Threat Hunting
generalDéfinition
Recherche proactive de menaces et d'intrusions au sein des systèmes d'information, au-delà des alertes automatiques du SIEM/EDR, en formulant des hypothèses basées sur la threat intelligence et les TTPs des attaquants.
Méthodologie
- Hypothèse : basée sur la threat intelligence, les TTPs MITRE ATT&CK ou les anomalies observées
- Investigation : collecte et analyse des données (logs, endpoints, réseau)
- Résolution : confirmation ou infirmation, documentation des findings
- Automatisation : transformer les hunts réussis en détections permanentes
Types de hunting
- Intelligence-driven : basé sur les IOC et rapports de threat intelligence
- Analytics-driven : basé sur les anomalies statistiques (ML, baseline)
- Situational awareness : basé sur la connaissance du réseau et des assets
Outils
ELK/Splunk pour les requêtes, YARA pour le scanning, Volatility pour la mémoire, Velociraptor pour la collecte endpoint.
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis