SOC / NOC · Usługa specjalistyczna
Advanced Threat Hunting — ukierunkowane poszukiwanie zagrożeń
Nie każdy scenariusz nadużycia można rozstrzygnąć na podstawie bieżącego alertu. Dedykowana kampania huntingowa pozwala sprawdzić wybraną hipotezę i ustalić, jakie ślady potwierdzają ją lub ograniczają ocenę.
Zakres usługi
Advanced Threat Hunting
Pracujemy na konkretnych pytaniach, takich jak nadużycie kont administracyjnych, utrzymywanie nieautoryzowanego dostępu czy nietypowy transfer danych. Łączymy dane historyczne i bieżące z wiedzą o środowisku. Wyniki obejmują ustalenia, poziom ich potwierdzenia oraz zmiany potrzebne w telemetrii, detekcji i zabezpieczeniach.
Hipotezy badawcze
Wybieramy scenariusze odpowiadające ryzykom organizacji oraz opisujemy warunki ich potwierdzenia i zakres poszukiwań.
Ocena dostępnych danych
Sprawdzamy źródła, okres analizy i jakość zapisów, zanim określimy możliwość wyciągnięcia wiarygodnych wniosków.
Analiza śladów
Badamy powiązania kont, urządzeń, procesów i komunikacji w granicach uzgodnionych uprawnień i dostępnej telemetrii.
Usprawnienie ochrony
Przekładamy wyniki na propozycje nowych detekcji, zmian konfiguracji oraz uzupełnienia danych potrzebnych przy kolejnych analizach.
Rezultaty prac
Co otrzymuje Twój zespół?
- Plan kampanii z hipotezami i zakresem źródeł.
- Raport ustaleń, dowodów i ograniczeń analizy.
- Rekomendacje zmian detekcji i zabezpieczeń.
- Lista działań do realizacji przez SOC, S&VM lub klienta.
Warunki realizacji
Co ustalamy przed startem?
- Wskazanie ryzyk i systemów, które kampania ma zweryfikować.
- Dostęp do uzgodnionej telemetrii o odpowiedniej retencji.
- Kontakt do opiekunów kont, infrastruktury i badanych aplikacji.
Sposób pracy
Od rozpoznania potrzeby do weryfikacji wyniku.
Uzgodnienie pytania badawczego
Definiujemy hipotezę i sprawdzamy, czy dostępne dane pozwalają ją rzetelnie zweryfikować.
Przeprowadzenie kampanii
Analitycy badają ślady, konsultują anomalie z opiekunami systemów i dokumentują kolejne ustalenia.
Omówienie i działania
Przedstawiamy wnioski, uruchamiamy obsługę potwierdzonego incydentu i uzgadniamy usprawnienia ochrony.
Czytelna odpowiedzialność
Co jest już w podstawie, a co rozszerzamy?
Poszukiwanie powiązanych śladów podczas incydentu należy do podstawowego SOC. Enterprise obejmuje również uzgodniony podstawowy cykl huntingowy. Dodatkiem są szersze kampanie, dodatkowe hipotezy, nowe źródła lub pogłębione analizy ponad ten zakres.
Przed podjęciem decyzji
Pytania o advanced threat hunting
Czym hunting różni się od analizy alertu?
Punktem wyjścia kampanii jest hipoteza wymagająca sprawdzenia, a nie wyłącznie zgłoszenie z systemu ochronnego. Analiza powiązanych śladów bieżącego incydentu pozostaje elementem standardowego SOC.
Czy brak wykrytych śladów oznacza brak ataku?
Wniosek odnosi się do badanego scenariusza, okresu i dostępnych danych. Wyraźnie opisujemy luki, które nie pozwalają potwierdzić lub wykluczyć określonych działań.
Co dzieje się po wykryciu aktywnego zagrożenia?
Ustalenie trafia do właściwego procesu obsługi incydentu. SOC realizuje reakcję w ramach uzgodnionych uprawnień, a kampania dostarcza dodatkowego kontekstu.
Powiązane kompetencje
Połącz działania, które się uzupełniają.
Kolejny krok
Ustalmy zakres, który ma sens dla Twojej organizacji.
Porozmawiajmy o środowisku, priorytetach i odpowiedzialności zespołów. Na tej podstawie określimy zakres prac, wymagane dostępy oraz warunki obsługi.