Rozpoczęcie od rozpoznania środowiska odpowiadało doświadczeniom praktyków, według których pierwsze próby polowania w organizacji prowadzą zwykle nie do wykrycia nieujawnionego napastnika, lecz do lepszego poznania własnej sieci.
Mimo to według ankiety SANS z 2017 roku niewiele organizacji posługiwało się opublikowaną metodyką: w 27,1% przypadków stosowano metody opracowane we własnym zakresie, a w 45,1% postępowanie doraźne, bez udokumentowanej metodyki. W 2019 roku MITRE opracowało na zlecenie amerykańskiego Dowództwa Cybernetycznego metodykę opartą na taktykach, technikach i procedurach napastnika, niezależną od konkretnych narzędzi i produktów.
Przesłanki Przesłanką rozwoju polowania na zagrożenia są ograniczenia wykrywania opartego na regułach i sygnaturach. Systemy takie generują znaczną liczbę fałszywych alarmów, wskutek czego analitycy tracą wrażliwość na kolejne zgłoszenia, a zjawisko to określa się mianem zmęczenia alarmami () i wskazuje jako jedną z przyczyn przeoczania rzeczywistych incydentów.