شکار تهدید

بخشی از فعالیت‌های مخرب الزاماً به ایجاد هشدار منجر نمی‌شود. مهاجمان می‌توانند با استفاده از اعتبارنامه‌های سرقت‌شده، ابزارهای مدیریتی مجاز، پردازش‌های مورد اعتماد و روش‌های Living-off-the-Land فعالیت خود را در میان رفتارهای عادی پنهان کنند. شکار تهدید با عبور از رویکرد صرفاً مبتنی بر هشدار، به‌صورت هدفمند به دنبال شواهد حضور یا فعالیت مهاجم می‌گردد.

متخصصان RAV فرضیه‌های شکار را بر اساس اطلاعات تهدید، ریسک‌های سازمان، تکنیک‌های MITRE ATT&CK و ویژگی‌های محیط مورد بررسی طراحی می‌کنند. سپس داده‌های Endpoint، رویدادهای احراز هویت، فعالیت‌های شبکه، لاگ‌های امنیتی و سایر شواهد موجود با یکدیگر همبسته می‌شوند تا الگوهای مشکوک و نشانه‌های احتمالی نفوذ شناسایی شوند.

در این فرآیند، مواردی مانند سوءاستفاده از اعتبارنامه‌ها، افزایش سطح دسترسی، حرکت جانبی، ایجاد ماندگاری، ارتباطات فرمان و کنترل و سوءاستفاده از ابزارهای قانونی سیستم بررسی می‌شوند. یافته‌های شناسایی‌شده اعتبارسنجی و از نظر ریسک ارزیابی شده و شکاف‌های موجود در قابلیت‌های تشخیص نیز برای بهبود پایش و فرآیندهای دفاعی مستند می‌شوند.