Threat Hunting Engagement
A Lëtzebuerg gëtt de NIS2-orientéierte Kontext vun de Cybersécherheetserwaardungen eng begrenzte Basis fir en hypothesegeleete Threat Hunting Engagement, baséiert op enger dokumentéierter Iwwerpréifungsgrenz, autoriséierter Telemetrie, engem vereinbarte Retentiounszäitraum a definéierte Sensibilitéitsbegrenzungen. BilgeQor triagéiert d'Erkenntnisser an erstellt relevant IOC- oder IOA-Artefakter plus Empfehlungen zu Detektiounslécken fir de vereinbarte Zäitraum. Et ass en ofgegrenzten Engagement, dat mat enger Ufro ufänkt, keng 24/7-Iwwerwaachung, kee SOC oder MDR, keng Echtzäit-Eindämmung, keng Erhuelung a kee Beweis, datt et keng Kompromittéierung gëtt.
Féiert eng zäitlech begrenzten, hypothesegedriwwe Sich an den ofgemaachten Telemetriequellen duerch, fir Indikatoren, verdächteg Aktivitéiten a Lücken opzedecken, déi automatiséiert Alarmer méiglecherweis iwwersinn hunn.
Gëeegent, wann
- ✓Dir hutt eng Bewäertung duerch Spezialisten autoriséiert, mat engem ofgemaachten Zil, Ëmfang an Testzäitraum oder Reegelen fir d'Duerchféierung
- ✓Dir braucht eng Evaluatioun mat engem definéierten a begrenzten Ëmfang bannent ausdrécklech bestätegte Parameteren
- ✓Dir wëllt dokumentéiert Erkenntnisser a prioritiséiert Beobachtungen aus engem kontrolléierten Engagement
- ✓Du verstees, datt dëst eng Bewäertung mat engem festgeluechten Ëmfang ass, kee kontinuéierleche Schutz a kee garantéiert Resultat.
Net passt wann
- –Dir braucht gelegentlecht Scannen oder routinemäessegt Préiwe vu Schwachstellen
- –Dir braucht eng Noutfall-Live-Reaktioun oder net autoriséiert Tester
- –Du erwaarts, datt ausnotzbar Schwachstelle garantéiert entdeckt ginn oder datt de Schutz komplett ass
- –Dir braucht 24/7-Iwwerwaachung, MDR oder kontinuéierlech Threat Hunting iwwer en ofgegrenzten Engagement eraus
Ideal fir
- Sécherheetsteams, déi Telemetrie sammelen, awer dergéint nach keng strukturéiert Jagd duerchgefouert hunn
- Organisatiounen, déi sech op en Audit, eng Iwwerpréiwung duerch de Verwaltungsrot oder e Kundenassurance-Meilesteen virbereeden, deen vun dokumentéierte Hunt-Feststellunge profitéiert
- Equipen mat engem spezifesche Bedenken, enger Hypothees oder enger rezenter Ännerung, déi se an engem definéierte Zäitfënster wëllen ënnersiche loossen
- Entreprisen, déi en onofhängege Bléck op hir Telemetrie wëllen, ouni sech un e Kontrakt fir kontinuéierlech Iwwerwaachung ze bannen
Wat mir evaluéieren
- Ofgemaachten Hypothese fir d'Sich no Bedroungen, definéiert a prioritär agestuuft beim Festleeë vum Ëmfang
- Iwwerpréiwung vun de vereinbarten Telemetriequellen am vereinbarten Zäitraum — Protokoller vun Endpunkten, Identitéiten, Cloud-Systemer, Netzwierker oder Applikatiounen, souwäit se am vereinbarten Ëmfang leien
- Ënnersichung vu verdächtege Musteren, déi wärend der Sich no Bedroungen identifizéiert goufen
- Triage vun de Resultater an d'Kategorien informativ, verdächteg a bestätegt relevant
- Artefakte mat Indikatore fir eng Kompromettéierung (IOC) an Indikatore fir en Ugrëff (IOA), souwäit se fir déi ofgemaachten Hypotheesen relevant sinn
Liwwerresultater
Viraussetzungen & Autorisatioun
- +Schrëftlech Autorisatioun vum Dateneegner fir den Zougang zu den ofgemaachten Telemetriequellen
- +Vereinbart Lëscht vun Telemetriequellen, Opbewarungszäitraim an Zougangsmethod, schrëftlech bestätegt
- +Genehmegt Hunt-Fënster mat definéierte Start- a Stopzäiten
- +Ofgemaachten Hypotheese fir d'Bedroungssich an eventuell Aschränkunge wéinst sensiblen Informatiounen, dokumentéiert virum Ufank vun den Aarbechten
- +Benannte primär a Reserve-Kontaktpersounen, déi während dem ganzen ofgemaachten Threat-Hunting-Fënster erreechbar sinn
- +Genehmegung vum Anbieter, vun der Cloud oder vun der Identitéitsplattform, wou fir den Zougang zu Telemetriedaten néideg
Exklusionen & Grenzeen
- Dëst ass en zäitlech begrenzten Optrag, keng Vereinbarung fir kontinuéierlech Iwwerwaachung oder MDR
- Véieranzwanzeg-Stonne SOC-Betrib, Bereetschaft fir Alarmreaktioun a geréiert Erkennung sinn net abegraff
- D'Reaktioun op lafend Tëschefäll an d'Ausféierung vun Agrenzungs- a Restauratiounsmoossname sinn net abegraff, ausser wann se separat am Leeschtungsëmfang festgeluecht ginn.
- D'Aféierung vun neier Telemetrie, Agenten oder Protokolléierungspipelinen ass net abegraff, ausser wann dëst separat vereinbart gëtt.
- Dësen Optrag garantéiert net, datt all Bedroungen, déi an der Ëmgéigend präsent sinn, entdeckt ginn.
- Am Kader vun dësem Opdrag gëtt keng Zertifizéierung, Akkreditéierung oder Bescheinegung vun der Konformitéit ausgestallt
- D'Ëmsetzung vun der Behiewung vun identifizéierte Schwächten ass net abegraff, ausser si gëtt separat ofgegrenzt
Wéi et funktionéiert
Ëmfangsdefinitioun an Hypothesendefinitioun
Mir ginn eis iwwer Jagdhypothesen, Telemetriequellen am Ëmfang, d'Jagdfënster, d'Zougangsmethod, Sensibilitéitsbeschränkungen a Stoppbedingungen eens. Alles gëtt schrëftlech dokumentéiert, éier d'Aarbecht ufänkt.
Autorisatioun an Zougang
Déi schrëftlech Autorisatioun vum Dateneegner an all néideg Genehmegunge vu Fournisseuren sinn bestätegt. Den Zougang zu den ofgemaachten Telemetriequellen gëtt bannent den ofgemaachte Grenze opgebaut.
Duerchféierung vun der Bedreeungsjuegd
Mir testen déi vereinbart Hypotheesen unhand vun den Telemetriedaten am vereinbarten Ëmfang a bannent der vereinbarter Zäitfënster, ënnersiche verdächteg Musteren a prioriséieren Erkenntnisser, soubal se opdauchen.
Berichterstattung
Mir liwweren de Bericht iwwer d'Resultater, IOC an IOA Artefakter, wou dat zoutreffend ass, Recommandatiounen zu Lücken an der Detektioun an der Telemetrie souwéi Prioritéite fir weider Enquêten.
Nobespriechung
Mir féieren eng gemeinsam Nobesprieschung duerch, déi den Threat-Hunting-Usaz, interessant Erkenntnisser a prioritiséiert nächst Schrëtt fir Är Sécherheets- an Engineering-Parteien ofdeckt.
Frot d’éischt den Ëmfang un. Mir confirméieren d’Zil, d’Autorisatioun, d’Testfenster an d’Reegele vum Asaz schrëftlech, ier e spéidere kommerzielle Schrëtt kënnt. Dës Säit hëlt keng Bezuelung un a fänkt keng spezialiséiert Aarbecht un. Keng spezialiséiert Aarbecht fänkt virun der Ëmfangautorisatioun un.
Ëmfang & Offer
Finalen Ëmfang an Offer hänken vum autoriséierten Ziel, vun der Ëmgéigend an de ofgemaachten Testbedingungen of.
Heefeg gestallte Froen
Prett fir iwwer Ären Ëmfang ze schwätzen?
Beschreift eis Äert Zil, Äert Ëmfeld an de virgesinnen Zäitraum fir d'Tester. Mir schécken Iech eng Offer mat engem festgeluechten Ëmfang.