Threat Hunting

Définition

Le threat hunting (chasse aux menaces) est une pratique proactive de cybersécurité qui consiste à rechercher activement des indicateurs de compromission (IOC) et des comportements anormaux dans les systèmes d'information, sans attendre qu'une alerte automatique soit déclenchée. Il s'oppose à la détection réactive traditionnelle en présupposant qu'une compromission est déjà en cours ou s'est produite. La philosophie du threat hunting est encapsulée dans le concept 'assume breach' : plutôt que de se concentrer uniquement à prévenir les intrusions, le threat hunter suppose qu'un attaquant est déjà présent et cherche des preuves de cette présence. Cette approche est motivée par la réalité des persistances longue durée des APT (dwell time moyen de 200+ jours avant détection selon les rapports Mandiant). Les méthodologies de threat hunting incluent : la hunt basée sur des hypothèses (formuler une hypothèse sur comment un attaquant ciblant l'organisation pourrait agir, puis chercher des preuves de ces TTPs dans les logs), la hunt basée sur les IOCs (rechercher des indicateurs connus — IPs, hashes, domaines — issus de la threat intelligence dans les logs et la télémétrie EDR), et la hunt basée sur les anomalies (utiliser des baselines comportementales pour identifier des déviations statistiquement anormales). Les outils du threat hunter incluent : les plateformes SIEM (Splunk, Elastic, Microsoft Sentinel) pour les requêtes sur les logs, les EDR (CrowdStrike, SentinelOne) pour la télémétrie endpoint, les threat intelligence feeds (MISP, OpenCTI, commercial TI), et des frameworks comme MITRE ATT&CK pour structurer les hypothèses de hunt. Les détections issues du threat hunting sont formalisées en règles de détection (Sigma rules, SPL queries, KQL queries) qui sont ajoutées au SIEM pour une détection continue automatisée.