Threat Hunting (Chasse aux Menaces)

Description

Le Threat Hunting est l'approche proactive de recherche de menaces dans les systèmes d'information, sans attendre les alertes automatiques. Les hunters formulent des hypothèses basées sur des TTPs connus (MITRE ATT&CK), puis recherchent des preuves de leur présence dans les données de sécurité collectées.

Usage forensique

Méthodologie : hypothèse basée sur un TTP → requêtes SIEM/EDR ciblées → analyse des résultats → escalade si anomalie confirmée. Outils : Velociraptor (VQL hunting), osquery hunts, YARA scanning distribué, Kibana EQL hunting.

Points clés

• Hypothesis-driven hunting vs IoC-based hunting : les TTPs sont plus durables que les IoCs atomiques
• MITRE ATT&CK comme guide de priorisation des techniques les plus utilisées par les acteurs ciblés
• Outputs : nouvelles règles de détection SIEM, amélioration de la couverture de logging, IoCs découverts