Français: această pagină nu e încă tradusă. Textul de mai jos e în Română.
Detecția automată are o limită structurală: prinde doar ce i-ai spus să caute. Un atacator care a furat credențiale valide și se mișcă „ca un administrator” nu declanșează nicio anomalie, pentru că nu face nimic tehnic greșit. Threat hunting-ul pornește de la premisa incomodă — un intrus poate fi deja înăuntru, iar alertele au goluri — și îl caută activ, cu ipoteze pe care le testează în date. E diferența dintre a aștepta alarma și a merge tu prin casă cu lanterna.
Cum lucrăm
- Pe ipoteze — formulăm o presupunere concretă („dacă un adversar ar face X, aș vedea Y în telemetrie”) și o testăm; nu răscolim date la întâmplare
- Bucla de vânătoare — ipoteză → investigare în telemetrie → tipare noi descoperite → îmbogățirea detecțiilor automate, apoi din nou
- Pe tehnici MITRE ATT&CK — structurăm vânătoarea pe tacticile și tehnicile adversarilor probabili, prioritizate după cât de „scumpe” sunt pentru atacator: căutăm comportamente (mișcare laterală, abuz de LOLBin-uri, persistență), nu doar indicatori ușor de schimbat
Folosim telemetria pe care o ai — EDR/XDR, log-uri SIEM, flux de rețea, DNS, autentificare, cloud, date de proces (Sysmon) — și combinăm căutarea după indicatori cunoscuți cu vânătoarea după comportament, singura care prinde ce e cu adevărat nou.
Ce primești
- Raport de vânătoare: ipotezele testate, sursele de date, metodologia și constatările — inclusiv „nu s-a găsit nimic”, un rezultat valid care dă asigurare
- Orice incident confirmat, predat imediat echipei de răspuns
- Detecții noi (reguli Sigma / EDR / SIEM) create din constatări — rezultatul cel mai durabil al unei vânători bune
- Golurile de vizibilitate identificate și o hartă de acoperire ATT&CK