ما الذي يجعل Threat Hunting مفيدًا؟
يبدأ Threat Hunting الاستباقي بسؤال أمني واضح يمكن اختباره على الأدلة المتاحة. ينبغي أن تحدد الفرضية السلوك المشتبه به والكيانات أو النطاق ذي الصلة والأدلة المتوقعة والفترة الزمنية والنتيجة التي تبرر فتح تحقيق أعمق.
ابدأ البحث بسؤال محدد وفترة زمنية ونطاق بحث، ليتمكن محلل آخر من تكراره ومراجعته.
اتبع دورة Threat Hunting
-
01
التأهيل
اربط الفرضية بنمط تنبيهات أو سياق تهديد أو تغيّر سلوكي أو انكشاف أو سؤال عن التغطية.
-
02
خطّط
حدد النطاق والوقت والمصادر والحقول المتوقعة والاستثناءات ومعايير الاكتمال.
-
03
بحث
ابحث في الأحداث المعنية ضمن الفترة المختارة وسجل البيانات التي شملها البحث.
-
04
التحقق
راجع التطابقات في سياق مصادرها، وقارن تكرارها، وافصل النتائج المدعومة عن الأمور غير المعروفة.
-
05
سجّل الاستنتاج
سجّل النتيجة والأدلة والفجوات والتحقيق المقترح وأي مقترح لتحسين تغطية الكشف.
فهم النتيجة النهائية
قد يكشف البحث نشاطًا تؤيده الأدلة، أو لا يجد نشاطًا مطابقًا ضمن الأدلة المفحوصة، أو ينتهي دون حسم، أو يُظهر فجوة في التغطية. عدم وجود تطابقات لا يثبت غياب النشاط عندما تكون المصادر المطلوبة ناقصة أو قديمة أو خارج مدة الاحتفاظ أو غير مدعومة.
لا ينشئ Threat Hunting الاستباقي تنبيهات بصورة مستقلة، ولا يثبت بمفرده وجود فجوة في الكشف، ولا ينفذ المعالجة. تظل مراجعة المحلل ومسار الحوكمة المعتمد مطلوبين.