Threat Hunting Engagement: Đợt săn tìm có thời hạn gồm gì

Đây là gì

Công việc được tổ chức xoay quanh một số ít giả thuyết đã thống nhất. Trước đợt săn tìm, các bên xác định các nguồn dữ liệu đo lường, khoảng thời gian lưu giữ, phương thức truy cập, ranh giới về mức độ nhạy cảm, đầu mối liên hệ được nêu tên, sự phê duyệt của nhà cung cấp khi cần, và quyết định mà các phát hiện cần định hướng. Chuyên viên phân tích rà soát các mẫu đáng ngờ và các dấu vết IOC hoặc IOA liên quan, sau đó phân loại tài liệu thành mang tính thông tin, đáng ngờ hoặc đã xác nhận là đáng quan tâm trong phạm vi bằng chứng sẵn có. Báo cáo ghi lại các khoảng trống về phát hiện và dữ liệu đo lường bên cạnh các phát hiện, thứ tự ưu tiên và giới hạn. Đây là một đợt săn tìm tập trung, có thời hạn; giám sát, ứng phó sự cố, điều tra kỹ thuật số và khắc phục được xử lý qua các thỏa thuận riêng khi cần.

Dành cho ai

Một đợt săn tìm hữu ích cho các đội ngũ:

• Có một mối lo ngại hoặc giả thuyết được xác định mà dữ liệu đo lường hiện có có thể trả lời
• Có thể cung cấp bằng chứng đã thống nhất về endpoint, danh tính, đám mây, mạng hoặc ứng dụng cho một khung thời gian rà soát có giới hạn
• Cần một sự phân biệt có cấu trúc giữa tín hiệu mang tính thông tin, mẫu đáng ngờ và các mục cần người phụ trách cụ thể theo dõi tiếp
• Muốn hiểu các khoảng trống về dữ liệu đo lường và khả năng phát hiện trước khi chọn công việc giám sát, ứng phó hoặc kỹ thuật rộng hơn

Giúp làm rõ điều gì

Đợt săn tìm giúp làm rõ:

• Những giả thuyết nào có thể được khám phá một cách hợp lý từ các nguồn, thời gian lưu giữ, quyền truy cập và chất lượng bằng chứng đã thống nhất
• Những mẫu hoặc dấu vết nào mang tính thông tin, đáng ngờ hoặc đã xác nhận là đáng quan tâm trong ranh giới rà soát
• Những chỗ mà log bị thiếu, thời gian lưu giữ ngắn, quyền hạn, giới hạn của nhà cung cấp hoặc ràng buộc về mức độ nhạy cảm làm giảm mức độ tin cậy
• Câu hỏi nào về phát hiện, điều tra, vận hành hoặc ứng phó nên được người phụ trách phù hợp xử lý tiếp theo

Những gì được bao gồm

• Các giả thuyết đã xác nhận, nguồn dữ liệu đo lường, khoảng thời gian lưu giữ, phương thức truy cập, ràng buộc về mức độ nhạy cảm, đầu mối liên hệ được nêu tên, phối hợp với nhà cung cấp khi cần và khung thời gian săn tìm
• Rà soát dữ liệu đo lường đã thống nhất về endpoint, danh tính, đám mây, mạng hoặc ứng dụng để tìm các mẫu liên quan và dấu vết IOC hoặc IOA
• Phân loại dựa trên bằng chứng đối với tài liệu mang tính thông tin, đáng ngờ và đã xác nhận là đáng quan tâm
• Ghi nhận các khoảng trống về phát hiện và dữ liệu đo lường, giới hạn phạm vi, phát hiện và bước tiếp theo được ưu tiên
• Buổi tổng kết chung với các bên liên quan được nêu tên để thảo luận về bằng chứng, sự chưa chắc chắn, báo cáo lên cấp trên và các câu hỏi tiếp theo

Những gì không được bao gồm

• Giám sát liên tục, MDR, vận hành SOC trực suốt ngày đêm, ứng phó cảnh báo theo ca trực hoặc tự động triển khai agent và ghi log
• Ứng phó sự cố trực tiếp, trực tiếp ngăn chặn, thực hiện phục hồi, triển khai khắc phục hoặc điều tra kỹ thuật số chuyên sâu toàn diện
• Sự đảm bảo về việc phát hiện sự xâm phạm, mã độc, nguyên nhân gốc rễ, mối đe dọa, hành động đáng ngờ, hay xác nhận một môi trường sạch
• Chứng nhận, khả năng phát hiện bao phủ mọi thứ hoặc rà soát các nguồn nằm ngoài ranh giới thời gian và bằng chứng đã thống nhất

Khi nào nên chọn

Hãy chọn một đợt săn tìm khi doanh nghiệp có thể nêu một câu hỏi tập trung, ví dụ một mẫu có hiển thị trong một bộ dữ liệu đo lường được xác định hay không, một chỉ báo đã biết có liên quan hay không, hoặc một khoảng trống kiểm soát có cần bằng chứng tốt hơn hay không. Dịch vụ hữu ích sau một thay đổi về ghi log, khi một bên liên quan nêu lên mối lo ngại, hoặc trước khi quyết định liệu mô hình vận hành có cần mở rộng hay không. Đối với tình huống khẩn cấp, một thỏa thuận ứng phó khẩn cấp là hướng đi phù hợp. Nếu các chỉ báo sự cố đang diễn ra xuất hiện trong quá trình làm việc, chúng sẽ được báo cáo lên các đầu mối được nêu tên và có thể cần hỗ trợ ứng phó có phạm vi riêng.

Phương pháp của chúng tôi

Đợt săn tìm bắt đầu bằng các câu hỏi rõ ràng. Chúng tôi thống nhất các giả thuyết và tập hợp bản đồ bằng chứng sẵn có: nguồn, thời gian lưu giữ, đường truy cập, hạn chế về mức độ nhạy cảm, điều kiện của nhà cung cấp, đầu mối liên hệ và khung thời gian. Sau đó, chuyên viên phân tích đi theo dấu vết bằng chứng đã được phê duyệt, luôn giữ sự phân biệt giữa một quan sát và một kết luận đã được xác nhận. Một nguồn dữ liệu bị thiếu được ghi nhận là một khoảng trống thay vì được coi là một kết quả âm tính. Tại buổi tổng kết, khách hàng nhận được một bản tường thuật ngắn gọn về các phát hiện, các dấu vết liên quan, quan sát về khả năng phát hiện, các giới hạn và bước tiếp theo được ưu tiên. Hồ sơ đó hỗ trợ một lựa chọn có cơ sở về tinh chỉnh, bổ sung dữ liệu đo lường, điều tra, ứng phó hoặc một đợt hợp tác riêng. Báo cáo cũng ghi lại các điều kiện rà soát thực tế: bằng chứng sẵn có vào thời điểm nào, những hệ thống nào không hiển thị, và thời gian lưu giữ hoặc quyền truy cập có thể đã ảnh hưởng đến kết quả hay không. Điều này cho phép trưởng bộ phận bảo mật so sánh đợt săn tìm với hoạt động thường ngày và thấy được nó bổ trợ cho một chương trình giám sát như thế nào. Một đợt săn tìm sau này chỉ nên được cân nhắc khi có một câu hỏi mới, thay đổi về nguồn hoặc một thời điểm ra quyết định biện minh cho nó.

Câu hỏi thường gặp

Bài viết liên quan