Chasse aux menaces

Définition

La chasse aux menaces, ou threat hunting, est une démarche proactive et itérative consistant à rechercher manuellement, ou avec une assistance analytique poussée, des traces d'activités malveillantes ayant échappé aux dispositifs de détection automatisés d'une organisation. Contrairement à l'approche réactive du SOC, qui traite les alertes générées par les outils, le chasseur de menaces part d'une hypothèse de chasse formulée à partir de renseignements sur la menace, de tactiques, techniques et procédures documentées dans MITRE ATT&CK, ou d'observations d'anomalies comportementales, puis explore les données disponibles, logs, télémétrie EDR, trafic réseau, pour valider ou infirmer cette hypothèse. La chasse aux menaces vise particulièrement à débusquer des attaquants ayant établi une persistance discrète, échappant aux signatures connues, notamment dans des scénarios de menaces persistantes avancées où l'adversaire évite délibérément de déclencher les alertes automatisées. Cette pratique nécessite des compétences analytiques approfondies, une bonne connaissance de l'infrastructure surveillée et un accès à des données historiques suffisamment riches. Les résultats d'une campagne de chasse aux menaces alimentent directement l'ingénierie de détection, en transformant les découvertes en nouvelles règles de corrélation ou cas d'usage automatisés, créant ainsi une boucle d'amélioration continue de la posture défensive. La maturité d'un programme de threat hunting est souvent évaluée selon des modèles comme le Hunting Maturity Model développé par Sqrrl.