Threat hunting je proaktivní vyhledávání známek kompromitace a chování útočníků, které nemusí zachytit běžná detekční pravidla. Protože se hrozby, nástroje i techniky útoků průběžně mění, vycházíme z kontextu organizace, jejích aktiv a rizik, relevantních zdrojů cyber threat intelligence (CTI) a rámců, jako je MITRE ATT&CK.

Nejprve si potvrdíme, které hrozby jsou pro vaše prostředí relevantní a jaká data máme k dispozici. Potom vybereme odpovídající techniky a postupy útočníků a ověříme, zda se jejich projevy objevují v datech ze SIEM, EDR, síťového dohledu a dalších zdrojů. Na základě výsledků identifikujeme mezery ve sběru dat a nastavíme nebo zpřesníme detekční mechanismy tak, aby SOC dokázal podobnou aktivitu průběžně zachytit a vyhodnotit.