Threat Hunting (Chasse aux Menaces)

Définition

Le Threat Hunting, ou chasse aux menaces, est une approche proactive de détection qui consiste à rechercher activement des indicateurs de compromission et des activités malveillantes au sein des systèmes d'information, sans attendre le déclenchement d'une alerte automatisée par le SIEM ou l'EDR, un postulat fondé sur le constat qu'un attaquant sophistiqué et suffisamment discret peut opérer durablement sous les seuils de détection configurés par les outils automatisés existants. Un chasseur de menaces formule une hypothèse d'investigation précise, généralement inspirée de la threat intelligence disponible sur les tactiques et techniques récemment observées chez des groupes d'attaquants ciblant des organisations comparables, puis interroge activement les données de télémétrie disponibles, journaux Sysmon, historique EDR, flux réseau, pour vérifier ou infirmer cette hypothèse par une exploration méthodique plutôt que par une simple règle de corrélation automatique préexistante. Cette démarche se distingue de la réponse à incident classique, réactive par nature, en s'inscrivant dans une logique continue et exploratoire, souvent structurée selon un calendrier régulier de campagnes de chasse thématiques alignées sur les techniques de la matrice MITRE ATT&CK jugées les plus pertinentes pour le contexte de menace de l'organisation. Chaque campagne fructueuse débouche idéalement sur la création d'une nouvelle règle de détection automatisée, enrichissant durablement les capacités défensives disponibles pour l'ensemble du SOC.