Défense
Threat hunting
Aussi appeléChasse aux menacesChasse proactive aux menacesCyber threat hunting
En résumé
Une recherche active, menée par un analyste à partir d’une hypothèse, de traces d’attaquants qui n’ont déclenché aucune alerte. Elle exploite les journaux et la télémétrie déjà collectés (EDR, SIEM) et se distingue de la supervision, qui traite les alertes produites par des règles existantes.
Threat hunting, en détail
Une règle de détection reconnaît ce qu’on lui a décrit. La chasse suppose qu’un attaquant a déjà contourné ces règles et cherche ce qu’il aurait laissé : exécution d’outils d’administration à des heures inhabituelles, connexions d’un compte de service depuis des machines inattendues, tâches planifiées créées sur des serveurs, flux sortants rares. Chaque recherche part d’une hypothèse précise, souvent rattachée à une technique de la matrice MITRE ATT&CK : définition, et se termine par une conclusion écrite.
Trois issues sont possibles : une trace suspecte, qui ouvre une réponse à incident ; une activité légitime, qu’on documente pour ne plus la requalifier ; ou une absence de trace, dont la valeur dépend des données examinées. Dans tous les cas la chasse alimente la détection : une requête qui a servi trois fois devient une règle. Elle exige des données de qualité et un analyste qui connaît l’environnement, ce qui explique qu’elle suive en général la mise en place d’une supervision de base plutôt que de la précéder.
Qu’est-ce que cela change pour vous ?
Elle réduit le temps pendant lequel une intrusion discrète reste invisible et, surtout, montre où la détection manque. Son résultat se lit comme un état des données autant que comme un état de la menace.
Exemple illustratif (fictif)
Par exemple, une équipe cherche des créations de services Windows par des comptes qui n’en créent jamais. La requête ne révèle aucune intrusion, mais montre qu’un outil de déploiement logiciel crée ces services chaque nuit. Elle devient une règle qui exclut ce cas connu et alerte sur tous les autres.
La confusion fréquente
Conclure d’une chasse sans résultat que le réseau est sain. Elle prouve seulement que les techniques examinées n’apparaissent pas dans les données conservées sur la période étudiée.
Qui peut vous aider à le mettre en place ?
- Threat hunting : la prestationChercher les traces d’un attaquant que vos alertes n’ont pas vu.
- Supervision & SOC : la prestationUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
Aller plus loin
- ArticleNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- DéfenseEDR et XDR : définitionL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
- MéthodeMITRE ATT&CK : définitionUne base de connaissances publique, tenue par l’organisation MITRE, qui décrit les tactiques et les techniques employées par les attaquants d’après des observations réelles.
- AttaquePersistance : définitionL’ensemble des mécanismes par lesquels un attaquant conserve son accès à un système après un redémarrage, un changement de mot de passe ou la correction du défaut initial.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début