Threat hunting

Threat hunting, nebo-li aktivní vyhledávání kybernetických hrozeb, je hloubková analýza IT prostředí, při které bezpečnostní profesionálové hledají známky kompromitace nebo přítomnosti útočníka. Threat hunting pracuje s předpokladem, že útočník má přístup do sítě, čeká na vhodný okamžik pro plnohodnotný útok a kompromitaci dat, přičemž jeho aktivita nevyvolala žádné upozornění (alert) v nasazených monitorovacích a bezpečnostních nástrojích, a zůstala tak nedetekována.

Cílem threat huntingu je odhalit útočníky co nejdříve, minimalizovat jejich čas v síti a zabránit dalším škodám.

Frekvence závisí na velikosti organizace, úrovni rizika i regulatorních požadavcích. Jako výchozí kadenci doporučujeme kvartální iterace. Threat hunting vychází z předpokladu, že k průniku už mohlo dojít a SOC tým jej nezachytil, takže interval mezi jednotlivými iteracemi přímo určuje, jak dlouho může útočník zůstat v prostředí nepozorován.

Vedle pravidelných intervalů lze spustit i tzv. ad-hoc iteraci na základě konkrétního podnětu: nové threat intelligence relevantní pro váš sektor, kritické zranitelnosti ve vystaveném systému (kde je třeba zpětně ověřit, zda nebyla zneužita) nebo po incidentu, který je uzavřen jako neprůkazný.

Předpokladem účinného huntingu je dostupná telemetrie a odpovídající retence logů. Pokud tuto úroveň viditelnosti zatím nemáte, doporučujeme začít jejím nastavením, jinak threat hunting nemá z čeho vycházet.

Ve většině případů ne. Threat hunting pracuje především s již dostupnými logy, telemetrií a bezpečnostními daty. Analýza proto obvykle nezasahuje do provozu produkčních systémů ani neomezuje jejich výkon.

Pokud je potřeba provést doplňující ověření nebo detailnější analýzu konkrétního zařízení, probíhá vždy po předchozí domluvě se zákazníkem.

Pokud odhalíme známky probíhajícího nebo dřívějšího útoku, okamžitě vás informujeme a společně navrhneme další postup. Součástí našich výstupů je popis zjištěných aktivit, jejich dopadu i doporučení, jak hrozbu odstranit a zabránit jejímu opakování.

V případě potřeby můžeme navázat podporou při reakci na incident nebo detailnější forenzní analýzou.

Threat hunting se zaměřuje především na útoky, které zůstávají delší dobu skryté a nemusí vyvolat žádné bezpečnostní upozornění. Patří sem například kompromitované uživatelské účty, laterální pohyb útočníka v síti, zneužití administrátorských oprávnění, komunikace se škodlivou infrastrukturou, perzistence malwaru nebo příprava ransomware útoku.

Odhalit lze také neobvyklé chování uživatelů, podezřelé PowerShell skripty, zneužití legitimních administrátorských nástrojů (Living off the Land) nebo známky úniku citlivých dat.

Tyto služby se vzájemně doplňují, ale každá řeší jinou část bezpečnostního provozu.

SIEM shromažďuje a vyhodnocuje bezpečnostní události podle předem definovaných pravidel.

SOC bezpečnostní události průběžně monitoruje, vyhodnocuje a reaguje na ně.

MDR kombinuje technologii a expertní dohled a poskytuje organizaci službu detekce a reakce na incidenty.

Threat hunting je o aktivním hledání známek kompromitace, které ale nespustily žádný alert v bezpečnostních systémech. Zaměřuje se na skryté útoky, nové techniky útočníků nebo anomálie, které automatická detekce nemusí zachytit.

Ano. Threat hunting sice není samostatným požadavkem těchto norem a regulací, ale významně podporuje jejich naplňování.

Pomáhá ověřovat účinnost bezpečnostních opatření, zvyšuje schopnost organizace včas odhalit bezpečnostní incidenty a přispívá k řízení kybernetických rizik. Výsledky threat huntingu mohou sloužit jako důkaz průběžného monitorování bezpečnosti i aktivního vyhledávání hrozeb, což je v souladu s principy ISO 27001, DORA, ZoKB nebo SOC 2.

Čím více kvalitních dat je k dispozici, tím přesnější mohou být výsledky. Nejčastěji pracujeme se záznamy ze SIEM nebo log managementu, telemetrií z EDR řešení, síťovým provozem, nebo dalšími bezpečnostními nástroji. Jedním z nejzásadnějších zdrojů pro úspěšný threat hunting je také threat intelligence, ať už komerční, nebo z otevřených zdrojů.

Před zahájením společně určíme rozsah analýzy i zdroje dat, které budou do threat huntingu zahrnuty.

Výstupem je přehledná zpráva shrnující průběh analýzy, použité metody i všechna zjištění. Pokud byly nalezeny známky kompromitace nebo podezřelé aktivity, report obsahuje jejich popis, vyhodnocení rizik a doporučené kroky k nápravě.

Pokud nebyly nalezeny známky kompromitace, obsahuje zpráva popis zkoumaných událostí a rozbor, který vedl k závěru, že se nejedná o škodlivé aktivity.

Součástí je také doporučení ke zlepšení detekčních pravidel, monitoringu nebo konfigurace bezpečnostních nástrojů, aby bylo možné podobné hrozby odhalit rychleji i v budoucnu.