Threat hunting (pol. „polowanie na zagrożenia”) – proaktywna metoda wykrywania zagrożeń w bezpieczeństwie teleinformatycznym, polegająca na aktywnym przeszukiwaniu danych telemetrycznych organizacji w poszukiwaniu śladów działania napastnika, zamiast oczekiwania na alarm z systemów automatycznego wykrywania. Według definicji SANS Institute jest to ukierunkowane i iteracyjne podejście do wyszukiwania, identyfikowania i rozumienia przeciwników, którzy już znajdują się wewnątrz sieci organizacji.
Metoda opiera się na założeniu, że napastnik zdołał już przeniknąć do systemu (assume breach) i stanowi uzupełnienie klasycznych mechanizmów detekcji, które wykrywają wyłącznie zagrożenia odpowiadające znanym sygnaturom lub regułom. W opracowaniach dotyczących centrów operacji bezpieczeństwa (SOC) zalicza się je – obok informatyki śledczej, symulacji ataków i technologii zwodzenia – do zadań wyspecjalizowanych, wykraczających poza bieżącą obsługę zgłoszeń. W opracowaniu SANS polowanie zaliczono do obszaru aktywnej obrony w modelu Sliding Scale of Cyber Security, który wyróżnia ponadto architekturę, obronę bierną, rozpoznanie i działania ofensywne.
Historia Pojęcie polowania na zagrożenia jest w bezpieczeństwie teleinformatycznym stosunkowo nowe, a jego dokładna definicja wciąż się kształtuje. Do około 2016 roku poszukiwania opierały się głównie na wyszukiwaniu wskaźników naruszenia bezpieczeństwa, czyli niezmiennych cech złośliwego oprogramowania, takich jak sumy kontrolne, nazwy plików i ciągi znaków, albo na zbieraniu i analizie śladów pozostawionych na dyskach i w pamięci operacyjnej.
W 2016 roku ukazały się pierwsze opublikowane metodyki. Firma Sqrrl przedstawiła model złożony z czterech etapów – sformułowania hipotezy, jej weryfikacji przy użyciu narzędzi, ujawnienia nowych wzorców i technik napastnika oraz wzbogacenia na tej podstawie mechanizmów automatycznej analizy – wraz z modelem dojrzałości, pozwalającym organizacjom oceniać własne zdolności w tym zakresie. Firma Endgame opisała z kolei cykl obejmujący rozpoznanie wybranego fragmentu środowiska, jego zabezpieczenie, wykrycie napastnika i reakcję. Rozpoczęcie od rozpoznania środowiska odpowiadało doświadczeniom praktyków, według których pierwsze próby polowania w organizacji prowadzą zwykle nie do wykrycia nieujawnionego napastnika, lecz do lepszego poznania własnej sieci.
Mimo to według ankiety SANS z 2017 roku niewiele organizacji posługiwało się opublikowaną metodyką: w 27,1% przypadków stosowano metody opracowane we własnym zakresie, a w 45,1% postępowanie doraźne, bez udokumentowanej metodyki. W 2019 roku MITRE opracowało na zlecenie amerykańskiego Dowództwa Cybernetycznego metodykę opartą na taktykach, technikach i procedurach napastnika, niezależną od konkretnych narzędzi i produktów.
Przesłanki Przesłanką rozwoju polowania na zagrożenia są ograniczenia wykrywania opartego na regułach i sygnaturach. Systemy takie generują znaczną liczbę fałszywych alarmów, wskutek czego analitycy tracą wrażliwość na kolejne zgłoszenia, a zjawisko to określa się mianem zmęczenia alarmami () i wskazuje jako jedną z przyczyn przeoczania rzeczywistych incydentów. Skalę problemu oddaje tytuł jakościowego badania perspektywy analityków, przedstawionego w 2022 roku na konferencji USENIX Security: 99% fałszywych alarmów.
Nadmiar zgłoszeń ma też skutek pośredni: czas poświęcany na ich weryfikację odbierany jest zadaniom prowadzonym z własnej inicjatywy, w tym samemu polowaniu na zagrożenia.
Wykorzystywanie narzędzi systemowych Drugą przesłanką jest sposób działania napastników określany jako living off the land (LOTL), polegający na posługiwaniu się legalnymi narzędziami administracyjnymi i mechanizmami wbudowanymi w zaatakowany system zamiast wprowadzania własnego oprogramowania. We wspólnych wytycznych opublikowanych w 2024 roku przez CISA, NSA, FBI oraz agencje Australii, Kanady, Wielkiej Brytanii i Nowej Zelandii wskazano, że technika ta pozostaje skuteczna, ponieważ wiele organizacji nie wdraża mechanizmów pozwalających ją wykryć, a napastnik nie ponosi przy niej praktycznie żadnych nakładów na narzędzia.
Wytyczne odnotowują, że brak ustalonych wzorców normalnego działania sieci utrudnia odróżnienie czynności uprawnionych od złośliwych – trudność ta występuje również w organizacjach o rozwiniętych zabezpieczeniach. Ponadto typowe wskaźniki naruszenia bezpieczeństwa przy takich działaniach zwykle nie występują, co utrudnia ich rozpoznanie i śledzenie. Jako właściwą odpowiedź agencje wskazują analizę behawioralną, wykrywanie odchyleń od normy oraz proaktywne polowanie na zagrożenia.
Z tego samego powodu czynności administratorów systemów należą do najczęstszych źródeł fałszywych alarmów, ponieważ przypominają techniki napastników opisane w katalogu ATT&CK, takie jak ruch poprzeczny, modyfikacja kont, wykonywanie skryptów czy kompresja danych. Zespół prowadzący polowanie musi zatem poznać uprawnioną aktywność w danej sieci.
Podejścia W literaturze wyróżnia się trzy zasadnicze metodyki prowadzenia polowania: dochodzenia oparte na hipotezach (hypothesis-driven), poszukiwanie wskaźników naruszenia bezpieczeństwa (IOC), analizę opartą na uczeniu maszynowym.
Proces nie daje się w pełni zautomatyzować – kluczowym wkładem człowieka jest sformułowanie hipotezy ukierunkowującej poszukiwania, choć samo ich prowadzenie w dużym stopniu opiera się na automatyzacji. W ujęciu opartym na hipotezach polowanie definiuje się jako proaktywny, prowadzony przez analityka proces poszukiwania w środowisku taktyk, technik i procedur (TTPs) napastnika.
Hipoteza Hipoteza jest sprawdzalnym przypuszczeniem analityka co do zagrożenia, które może występować w środowisku, i sposobu jego wykrycia – musi więc dotyczyć czegoś, co da się znaleźć w dostępnych danych. W opracowaniu SANS z 2016 roku Robert M. Lee i David Bianco wyróżniają trzy źródła hipotez, które mogą się ze sobą łączyć: informacje o zagrożeniach, świadomość sytuacyjną oraz wiedzę dziedzinową analityka.
Hipoteza oparta na świadomości sytuacyjnej wychodzi nie od zewnętrznych informacji o zagrożeniach, lecz od znajomości własnego środowiska: analityk musi rozumieć sieć, w której działa, i rozpoznawać istotne zmiany w jej stanie. Pozwala to skupić się na zasobach i informacjach najważniejszych dla organizacji – postępowanie określane jako analiza zasobów krytycznych (crown jewel analysis). Dopiero na tej podstawie analityk stawia pytania o kroki, jakie napastnik musiałby wykonać po uzyskaniu dostępu do sieci, i przekształca je w hipotezy.
Wskaźniki a zachowania Poszczególne rodzaje śladów pozostawianych przez napastnika nie są równorzędne. Uporządkowanie zaproponowane w 2013 roku przez Davida Bianco, znane jako piramida bólu (), szereguje je według trudności, jaką ich wykrycie sprawia napastnikowi: od sum kontrolnych plików, przez adresy IP i nazwy domen, artefakty sieciowe i systemowe, aż po używane narzędzia. Na szczycie tego uporządkowania znajdują się taktyki, techniki i procedury, czyli same zachowania.
Sumę kontrolną wystarczy zmienić o jeden bajt, a adresy i domeny wymieniane bywają rutynowo. Wykrycie narzędzia zmusza napastnika do znalezienia albo napisania nowego, co oznacza koszt wytworzenia i nauki obsługi. Najwyższy poziom dotyczy sposobu działania, a nie oprogramowania – reagowanie na nim wymusza naukę nowego postępowania albo rezygnację z ataku.
Z tego względu polowanie ukierunkowane na taktyki, techniki i procedury uchodzi za trwalsze w skutkach niż wyszukiwanie pojedynczych wskaźników, które opracowanie przygotowane przez MITRE określa jako kruche, szybko tracące aktualność i nieskuteczne wobec napastników dostosowujących swoje działania. Ze względu na efektywność i stosunkowo niewielkie nakłady podejście oparte na TTP może według tego opracowania przynieść korzyści znacznie przewyższające koszty.
Etapy ataku jako ramy poszukiwań Punktem odniesienia przy formułowaniu hipotez bywają modele opisujące atak jako ciąg następujących po sobie etapów. Jednym z nich jest opracowany przez koncern Lockheed Martin cyber kill chain, obejmujący kolejno rozpoznanie, przygotowanie i dostarczenie złośliwego kodu, jego uruchomienie, instalację, nawiązanie łączności z infrastrukturą sterującą oraz działania na celu.
Bardziej szczegółowym uporządkowaniem jest katalog MITRE ATT&CK, w którym taktyki – rozumiane jako cele pośrednie napastnika – ułożono w kolejności odpowiadającej przebiegowi ataku, od rozpoznania po wywołanie szkód, a każdej przypisano techniki możliwe do zaobserwowania. Katalog ten pełni rolę wspólnego słownika: pozwala analitykowi wskazać, jakiego zachowania poszukuje, w sposób zrozumiały dla innych zespołów.
Ujęcie etapowe ma znaczenie praktyczne. Według opracowania MITRE, przygotowanego na zlecenie amerykańskiego Dowództwa Cybernetycznego, technologia, w której działa napastnik – na przykład system Windows – ogranicza liczbę i rodzaj technik dostępnych mu po uzyskaniu dostępu. Technik tych jest stosunkowo niewiele i każdy napastnik musi po nie sięgnąć albo ponieść ogromny koszt opracowania nowych, niezależnie od swoich możliwości. Opracowanie zaleca zatem rozpoczynanie poszukiwań od czynności, które muszą nastąpić i których dopuszcza się większość napastników, takich jak pozyskiwanie poświadczeń czy rozpoznanie systemów w sieci.
Kompetencje Skuteczne polowanie wymaga połączenia kompetencji defensywnych i ofensywnych. Analityk potrzebuje doświadczenia w zabezpieczaniu infrastruktury i reagowaniu na incydenty, a zarazem znajomości taktyk, technik i procedur stosowanych przez napastników.
Współpraca z zespołami ofensywnymi Opracowanie MITRE zaleca, by analitycy prowadzący polowanie współpracowali z zespołami emulującymi działania napastników (red teamami) przy opracowywaniu, testowaniu i dopracowywaniu reguł wykrywania. Zespół taki dostarcza rzeczywistych przykładów danej techniki, wykonanej na różne sposoby, co pozwala sprawdzić regułę w trzech wymiarach: czy uruchamia się, gdy technika jest obecna, jak często daje fałszywe alarmy wśród realistycznej aktywności w sieci oraz czy napastnik zdoła ją obejść.
Z tego względu MITRE zaleca szkolenie członków zespołów ofensywnych w wykonywaniu znanych technik za pomocą różnych procedur, tak aby ujawniać reguły zbyt ściśle dopasowane do jednego wariantu techniki, a przez to łatwe do obejścia. Wyniki działań takich zespołów, obok analizy rzeczywistych incydentów, dostarczają zarazem dowodów na to, że wykrywanie oparte na wskaźnikach, choć ma pewną wartość, jest nieskuteczne wobec napastników dostosowujących swoje działania.
Zwabianie napastnika Uzupełnieniem przeszukiwania zgromadzonych danych są technologie zwodzenia (), w których w środowisku umieszcza się celowo przygotowane zasoby – pułapki oraz fałszywe konta i dane – mające przyciągnąć napastnika i ujawnić stosowane przez niego techniki. Zalicza się je, obok samego polowania na zagrożenia, do proaktywnych zadań SOC.
Podejście to odwraca logikę wykrywania. System regułowy ocenia zaobserwowaną czynność i rozstrzyga, czy jest podejrzana, co przy działaniach nieodbiegających od czynności administracyjnych bywa niemożliwe. Zasób przygotowany jako pułapka nie pełni natomiast żadnej funkcji w organizacji, więc nikt uprawniony nie ma powodu, by się z nim łączyć – sama interakcja stanowi zatem sygnał, niezależnie od tego, jakimi narzędziami napastnik się posłużył.
Zwodzenie analityków Zwodzenie bywa stosowane również w przeciwną stronę, przez napastników wobec obrońców. Narzędzia napastników mają zdolność przeciwdziałania monitorowaniu i analizie, przez co czujniki zainstalowane na przejętych już komputerach mogą nie zarejestrować ich działań.