Hunt Maturity Model

Définition

Le Hunt Maturity Model (HMM) est un framework développé par David Bianco (auteur de la Pyramid of Pain) pour évaluer et améliorer la maturité d'une organisation dans sa pratique du threat hunting. Il définit cinq niveaux de maturité (HML 0 à HML 4) permettant aux équipes de sécurité de s'auto-évaluer, de définir des objectifs d'amélioration, et de justifier les investissements nécessaires au développement des capacités de chasse aux menaces. HML 0 (Initial) correspond à l'organisation qui ne pratique pas de threat hunting proactif. La sécurité est réactive : on répond aux alertes générées par les outils automatisés, mais il n'y a aucune chasse proactive pour les menaces non détectées. Les logs peuvent ne pas être centralisés, les outils de detection peuvent être limités. HML 1 (Minimal) introduit des procédures minimales de hunting basées sur les Indicators of Compromise (IOC) connus. Les analystes cherchent des IOCs spécifiques (hashs, IPs, domaines) publiés dans des flux de threat intelligence, mais ne construisent pas d'hypothèses complexes. Les processus sont peu documentés et dépendent des connaissances individuelles. HML 2 (Procedural) représente une organisation qui exécute des procédures de hunting documentées et reproductibles, basées sur des indicateurs d'attaque (IOA) et des patterns comportementaux. Les hunts sont planifiés, exécutés selon des procédures écrites, et documentés. Le partage de connaissances commence à s'institutionnaliser. HML 3 (Innovative) caractérise les équipes qui créent de nouvelles techniques de hunting basées sur des analyses de données avancées, du machine learning, ou des insights propriétaires. Elles découvrent des patterns non documentés et contribuent à la communauté (publications, outils open source). Le Threat Hunting est intégré dans les processus opérationnels. HML 4 (Leading) est le niveau le plus élevé : les organisations automatisent les hunts validés, utilisent l'IA pour l'hypothèse generation, et conduisent des recherches originales publiant de nouveaux modèles de menaces.