Что такое «розыск угрозы» и почему это важно уже сегодня

Розыск угрозы (Threat Hunting) — это проактивный процесс поиска индикаторов компрометации,
которые не были обнаружены традиционными средствами защиты (антивирусами, IDS/IPS, SIEM).
В отличие от реактивного реагирования на инцидент, розыск угрозы строится на гипотезах,
анализе поведения и глубоком понимании инфраструктуры и бизнес-процессов.

Ключевая разница

• Реактивная защита: срабатывает только после сигнала.
• Проактивный розыск: ищет скрытые, ранее неизвестные угрозы до того, как они причинят ущерб.

Типы угроз, которые подлежат розыску

Информационные угрозы

Утечки, фишинг, социальная инженерия, внутренние «утечки мозгов».

Киберугрозы

1. APT-группы — длительные, целевые атаки.
2. Рансомware — шифровальщики.
3. Криптоджекинг, скрытый майнинг.
4. Инсайдеры — злонамеренные или случайные действия сотрудников.

Физические угрозы

• Несанкционированный доступ к серверным.
• Поддельные ID-карты и проникновение социальной инженерии в офлайн-пространство.
• Скрытые устройства (keylogger-переходники, «жучки»).

Жизненный цикл процесса розыска угрозы

Гипотеза

На основе данных разведки (Intel), логов, инцидентов формулируется тестируемое предположение.
Пример: «Атакующий использует LOLBins для обхода EDR».

Сбор и нормализация данных

• Логи EDR, AV, VPN, почтовых шлюзов.
• NetFlow, DNS, DHCP.
• Артефакты ОС (Prefetch, ShimCache, AmCache, SRUM).

Аналитика и кластеризация

Используются SIEM-запросы, Sigma-правила, YARA, Jupyter-ноутбуки, Zeek.

Верификация и реагирование

Если гипотеза подтверждается, команда устраняет уязвимость, блокирует доступ,
обновляет детекции и закрывает пару «инцидент-контрмеры».

Инструменты и технологии для розыска угрозы

Создание команды Threat Hunting: роли и навыки

• Threat Hunter — формулирует гипотезы, пишет детекции, deep-dive анализ.
• Threat Intelligence Analyst — следит за разведданными MITRE ATT&CK, ISAC, dark-web.
• DFIR Specialist, проводит форамзацию, выгружает артефакты, даёт показания в суде.
• Red Teamer — имитирует TTP adversary, чтобы проверить гипотезы hunters.

Фреймворки и методологии

MITRE ATT&CK

Карта тактик и техник. Используется для привязки гипотез к конкретным TTP: T1055 Process Injection, T1078 Valid Accounts.

Diamond Model

Четыре вершины: Adversary, Capability, Infrastructure, Victim.
Позволяет строить «линию следования» (line of attack).

Pyramid of Pain

Чем выше уровень детекции (TTP > Hash > IP), тем больнее атакующему при обнаружении.

Ключевые метрики успешности процесса

• MTTD (Mean Time To Detect) — среднее время обнаружения.
• MTTR (Mean Time To Respond) — среднее время реагирования.
• False Positive Ratio — доля ложных срабатываний.
• Threat Coverage — процент MITRE ATT&CK техник, покрытых детекциями.

Кейсы из практики

Кейс 1: «Скрытый SMB-псевдосервер»

Гипотеза: внутри сети работает туннель через SMB (Port 445).
Действия: Zeek выявил неизвестные NetBIOS-имена. Osquery нашёл процесс System.exe в необычном каталоге.
Результат: обнаружен Cobalt Strike SMB-beacon, вычищен, добавлена Sigma-руля smb_beacon_non_system_exe.yml.

Кейс 2: «Облачный инсайдер»

Гипотеза: экс-сотрудник сохранил IAM-токен.
Действия: CloudTrail показал вход из домашнего IP через старый ключ. Sentinel playbook автоматически отозвал токен.
Результат: инцидент закрыт за 12 минут.

Регуляторика и правовые аспекты в РФ

ФЗ-152 «О персональных данных» требует логирования доступа и уведомления Роскомнадзора при утечке ПДн.
ФЗ-187 «Об информации» — обязанность операторов критической инфраструктуры сообщать в ФСТЭК о кибератаках в течение 24 часов.
При сборе логов необходимо соблюдать локализацию ПДн: хранить в РФ, шифровать, обеспечивать контроль доступа.

Практические советы по запуску процесса в вашей организации

Начните с «Quick Wins»

Выберите 5–7 самых дорогостоящих активов и составьте для них карту угроз (Threat Model).
Сфокусируйте первые гипотезы на них.

Настройте «SOC Visibility Triad»

• EDR на всех конечных точках.
• Network monitoring (Zeek или Suricata).
• Centralized logging (SIEM).

Внедрите индикаторы компрометации (IoC) и индикаторы атаки (IoA)

IoC — это «то, что уже случилось» (хэш, IP).
IoA, это «то, что происходит сейчас» (поведение).

Автоматизируйте рутину

Используйте SOAR-платформы (Phantom, Demisto, Shuffle) для автоматического обогащения IoC, блокировки IP, открытия тикетов.

1. Определите ценные активы и Threat Model.
2. Разверните EDR + SIEM + Network Monitoring.
3. Сформулируйте первые 3 гипотезы на неделю.
4. Назначьте ответственного Threat Hunter.
5. Подключите Threat Intel feeds (MISP, OTX).
6. Настройте метрики: MTTD, MTTR, FP-ratio.
7. Регулярно проводите «Purple Team» тесты.

Главное: розыск угрозы — это не «разовая акция», а непрерывный цикл улучшения детекции.
Начните маленькими шагами, но делайте их регулярно.