Hypothèse de chasse

Définition

Une hypothèse de chasse est une proposition structurée et testable formulée par un chasseur de menaces avant d'entamer une campagne de threat hunting, décrivant un comportement adverse spécifique susceptible d'être présent dans l'environnement surveillé sans avoir été détecté par les outils automatisés. Elle constitue le point de départ méthodologique de toute investigation proactive et se construit généralement à partir de trois sources principales : le renseignement sur la menace, incluant des rapports décrivant les tactiques, techniques et procédures de groupes d'attaquants ciblant un secteur donné ; l'analyse de situation, fondée sur la connaissance de l'infrastructure, de ses vulnérabilités et de ses zones d'ombre en matière de visibilité ; et l'analytique de données, s'appuyant sur des anomalies statistiques ou comportementales détectées dans les journaux disponibles. Une hypothèse de chasse bien formulée est spécifique, par exemple centrée sur une technique précise référencée dans MITRE ATT&CK comme l'abus de comptes de service pour un mouvement latéral, plutôt que générique. Le chasseur définit ensuite les sources de données nécessaires pour valider ou réfuter l'hypothèse, mène l'investigation, puis documente les résultats, qu'ils confirment une compromission réelle ou permettent d'éliminer un scénario. Les hypothèses de chasse invalidées ne sont pas des échecs : elles améliorent la connaissance de l'environnement et alimentent, tout comme les hypothèses confirmées, l'amélioration continue de l'ingénierie de détection.