Partire dall'ipotesi che un segnale possa essere sfuggito.
Il threat hunting è una ricerca proattiva guidata da ipotesi. Utilizza conoscenza dell'ambiente, threat intelligence e comportamenti degli attaccanti per cercare tracce che non hanno generato un alert o sono state classificate come innocue.
Fasi di una campagna
- definizione dell'ipotesi e degli asset interessati;
- verifica della telemetria disponibile e dei suoi limiti;
- costruzione di query e indicatori comportamentali;
- analisi di endpoint, identità, rete, cloud e applicazioni;
- approfondimento delle anomalie e raccolta delle evidenze;
- escalation degli eventi confermati;
- trasformazione dei risultati in nuove regole di detection.
Scenari ricorrenti
- uso anomalo di account privilegiati o di servizio;
- persistenza, esecuzione sospetta e strumenti dual use;
- movimento laterale e autenticazioni inconsuete;
- comunicazioni verso infrastrutture malevole;
- accessi cloud e download incompatibili con il profilo dell'utente;
- segnali successivi a una vulnerabilità critica o a un incidente.
Output
La campagna produce risultati, limiti di visibilità, evidenze e raccomandazioni. Anche quando non emergono compromissioni, il hunting misura la qualità della telemetria e genera miglioramenti concreti per SIEM, EDR/XDR e playbook.