Финансы
- Банки и платёжные системы, для которых критична незаметная компрометация инфраструктуры.
Threat Hunting — поиск угроз в инфраструктуре
Проактивный поиск угроз. Ищем признаки компрометации в инфраструктуре, которые не были обнаружены автоматическими средствами защиты.
Для кого
Threat Hunting востребован организациями с высокими требованиями к проактивной защите.
Промышленность и КИИ
- Объекты КИИ, для которых целевые атаки представляют повышенный риск.
Госсектор
- Государственные органы, подверженные целенаправленным атакам со стороны APT-группировок.
ИТ и телеком
- Компании с распределённой инфраструктурой и большим количеством потенциальных точек входа.
SOC-команды
- Зрелые SOC, желающие дополнить автоматическое детектирование ручным поиском угроз.
Медицина
- Медицинские организации с критичными данными пациентов и высоким риском целевых атак.
Типовые задачи
Задачи, которые решает Threat Hunting.
Поиск скрытой компрометации
Ищем признаки присутствия злоумышленника, которые не вызвали автоматических алертов.
Проверка гипотез об угрозах
Формируем и проверяем гипотезы о возможных векторах атаки на основе актуальных тактик злоумышленников.
Анализ аномального поведения
Изучаем нетипичную активность пользователей, процессов и сетевых соединений.
Выявление устойчивых угроз (APT)
Ищем следы долговременного присутствия сложных группировок в инфраструктуре.
Форматы работы
Форматы работы зависят от периодичности и целей поиска угроз.
Разовый Threat Hunting
Точечная проверка инфраструктуры по конкретному поводу или подозрению.
Регулярный Threat Hunting
Периодические циклы поиска угроз по согласованному графику.
Threat Hunting как часть SOC
Интегрируем проактивный поиск в процессы существующего центра мониторинга.
Обучение методологии
Передаём методологию и инструментарий вашим аналитикам для самостоятельного поиска угроз.
Почему нам
Почему нам доверяют Threat Hunting.
Опыт расследований
Специалисты с практическим опытом расследования реальных инцидентов, а не только теоретической подготовкой.
Методология на основе MITRE ATT&CK
Строим гипотезы и проверки на основе матрицы тактик и техник атакующих.
Работа с имеющимися данными
Используем существующую телеметрию SIEM, EDR и сетевых средств без избыточной установки новых систем.
Конфиденциальность
Все работы проводятся в рамках NDA, находки не разглашаются третьим лицам.
Обсудить задачу
Расскажите об инфраструктуре и поводе для проверки — подберём формат Threat Hunting.
Как работаем
Что получите
Что организация получает по итогам Threat Hunting.
Подтверждение отсутствия компрометации
Либо уверенность в чистоте инфраструктуры, либо выявленные признаки присутствия угрозы.
Обнаруженные угрозы
Список выявленных индикаторов компрометации и подозрительной активности.
Рекомендации по детектированию
Предложения по новым правилам обнаружения на основе найденных пробелов.
Повышение зрелости SOC
Опыт и методология проактивного поиска, применимые для будущих циклов.
Наши преимущества
-
Опыт расследований. Специалисты с практическим опытом реальных расследований, а не только теоретической подготовкой.
-
Методология MITRE ATT&CK. Строим гипотезы и проверки на основе признанной матрицы тактик атакующих.
-
Работа с имеющимися данными. Используем существующую телеметрию без избыточной установки новых систем.
-
Конфиденциальность. Все работы проводятся в рамках NDA.
-
Передача знаний. По запросу обучаем внутреннюю команду методологии проактивного поиска.
Проблемы и решения
Проблема
Решение
Нет уверенности, что инфраструктура не скомпрометирована
Автоматические средства не подтверждают отсутствие угроз, а только отсутствие алертов.
Что делаем
Проводим целенаправленный поиск скрытых признаков компрометации по нескольким гипотезам.
Подозрение на инцидент без явных признаков
Есть косвенные сигналы, но SIEM и EDR не подтверждают атаку.
Что делаем
Проверяем гипотезу вручную, анализируя телеметрию за подозрительный период.
SOC полагается только на автоматические алерты
Сложные и медленные атаки могут оставаться незамеченными длительное время.
Что делаем
Внедряем регулярный цикл Threat Hunting как дополнение к автоматическому мониторингу.
Нет компетенций для проактивного поиска в штате
Команда умеет реагировать на алерты, но не искать угрозы самостоятельно.
Что делаем
Проводим Threat Hunting силами наших специалистов и передаём методологию по запросу.
Этапы работы
Этапы проведения Threat Hunting от постановки задачи до отчёта.
Рассчитать проект
Оставьте заявку — рассчитаем стоимость Threat Hunting для вашей инфраструктуры.
Вопросы и ответы
Чем Threat Hunting отличается от мониторинга SOC?
Мониторинг SOC реагирует на автоматические алерты. Threat Hunting — проактивный процесс: специалист ищет угрозы, которые не вызвали срабатывания систем защиты, на основе гипотез.
Нужны ли специальные инструменты для Threat Hunting?
Как правило, используется существующая телеметрия SIEM, EDR и сетевых средств. Дополнительное ПО может потребоваться для специфических задач.
Как часто рекомендуется проводить Threat Hunting?
Для организаций с высоким риском — ежеквартально или чаще. Для остальных — не реже раза в год или при подозрении на инцидент.
Что происходит, если найдены признаки компрометации?
Мы помогаем локализовать угрозу и передаём находки для дальнейшего реагирования, включая рекомендации по устранению.
Мария Гурькова Ведущий специалист технической поддержки