OpenText startsida.
Tekniska ämnen

Vad är Cyber Threat Hunting?

Illustration av IT-artiklar med fokus på en bärbar dator

Översikt

Cyber threat hunting är en framåtblickande strategi för internetsäkerhet där hotjägare proaktivt söker efter säkerhetsrisker som döljs i en organisations nätverk. Till skillnad från mer passiva strategier för cybersäkerhetsjakt - t.ex. automatiserade hotdetekteringssystem - söker cybersäkerhetsjakt aktivt efter tidigare oupptäckta, okända eller icke åtgärdade hot som kan ha undgått nätverkets automatiserade försvarssystem.

Jakt på cyberhot

Vad är hybrid-IT?

Cyberbrottslingar blir mer sofistikerade än någonsin, vilket gör att jakt på cyberhot är en viktig komponent i robusta säkerhetsstrategier för nätverk, endpoints och dataset. Om en avancerad extern angripare eller ett insiderhot undgår de första nätverksförsvarssystemen kan de förbli oupptäckta i flera månader. Under den här tiden kan de samla in känsliga uppgifter, äventyra konfidentiell information eller säkra inloggningsuppgifter som gör det möjligt för dem att smyga i sidled genom din nätverksmiljö.

Säkerhetspersonal har inte längre råd att luta sig tillbaka och vänta på att automatiserade system för att upptäcka cyberhot ska meddela dem om en förestående attack. Med hjälp av cyberhotjakt kan de proaktivt identifiera potentiella sårbarheter eller hot innan en attack kan orsaka skada.

Hur fungerar jakt på cyberhot?

Jakten på cyberhot kombinerar det mänskliga elementet med en mjukvarulösnings kapacitet att bearbeta stora datamängder. Mänskliga hotjägare - som använder lösningar och underrättelser/data för att hitta motståndare som kan undvika typiska försvar - använder data från komplexa verktyg för säkerhetsövervakning och analys för att proaktivt identifiera och neutralisera hot.

Mänsklig intuition, strategiskt och etiskt tänkande samt kreativ problemlösning spelar en viktig roll i cyberjaktprocessen. Dessa mänskliga egenskaper gör det möjligt för organisationer att implementera hotlösningar snabbare och mer exakt än om man enbart förlitar sig på automatiserade verktyg för att upptäcka hot.

Vad krävs för att börja jaga hot?

För att cyberhotjakt ska fungera måste hotjägarna först upprätta en baslinje med förväntade eller godkända händelser för att bättre kunna identifiera avvikelser. Med hjälp av denna baslinje och den senaste hotinformationen kan hotjägarna sedan gå igenom säkerhetsdata och information som samlats in av hotdetekteringstekniker. Dessa tekniker kan omfatta lösningar för hantering av säkerhetsinformation och säkerhetshändelser (SIEM), hanterad detektering och respons (MDR) eller andra verktyg för säkerhetsanalys.

När de har utrustats med data från olika källor - t.ex. endpoint-, nätverks- och molndata - kan hotjägarna söka igenom dina system efter potentiella risker, misstänkta aktiviteter eller triggers som avviker från det normala. Om ett känt eller potentiellt hot upptäcks kan hotjägarna ta fram hypoteser och göra djupgående nätverksundersökningar. Under dessa undersökningar försöker hotjägarna ta reda på om ett hot är skadligt eller godartat, eller om nätverket är tillräckligt skyddat mot nya typer av cyberhot.

Är jakt på cyberhot en del av threat intelligence?

Cyber threat intelligence är ett fokus på analys, insamling och prioritering av data för att förbättra vår förståelse för de hot som en verksamhet står inför.

Undersökningstyper för hotjakt

Det finns tre huvudsakliga typer av utredningar för hotjakt:

  • Strukturerad: Denna typ av cybersäkerhetsjakt baseras på en attackindikator samt en angripares taktik, teknik och procedurer (TTP). Med hjälp av MITRE Adversary Tactics Techniques and Common Knowledge (ATT&CK®) kan hotjägare genom strukturerad jakt identifiera en illasinnad aktör innan denne kan skada nätverket.
  • Ostrukturerad: Baserat på en trigger eller en indikator på kompromettering (IoC) använder hotjägare ostrukturerad jakt för att söka efter alla märkbara mönster i nätverket både före och efter att en trigger eller IoC hittades.
  • Situationsbaserad eller baserad på underrättelser om hot: Hypoteser härleds från situationella omständigheter, t.ex. sårbarheter som upptäcks under en riskbedömning av ett nätverk. Med den senaste hotinformationen kan hotjägare hänvisa till interna data eller data från allmänheten om cyberattacktrender eller angriparnas TTP:er när de analyserar sitt nätverk.

I alla dessa tre typer av utredningar söker hotjägare igenom händelser efter avvikelser, svagheter eller misstänkt aktivitet utanför förväntade eller godkända händelser. Om några säkerhetsluckor eller ovanlig aktivitet upptäcks kan jägarna sedan åtgärda nätverket innan en cyberattack inträffar eller upprepas.

De fyra stegen i jakten på cyberhot

För att effektivt starta ett program för att jaga cyberhot finns det fyra steg som din säkerhetspersonal bör följa:

  • Utveckla en hypotes: Hotjägare bör utveckla en hypotes baserat på risker eller sårbarheter som kan finnas i organisationens infrastruktur, aktuell hotinformation eller angriparens TTP:er, eller från misstänkt aktivitet eller en utlösande faktor som avviker från standard baslinjeaktivitet. De kan också använda sin kunskap, erfarenhet och kreativa problemlösningsförmåga för att fastställa en hothypotes och besluta om en väg framåt för att testa den.
  • Påbörja utredningen: Under en utredning kan en hotjägare luta sig mot komplexa och historiska dataset som härrör från hotjaktslösningar som SIEM, MDR och User Entity Behavior Analytics. Utredningen fortsätter tills hypotesen bekräftas och avvikelser upptäcks, eller tills hypotesen visar sig vara godtagbar.
  • Upptäck nya mönster: När avvikelser eller skadlig aktivitet upptäcks är nästa steg att sätta in en snabb och effektiv respons. Det kan handla om att stänga av användare, blockera IP-adresser, implementera säkerhetsuppdateringar, ändra nätverkskonfigurationer, uppdatera behörigheter eller införa nya identifieringskrav. När säkerhetsteamen arbetar med att lösa nätverkshot på ett proaktivt sätt kommer de att lära sig hotaktörernas TTP:er och hur de kan minska dessa hot i framtiden.
  • Svara, berika och automatisera: Arbetet med hotjakt tar aldrig slut, eftersom cyberbrottslingar hela tiden utvecklas och skapar nya nätverkshot. Jakten på cyberhot bör bli en del av vardagen inom organisationen och fungera parallellt med automatiserad teknik för hotdetektering och säkerhetsteamets nuvarande processer för identifiering och åtgärdande av hot.

Vilka är de största utmaningarna med att jaga cyberhot?

Eftersom jakt på cyberhot innebär en proaktiv, praktisk strategi för att upptäcka och åtgärda hot, står vissa organisationer inför betydande utmaningar när de implementerar denna säkerhetspraxis. För att ett program för jakt på cyberhot ska bli framgångsrikt måste en organisation ha tre nyckelkomponenter som arbetar i harmoni:

  • Experter på att jaga hot: Humankapitalet i samband med jakt på cyberhot är utan tvekan den mest kritiska komponenten. Hotjägarna måste vara experter på hotbilden och snabbt kunna identifiera varningssignalerna för sofistikerade attacker.
  • Omfattande data: För att kunna söka efter hot måste jägarna ha tillgång till en mängd data (både aktuella och historiska data) som ger insyn i hela infrastrukturen. Utan dessa aggregerade data kan hotjägare inte skapa välgrundade hothypoteser baserat på dina endpoints, nätverk eller molninfrastruktur.
  • Uppdaterad hotinformation: Hotjägare måste vara utrustade med den mest aktuella hotinformationen, så att de kan jämföra aktuella cyberattacktrender med interna data. Utan att veta vilka nya eller trendiga hot som finns har hotjägarna inte den information som krävs för att analysera potentiella nätverkshot korrekt.

Att distribuera alla dessa tre komponenter och se till att de fungerar sömlöst tillsammans kräver många organisatoriska resurser. Tyvärr har vissa säkerhetsteam inte tillgång till rätt verktyg, personal eller information för att etablera ett fullskaligt program för jakt på cyberhot.

Upptäck hanterad jakt på cyberhot med OpenText Cybersecurity

För att framgångsrikt skydda organisationens infrastruktur krävs ett proaktivt tillvägagångssätt snarare än ett reaktivt. Tiden är förbi då automatiserade tekniker för att upptäcka hot var tillräckliga för att skydda konfidentiella data eller information. Istället måste dina säkerhetsteam implementera ett löpande program för att jaga cyberhot som gör det möjligt för dem att skapa välgrundade hypoteser och hitta avvikelser, risker eller misstänkt aktivitet i nätverket innan en extern angripare eller ett insiderhot kan orsaka skada.

Letar du efter en managed service för att leverera jakt på cyberhot utan att behöva investera i programvara och resurser? OpenText™ Security Services tillhandahåller hotjakter och prenumerationsbaserade tjänster för att utföra situations-, ostrukturerade och strukturerade hot och identifiera avvikelser, svagheter och misstänkta aktiviteter. I kombination med vår expertis inom risk och efterlevnad, digital kriminalteknik och incidentrespons, litar våra kunder på OpenText för att förbättra deras cybermotståndskraft.

Jakt på cyberhot

Kom igång redan idag.

Begär en demo

Relaterade produkter

OpenText™ Cybersecurity Cloud

Försvara med precision, säkra med självförtroende

OpenText™ Enterprise Security Manager

Påskynda hotdetektering och respons med realtidskorrelation och inbyggd SOAR

OpenText™ Core Behavioral Signals

Upptäck proaktivt insiderrisker, nya attacker och avancerade ihållande hot

OpenText™ Security Log Analytics

Påskynda hotdetektering med insiktsfulla och handlingsbara säkerhetsinsikter

Upptäckt av och svar på hot

Hitta och reagera på cyberhot som är viktiga

Hur kan vi hjälpa till?

Fotnoter