Threat hunting — xavfsizlik vositalari hali aniq alert bermagan bo‘lsa ham, tashkilot muhitida yashirin tahdid yoki komprometatsiya izlarini gipoteza asosida faol qidirish jarayonidir. Hunt avtomatik detection o‘rnini bosmaydi; u mavjud telemetrydan yangi bog‘lanish topadi, nazoratdagi bo‘shliqni aniqlaydi va natijani keyingi detection qoidalariga aylantiradi.
Gipoteza tuzish
Hunt “muhitda zararli narsa bormi” kabi cheksiz savoldan boshlanmaydi. Threat intelligence, oldingi incident, yangi vulnerability yoki ATT&CK usuli asosida tekshiriladigan taxmin tuziladi. Masalan, “hujumchi service account orqali remote management vositasini noodatiy hostlarda ishlatishi mumkin” degan gipoteza entity, data source va vaqt oynasini belgilaydi.
Gipoteza qaysi natija uni qo‘llashi yoki rad etishini ko‘rsatadi. Tasdiqlanmagan taxmin fakt sifatida casega yozilmaydi. Hunt davomida yangi dalil chiqsa scope boshqariladigan tarzda kengaytiriladi.
Ma’lumot tayyorligi
Endpoint process tree, identity login, DNS, proxy, cloud audit va asset inventari asosiy manbalar bo‘lishi mumkin. Avval retention, field sifati, vaqt sinxronligi va coverage tekshiriladi. Log kelmayotgan host “toza” deb hisoblanmaydi; visibility gap alohida topilma hisoblanadi.
Entity resolution user, host, IP va cloud workloadni bog‘laydi. NAT, shared account va qisqa umrli containerlar noto‘g‘ri korrelyatsiya keltirishi mumkin. Query natijasi raw eventga qayta tekshiriladi.
Qidiruv jarayoni
Analyst dastlab keng baseline query bilan odatiy taqsimotni ko‘radi, keyin noyob parent-child process, yangi destination yoki privilege ketma-ketligiga pivot qiladi. Bir indicator bo‘yicha exact matchdan ko‘ra xatti-harakat zanjiri yangi variantlarni topishga yordam beradi.
Notebook yoki hunt record ishlatilgan query, vaqt, dataset va oraliq qarorni saqlaydi. Query o‘zgarsa versiyasi qayd etiladi. Bu boshqa analystning natijani takrorlashi va keyingi oyda bir xil usulni solishtirishiga imkon beradi.
Natijalar
Tasdiqlangan zararli faoliyat incident responsega eskalatsiya qilinadi. Benign, ammo noodatiy faoliyat baseline va allowlistni aniqroq qiladi. Telemetry yetishmasligi collection actioniga, takrorlanadigan pattern esa detection rule va test fixturega aylanadi.
Hunt hech narsa topmasa ham “tahdid yo‘q” degan isbot emas. Hisobot qaysi scope, vaqt, data va usul tekshirilganini yozadi. Confidence va cheklovlar ochiq ko‘rsatiladi.
O‘lchash va boshqaruv
Topilgan incident soni yagona muvaffaqiyat mezoni emas. Yangi detection coverage, qisqargan query vaqti, data quality tuzatishi va analyst bilimining oshishi ham qiymat beradi. Faqat ko‘p “finding” talab qilish dalilsiz shubhali activity ishlab chiqarishga rag‘batlantirishi mumkin.
Hunt production tizimiga zararli query yukini bermasligi uchun resource limit va ajratilgan analytics storage ishlatiladi. Shaxsiy ma’lumot, xodim faoliyati va sensitive query role-based access hamda audit bilan himoyalanadi. Hunt yakunida vaqtinchalik exportlar retention bo‘yicha tozalanadi.
Hunt dasturi
Tasodifiy individual qidiruvlar o‘rniga hunt backlog tahdid ustuvorligi, mavjud visibility va biznes aktivlari bo‘yicha yuritiladi. Har mavzu owner, taxminiy vaqt va zarur data manbasiga ega. Takroriy huntlar ma’lum davrda qayta bajarilib, yangi variant yoki yangi assetni qamraydi.
Peer review query mantiqi va xulosadagi sakrashlarni tekshiradi. Analyst topilgan noyob hodisani darhol zararli deb belgilamasdan owner va change record bilan tasdiqlaydi. Hunt kutubxonasi yakuniy query bilan birga noto‘g‘ri yo‘llar va data cheklovlarini ham saqlaydi; bu boshqa jamoaning bir xil xatoni takrorlashini kamaytiradi.
Bog‘liq tushunchalar
Threat intelligence, EDR, SIEM, Detection engineering, Incident response, ATT&CK, Security analytics