Eğitim ve araştırma notu. Müşteri vakası veya production ortamında doğrulanmış bir detection kuralı değildir.
Hipotezi sınanabilir bir cümleye dönüştür
Hunting, bir araca şüpheli kelimeler yazmakla başlamaz. Araştırılacak davranışı, varlık grubunu ve gözlenebilir sonucu tanımla. Eğitim örneği: belirli bir Windows host grubunda, bakım düzeni dışında oluşturulmuş ve beklenmeyen bir program çağıran görevler bulunabilir.
Bu ifade saldırı gerçekleştiğini iddia etmez. Hipotezin hangi kanıtla destekleneceğini ve hangi normal davranışla açıklanabileceğini önceden yaz. Görev oluşturma ile program çalıştırma ayrı araştırma sorularıdır.
ATT&CK'i kapsamın yerine koyma
MITRE ATT&CK, gözlenmiş saldırgan davranışlarını düzenleyen bir bilgi tabanıdır. T1053.005 bu örneğe ortak bir teknik dili sağlar. Technique eşlemesi, yerel görünürlüğün veya tüm varyantların tespit edildiğinin kanıtı değildir.
Host grubu, başlangıç/bitiş zamanı, gerekli alanlar ve yetkili inceleme kapsamını belirle. Önceliği ortamının tehdit bağlamına göre ver; matristeki her kutuyu doldurmayı başarılı hunting ölçütü sayma.
Veri ön koşullarını önce kontrol et
- Görev oluşturma kaynağı ve ilgili audit kapsamı doğrulandı mı?
- Görev eylemini okuyacak XML veya eşdeğer alan mevcut mu?
- Çalıştırmayı incelemek için process telemetrisi saklanıyor mu?
- Normal bakım görevleri ve değişiklik kayıtları erişilebilir mi?
- Zaman, host ve hesap kimliği kaynaklar arasında eşleştirilebilir mi?
Bir şart eksikse hunt kapsamını daralt veya veri eksikliğini sonuçta belirt. Görmediğin davranışı dışladığını yazma. Bilinen zararsız bir örneğin bulunması parser ve sorgu kapsamını kontrol etmeye yardımcı olur.
Adayları bağlamla incele
| Soru | Aranacak bağlam |
|---|---|
| Görev neden sıra dışı? | Host rolü, hesap ve geçmiş bakım düzeni |
| Hangi eylem tanımlı? | Program yolu, argümanlar ve sahiplik |
| Eylem çalışmış mı? | Aynı hosttaki ilgili process ve görev çalışma kayıtları |
| Meşru açıklama var mı? | Onaylı yazılım değişikliği ve sorumlu ekip doğrulaması |
Nadirlik yalnızca aday seçme ölçütüdür. Tek bir path, araç veya görev adıyla verdict verme. Önce küçük bir aday kümesi üzerinde mantığı ve alternatif açıklamaları kontrol et.
Sonucu kapsama bağlı ifade et
Hunt kaydında hipotez, sorgu sürümü, veri aralığı, incelenen adaylar ve bilinmeyenler bulunmalı. “Bu veri ve zaman aralığında hipotezi destekleyen kanıt bulunmadı” ifadesi, “ortam temiz” sonucundan daha sınırlı ve doğrulanabilir bir açıklamadır.
İleri inceleme gerektiren adayları gerekçeleriyle aktar. Tekrarlanabilir bir sinyal bulunduysa pozitif, negatif ve eksik-veri testleriyle ayrı bir detection tasarım sürecine geç. Bu sentetik örnek yöntem anlatımıdır; tamamlanmış bir müşteri hunt'ı veya doğrulanmış ürün çıktısı değildir.