E Panda Adaptive Defense Alert Logic Bulletproof Carbon Black SISA EOT Cisco Threat Hunting Corelight Countercept (by MWR InfoSecurity) CounterCraft CrowdStrike Cyberbit Cybereason Cyberoo Cynet CSIQ Darktrace Endgame, Inc. Expel ExtraHop Networks FireEye Haystacks Technology Infocyte HUNT (by Infocyte) Mantix4 Microsoft ONE eSecurity Paladion Networks RANK Software Inc RSA NetWitness® Platform S21Sec Secdo Secureworks Targeted Threat Hunting Sqrrl TalaTek Cyber Threat Hunting Texial Cyber Security TIP (Threat Intelligence Platform) Vectra Networks Inc. Verint

проводив дослідження ефективності полювання на загрози для відстеження та зриву кіберзагроз якомога раніше. Згідно з опитуванням, опублікованим у 2017 році, «60% тих, хто полює за загрозами, повідомили про помітні покращення своїх програм по інформаційній безпеці, виходячи з докладених ними до полювання зусиль, а 91 % — про покращення швидкості та точності».

Індикатори Є два типи індикаторів:

1) Індикатор компрометації (ІК) свідчить, що дія вже відбулась, і ви перебуваєте в реактивному режимі. Цей тип ІК формується зсередини, спираючись на власні дані з логів транзакцій або даних SIEM. Приклади ІК включають незвичайний мережевий трафік, незвичну привілейовану діяльність облікового запису користувача, аномалії входу в систему, збільшення обсягу читання бази даних, підозрілі зміни у системних файлах або реєстрі, незвичні запити DNS та вебтрафік, не властивий користувачам. Ці типи незвичайних дій дозволяють командам управління безпеки виявляти елементи, контрольовані зловмисниками, на ранніх етапах кібератаки.

2) Індикатор занепокоєння. За допомогою інтелектуального аналізу даних з загальнодоступних джерел () отримати інформацію для виявлення кібератак та полювання на загрози.

Тактики, техніки та процедури Інститут SANS вважає сталими такі моделі полювання за загрозами:

Початкова () — на рівні 0, організація процесу спирається, перш за все, на автоматичну звітність і робить малий або непостійний збір даних. Мінімальна () — на етапі зростання до 1 рівня організація процесу містить пошуки індикаторів загроз, має середній або високий рівень рутинного збору даних. Процедурна () — на 2-му рівні  організація слідкує за процедурами аналізу, створеними іншими, та має високий або дуже високий рівень рутинного збору даних.  Інноваційна () — на 3-му рівні організація створює нові процедури аналізу даних. Має високий або дуже високий рівень рутинного збору даних.  Провідна () — на зрілому, 5 рівні автоматизує більшість успішних процедур аналізу даних. Має високий або дуже високий рівень рутинного збору даних.

Час затримки відповіді Кібератакери () працюють непоміченими в середньому 99 днів, але отримують облікові дані адміністратора менш ніж за три дні, згідно з Mandiant M-Trends Report. Дослідження також показують, що 53% випадків виявлення відбуваються  лише після повідомлення від зовнішньої сторони.

Середній час до виявлення За даними інституту Ponemon, середня компанія витрачає на виявлення розширеної загрози 170 днів, 39 днів для зменшення загрози та 43 дні для відновлення.

Див. також Проактивний захист Інформаційна загроза Загрози інформаційної безпеки Хакерська атака Чорний капелюх Білий капелюх Комп'ютерна безпека

Примітки