Metodik för hotjakt och hypotesgenerering

Threat hunting är en proaktiv, människostyrd process där man söker igenom nätverk och slutpunkter efter angripare som har kringgått befintliga säkerhetskontroller. Till skillnad från reaktiv säkerhet, där man väntar på larm, letar threat hunters aktivt efter tecken på intrång med hjälp av underrättelsestyrda hypoteser. Threat hunting utgår från att vissa angripare redan finns inne i miljön men ännu inte har upptäckts av automatiserade verktyg.

Traditionell säkerhetsdrift är i stor utsträckning reaktiv — analytiker reagerar på larm som genereras av SIEM-system, EDR-verktyg och brandväggar. Threat hunting är i grunden proaktivt: hunters letar efter hot som kanske inte genererar larm eftersom angripare använder legitima verktyg eller har undgått detekteringsregler. Båda metoderna behövs; hunting fyller luckan när det gäller avancerade hot som smälter in i normal aktivitet.

Varje hunt börjar med en hypotes — ett testbart påstående om angriparbeteende i miljön. En bra hypotes är specifik, underrättelsestyrd och falsifierbar. Exempel: ”En angripare med domänuppgifter kan använda PowerShell-fjärrkörning för att förflytta sig lateralt mellan arbetsstationer i säljnätet.” Hypotesen styr vilka data som ska samlas in, vilka frågor som ska köras och vilka indikatorer man ska leta efter.

MITRE ATT&CK-ramverket är den mest använda källan till hypoteser för threat hunting. Det katalogiserar taktiker, tekniker och procedurer (TTP:er) som används av verkliga hotaktörer och organiserar dem efter angreppsfas (Initial Access, Execution, Persistence, Lateral Movement med flera). Hunters använder ATT&CK för att identifiera vilka tekniker som är mest sannolika utifrån det aktuella hotlandskapet och den exponerade angreppsytan i den egna miljön.

Threat intelligence-flöden ger det externa sammanhang som utlöser relevanta huntinghypoteser. En underrättelserapport om en ransomwaregrupp som riktar sig mot er bransch, eller ett IoC-flöde med nyligen identifierade C2-domäner, kan direkt ge upphov till en hunt. Hunters kontrollerar om dessa IoC:er förekommer i loggarna, om de beskrivna teknikerna har använts i miljön och om några system har kommunicerat med rapporterad skadlig infrastruktur.

En annan källa till huntinghypoteser är avvikelser från miljöns baslinje. Genom att förstå vad som är normalt — vilka konton som loggar in på natten, vilka servrar som gör DNS-förfrågningar och vilka processer som vanligtvis körs på arbetsstationer — identifierar hunters avvikelser som är värda att undersöka. Baseline hunting kräver att data först samlas in och att baslinjer etableras, men upptäcker avancerade angripare som undviker kända skadliga signaturer genom att hålla sig nära normalt beteende.

Effektiv threat hunting följer en kontinuerlig loop. Planera: formulera en hypotes. Jaga: ställ frågor mot loggar och telemetri för att testa hypotesen. Analysera: undersök resultaten och avgör om skadlig aktivitet förekommer. Agera: eskalera bekräftade hot till IR-teamet. Förbättra: omvandla lyckade hunts till automatiserade detekteringsregler så att samma teknik utlöser larm i framtiden — vilket förbättrar SOC utan att manuella hunts behöver genomföras varje gång.

Effektiv hunting kräver omfattande telemetri. Viktiga datakällor omfattar EDR-telemetri (processkapande, filskrivningar och nätverksanslutningar från varje slutpunkt), autentiseringsloggar (Active Directory, SAML, VPN), DNS-frågeloggar (för att upptäcka DGA-domäner och tunnling), data om nätverksflöden (NetFlow, zeek-loggar) samt molnloggar för granskning (AWS CloudTrail, Azure Activity Log). Ju mer telemetri, desto bättre insyn vid hunting.

Threat hunters använder flera verktygskategorier. SIEM-plattformar (Splunk, Microsoft Sentinel) tillhandahåller loggaggregering och gränssnitt för frågor. EDR-plattformar (CrowdStrike, SentinelOne) erbjuder slutpunktstelemetri och direkta frågor. Specialiserade huntingverktyg som Velociraptor möjliggör live-respons och insamling av artefakter från fjärrslutpunkter i stor skala. Jupyter Notebooks används ofta för ad hoc-dataanalys under komplexa hunts.

Varje hunt — oavsett om den lyckas eller inte — bör dokumenteras. En huntingrapport innehåller hypotesen, de datakällor som genomsökts, använda frågor, resultat och utfall. Negativa resultat (att hypotesen inte bekräftades) är värdefulla eftersom de visar täckningen och hjälper till att förfina framtida hypoteser. Positiva resultat leder till incidentärenden och helst nya detekteringsregler. Dokumentation bygger upp organisationens kunskap och visar ledningen värdet av huntingprogrammet.

Ett moget threat hunting-program utvecklas genom flera förmågenivåer. Nivå 0: fullständigt beroende av automatiserade larm. Nivå 1: grundläggande manuella hunts med ad hoc-frågor. Nivå 2: strukturerade hypoteser från ATT&CK och underrättelser. Nivå 3: hunts genererar automatiserade detekteringar, hunter-teamen specialiserar sig och hotmodeller uppdateras kontinuerligt. Organisationer bör mäta minskningen av den genomsnittliga uppehållstiden som ett viktigt mått på huntingprogrammets effektivitet.

I den här lektionen har ni lärt er att threat hunting är proaktiv utredning som utgår från att vissa angripare redan har kringgått detekteringen, att hypoteser genereras från MITRE ATT&CK, threat intelligence och avvikelser från baslinjen samt att lyckade hunts leder till automatiserade detekteringsregler som kontinuerligt förbättrar SOC:s detekteringsförmåga. Härnäst undersöker vi SIEM-arkitektur — plattformen som tillhandahåller den loggaggregering och korrelation som krävs för att stödja hunts.