Охотничьи гипотезы и проактивный поиск

Зачем это нужно

• Часть активности никогда не попадает в готовые правила, и её находят только целенаправленным поиском.
• Охота развивает понимание данных и повышает качество обнаружения.
• Это один из самых востребованных защитных навыков.

Теория

Охота начинается с гипотезы, а не с инструмента. Источники гипотез: карта покрытия ATT&CK, свежие публикации об атаках, результаты учебных имитаций, наблюдения из прошлых инцидентов, аномалии в метриках. Гипотеза формулируется проверяемо: «если в нашей среде использовался такой-то способ закрепления, то в данных будут такие признаки, и их можно найти запросом».

Процесс: определить данные → написать запрос → изучить результаты и отсеять легитимное → уточнить → найти факты или зафиксировать отсутствие признаков → превратить находку в правило или в требование к данным. Важно фиксировать результаты и отрицательных проверок: они тоже ценны, потому что показывают уверенность в отсутствии активности.

Ценность охоты измеряется не «находками», а улучшением защиты: новыми правилами, уточнением нормализации, обнаружением слепых зон, корректировкой приоритетов. Хорошая практика — превращать каждую успешную гипотезу в постоянное правило, а не повторять поиск вручную.

Ключевые концепции

Гипотеза охоты

Проверяемое утверждение о возможной активности и её признаках в данных.

Данные под гипотезу

Требуемые источники событий: определяются до начала поиска.

Легитимная база

Понимание нормального поведения, чтобы отсеивать ожидаемое.

Отрицательный результат

Подтверждённое отсутствие признаков: тоже результат, повышающий уверенность.

Превращение в правило

Автоматизация успешного поиска для постоянного обнаружения.

Слепая зона

Активность, которая принципиально не видна из-за отсутствия данных.

Инструменты

• SIEM или платформа данных с языком запросов.
• ATT&CK Navigator для выбора тем охоты.
• Публикации об атаках и отчёты исследователей как источник гипотез.
• Средства проверки гипотез на исторических данных.
• Системы документирования результатов охоты.

Практика в легальных лабораториях

• Сформулируйте три гипотезы на основе пропусков в карте покрытия.
• Определите данные, нужные для каждой гипотезы, и проверьте их наличие.
• Напишите запросы и изучите результаты на своей лаборатории.
• Опишите, как отсеивали легитимные события.
• Преобразуйте одну успешную гипотезу в правило обнаружения.

Защита, детект и защитные меры

• Планируйте охоту по карте покрытия, а не случайным образом.
• Документируйте результаты, включая отрицательные.
• Превращайте успешные гипотезы в постоянные правила.
• Используйте охоту для выявления потребностей в данных.

Правовая рамка и этика

• Поиск ведётся в своих данных и в рамках служебных полномочий.
• Соблюдайте требования к персональным данным при обработке результатов.

Типичные ошибки

• Начинать охоту без гипотезы и «смотреть всё».
• Не фиксировать отрицательные результаты и повторять одну работу.
• Не превращать находки в правила и терять результат.
• Игнорировать легитимную базу и принимать нормальное за подозрительное.

Чек-лист «умею»

• Умею формулировать проверяемые гипотезы.
• Определяю данные под гипотезу и проверяю их наличие.
• Пишу запросы и разбираю результаты.
• Фиксирую результаты, включая отрицательные.
• Превращаю находки в правила и требования к данным.

Вопросы на интервью

• Как вы выберете тему для охоты?
• Что делать, если данных для гипотезы нет?
• Как измерить пользу от охоты?

Источники и первоисточники

• MITRE ATT&CK — матрица техник
• ATT&CK Navigator
• Sigma HQ — примеры правил