Chasse aux menaces (threat hunting) sur vos données EDR et SIEM
Chercher les traces d’un attaquant que vos alertes n’ont pas vu.
Réponse courte
Threat hunting : de quoi s’agit-il, pour qui, à quel prix ?
Recherche active de traces de compromission dans les journaux et les données de votre EDR ou de votre SIEM, à partir d’hypothèses issues de MITRE ATT&CK et des menaces de votre secteur. Durée indicative : sessions de 3 à 8 jours, ponctuelles ou à rythme trimestriel. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Une alerte signale ce que quelqu’un a pensé à décrire dans une règle. Un attaquant patient évite les règles connues : il se sert d’outils d’administration légitimes, de comptes valides, de tâches planifiées. La chasse aux menaces : définition renverse la démarche. On part d’une hypothèse, par exemple « si un attaquant avait volé le jeton de session d’un administrateur, que verrait-on dans nos journaux ? », puis on cherche cette trace dans les données que vous collectez déjà.
Les hypothèses viennent de la matrice MITRE ATT&CK : définition, classées selon les groupes qui visent votre secteur, vos angles morts de détection connus et les résultats d’audits précédents. Nous travaillons dans votre EDR : définition ou votre SIEM : définition avec un accès en lecture : aucun outil nouveau à déployer. Chaque piste aboutit à l’une de ces issues : une trace suspecte, qui passe en réponse à incident ; une activité légitime, documentée puis exclue ; ou une absence de trace, notée avec les limites des données disponibles.
Il faut être clair sur ce que cela n’est pas. Ce n’est ni une surveillance continue ni un SOC : la mission est ponctuelle, ou renouvelée au rythme que vous choisissez, et nous ne promettons pas d’astreinte. Une chasse qui ne trouve rien ne prouve pas l’absence de compromission, seulement qu’elle n’apparaît pas dans les données examinées. En revanche, chaque piste laisse un acquis durable : une requête réutilisable, une règle de détection écrite et testée, ou la liste des journaux à collecter.
En résumé
- Durée indicative
- sessions de 3 à 8 jours, ponctuelles ou à rythme trimestriel
- Prix
- sur devissur devis après cadrage : le prix dépend du nombre d’hypothèses, du volume de données et du nombre de sources
- Référentiels appliqués
- MITRE ATT&CKTaHiTI (Targeted Hunting integrating Threat Intelligence)PEAK Threat Hunting FrameworkSigma (format de règles de détection)
Mission conduite avec l’accord écrit du propriétaire des systèmes examinés, sous accord de confidentialité.
Réponse à toute demande sous 24 h ouvrées.
Threat hunting : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Choix des hypothèses
Techniques ATT&CK retenues selon les menaces de votre secteur, vos angles morts et vos incidents passés, avec la donnée nécessaire à chacune.
Contrôle des données disponibles
Journaux et télémétrie réellement collectés, durée de conservation, trous de couverture. Une hypothèse sans donnée est signalée, pas simulée.
Chasse et analyse
Requêtes dans l’EDR ou le SIEM, recherche d’anomalies et de comportements rares, rapprochement entre sources, qualification des résultats avec vos équipes.
Traitement des découvertes
Une trace suspecte déclenche le passage à la réponse à incident, avec préservation des éléments de preuve. Une activité légitime est documentée et exclue.
Retour en détection
Requêtes réutilisables, règles de détection écrites et testées, liste des sources de journaux à ajouter ou à conserver plus longtemps.
Threat hunting : que livre la mission ?
- Plan de chasse : hypothèses, techniques ATT&CK, données nécessaires
- Journal de chasse : requêtes exécutées, résultats, décisions
- Rapport des découvertes qualifiées, avec preuves et actions recommandées
- Règles de détection et requêtes réutilisables, testées sur vos données
- Carte des angles morts de journalisation, avec priorités
- Restitution à l’équipe de sécurité et à la direction
Qu’est-ce que cela change pour vous ?
- Une réponse documentée à la question « un attaquant est-il passé inaperçu ? » sur les techniques examinées
- De nouvelles règles de détection issues de votre propre environnement
- Une liste de journaux à collecter ou à conserver plus longtemps, justifiée par des hypothèses précises
Threat hunting : pour qui est-ce utile ?
- Organisations qui disposent d’un EDR ou d’un SIEM sans personne pour explorer les données au-delà des alertes
- Équipes qui ont appris qu’un acteur visant leur secteur emploie des techniques qu’elles ne savent pas détecter
- Entreprises qui veulent vérifier qu’une intrusion ne reste pas inaperçue, après un incident chez un fournisseur par exemple
- Équipes de détection qui veulent transformer ce qu’elles apprennent en règles
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Threat hunting : combien de temps dure la mission ?
Durée indicative : sessions de 3 à 8 jours, ponctuelles ou à rythme trimestriel. Les 5 étapes de cette mission, dans l’ordre.
- 01
Qualification et urgence
Établir ce qui est observé, depuis quand, sur quels systèmes, et décider de ce qui ne peut pas attendre.
- 02
Accord et préservation des données
Accord écrit sur les systèmes examinés, copie des journaux et des supports avant toute manipulation, conservation tracée.
- 03
Collecte et analyse
Reconstituer la chronologie des actions à partir des journaux, des postes et du réseau.
- 04
Périmètre et impact
Délimiter ce qui a été touché, ce qui a pu être vu ou sorti, et par quel chemin.
- 05
Rapport et recommandations
Remettre la chronologie, les constats et les actions de remise en état, dans l’ordre où les mener.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un appel suffit : ce que vous observez, depuis quand, et sur quels systèmes.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Threat hunting : ce qu’on nous demande
Que se passe-t-il si la chasse ne trouve rien ?
Vous recevez un résultat utile quand même : la liste des techniques examinées, des données sur lesquelles nous nous sommes appuyés et de la période couverte. Ce résultat ne prouve pas que vous n’êtes pas compromis, seulement que ces techniques n’apparaissent pas dans ces données. Les requêtes écrites restent à vous, et les règles de détection qui en découlent protègent la suite.
Faut-il déployer un nouvel outil pour chasser ?
Non. Nous utilisons votre EDR, votre SIEM, les journaux de votre annuaire et de votre fournisseur cloud, avec un accès en lecture. Quand une hypothèse demande une donnée que vous ne collectez pas, nous le disons et vous indiquons quelle journalisation activer. Nous ne recommandons un outil supplémentaire que si un manque de couverture le justifie.
La chasse aux menaces remplace-t-elle un SOC ou une supervision ?
Non, elle la complète. Un SOC traite en continu les alertes produites par des règles existantes. La chasse est ponctuelle et cherche ce que ces règles n’ont pas vu. Nous ne proposons pas de surveillance 24 heures sur 24 dans cette prestation, et une chasse a d’autant plus de valeur qu’une détection de base existe déjà pour recevoir ses résultats.
De quelles données avons-nous besoin au minimum ?
De la télémétrie de vos postes et serveurs (création de processus, connexions réseau, authentifications), des journaux de l’annuaire ou d’Entra ID, des journaux d’audit de votre cloud et, si possible, des journaux DNS ou de passerelle web. Plusieurs semaines d’historique donnent déjà de quoi tester la plupart des hypothèses. Plus l’historique est long, plus nous pouvons remonter loin.
Pour comprendre avant de décider
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
Quelles prestations s’y associent ?
Supervision & SOC
Une attaque que personne ne voit dure plus longtemps et coûte plus cher.
mise en place de 2 à 6 semaines, puis supervision continuedès 290 €
Veille et CTI
Apprendre que vos identifiants circulent ou que votre marque est copiée avant vos clients.
cadrage de 1 à 2 semaines, puis veille continue sous abonnementsur devis
Purple team
Rejouer des techniques d’attaque devant vos équipes de détection, jusqu’à ce que l’alerte sonne.
2 à 5 jours d’atelier, plus une préparationsur devis
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Threat hunting » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début