Что значит threat hunting?

Где и как употребляется

Этим занимаются опытные аналитики, часто третьей линии. Поиск начинается с гипотезы, например что атакующий использует средства удалённого администрирования; затем анализируют данные SIEM и EDR. Хороший результат — новые правила обнаружения. Говорят run a hunt — провести поиск угроз.

Примеры предложений

1. Our weekly threat hunting session found an old admin tool running on a file server.

   Во время еженедельного поиска угроз мы обнаружили старую административную программу на файловом сервере.

   Активный анализ выявил программу, которую автоматические оповещения могли пропустить.

2. After the advisory, we started threat hunting for the new IOCs across all endpoints.

   После предупреждения мы начали искать новые индикаторы компрометации на всех конечных устройствах.

   Проверку всех устройств инициировали из-за нового предупреждения об угрозе.

Распространённые словосочетания

• threat hunting team
• run a hunt
• hypothesis-driven hunting
• hunting query