Threat hunting : la détection proactive au-delà des alertes automatisées

Le centre opérationnel de sécurité disposait d'outils de détection à l'état de l'art, et pourtant les attaquants étaient présents dans le réseau depuis 147 jours. Aucune alerte n'avait été levée. Aucune anomalie remontée. L'intrusion n'a été découverte que lorsqu'un threat hunter, en creusant une intuition sur des schémas DNS inhabituels, a remonté le trafic jusqu'à un serveur de commande et contrôle. Les outils automatisés sont indispensables, mais ils ne peuvent pas tout attraper. C'est précisément là qu'intervient le threat hunting.

Qu'est-ce que le threat hunting ?

Le threat hunting est la recherche proactive, pilotée par l'humain, de menaces qui ont échappé aux contrôles de sécurité en place. Contrairement aux opérations de sécurité réactives qui répondent à des alertes, le threat hunting part du principe que les adversaires sont déjà présents et cherche à les débusquer.

Threat hunting et sécurité traditionnelle

| Sécurité traditionnelle | Threat hunting | | --------------------------------- | ------------------------------ | | Pilotée par les alertes | Pilotée par les hypothèses | | Réactive | Proactive | | Détection automatisée | Analyse humaine | | Schémas de menaces connus | Menaces inconnues | | Attend les indicateurs | Recherche les indicateurs |

Pourquoi le threat hunting est déterminant

Les outils automatisés ont leurs limites :

• Attaques zero-day : les nouvelles techniques n'ont pas de signature.
• Attaques living-off-the-land : des outils légitimes détournés à des fins malveillantes échappent à la détection.
• Adversaires sophistiqués : les attaquants avancés cherchent spécifiquement à éviter la détection.
• Fatigue des alertes : submergées de faux positifs, les équipes SOC passent à côté des menaces réelles.
• Temps de présence : les attaquants restent indétectés pendant 197 jours en moyenne.

Le threat hunting comble ces lacunes par l'intuition humaine et les compétences d'investigation.

Le processus de threat hunting

1. Formulation d'une hypothèse

Toute chasse commence par une hypothèse sur des menaces potentielles :

• Pilotée par le renseignement : fondée sur des rapports de threat intelligence, des vulnérabilités ou des tendances sectorielles.
• Conscience de la situation : issue de la compréhension des risques propres à votre environnement.
• Fondée sur l'anomalie : partant d'observations inhabituelles qui méritent investigation.
• Fondée sur les TTP : centrée sur des tactiques, techniques et procédures précises.

Exemples d'hypothèses :

• « Des attaquants utilisent peut-être PowerShell pour se déplacer latéralement. »
• « Des identifiants compromis lors de la récente fuite dans notre secteur pourraient être utilisés contre nous. »
• « Les systèmes de notre nouvelle acquisition contiennent peut-être des menaces préexistantes. »

2. Investigation

Menez la chasse avec les données et les outils disponibles :

• Analyse des journaux : rechercher des indicateurs dans les données du SIEM.
• Forensique des endpoints : examiner les systèmes à la recherche d'artefacts.
• Analyse du trafic réseau : passer en revue les captures de paquets et les données de flux.
• Analyse mémoire : investiguer les processus en cours et le code injecté.

3. Découverte et réponse

Lorsque des menaces sont trouvées :

• Documenter les constats : consigner les indicateurs et les preuves.
• Contenir les menaces : isoler les systèmes compromis.
• Éradiquer les attaquants : supprimer toute présence malveillante.
• Rétablissement : restaurer les systèmes dans un état sain connu.

4. Boucle de rétroaction

Améliorez vos défenses à partir des résultats de la chasse :

• Créer des détections : construire des alertes pour les techniques découvertes.
• Mettre à jour les signatures : ajouter les nouveaux indicateurs aux outils de détection.
• Affiner les processus : améliorer les méthodologies de chasse.
• Partager le renseignement : informer les organisations pairs.

Les sources de données essentielles à la chasse

Données endpoint

• Journaux d'exécution des processus : quels programmes se sont exécutés, et quand.
• Arguments de ligne de commande : paramètres passés aux exécutables.
• Modifications du système de fichiers : fichiers créés, modifiés ou supprimés.
• Modifications de la base de registre : changements de configuration sous Windows.
• Connexions réseau : communications sortantes depuis les endpoints.

Données réseau

• Requêtes DNS : résolutions de domaines pouvant signaler un C2.
• Journaux de proxy : destinations et schémas du trafic web.
• Données NetFlow : métadonnées et volumes de connexion.
• Captures de paquets : analyse complète du trafic lorsque nécessaire.
• Journaux de pare-feu : connexions autorisées et bloquées.

Données d'authentification

• Événements de connexion : authentifications réussies et échouées.
• Usage des privilèges : actions et élévations administratives.
• Activité des comptes de service : comportement des comptes non humains.
• Événements MFA : schémas d'authentification à second facteur.

Techniques de chasse

Stack counting

Identifier les anomalies en comptant les occurrences :

• Repérer le processus rare parmi des milliers de processus courants.
• Détecter des relations parent-enfant inhabituelles entre processus.
• Identifier les destinations réseau aberrantes.
• Repérer les chaînes user-agent peu communes.

Analyse de fréquence

Examiner les schémas dans le temps :

• Détection de beaconing par la régularité des intervalles de communication.
• Anomalies horaires de connexion en dehors des heures ouvrées.
• Schémas de tâches planifiées correspondant à des comportements de malware.
• Schémas de transfert de données évoquant une exfiltration.

Clustering

Regrouper les éléments similaires pour faire ressortir les valeurs aberrantes :

• Systèmes dont la configuration logicielle est inhabituelle.
• Utilisateurs aux schémas d'accès atypiques.
• Trafic réseau vers des destinations peu communes.
• Endpoints présentant des arbres de processus anormaux.

Chasse fondée sur les TTP

Rechercher des techniques adverses précises :

• Vol d'identifiants (credential dumping) : Mimikatz, accès à LSASS, exports de registre.
• Déplacement latéral : PsExec, WMI, services distants.
• Persistance : tâches planifiées, clés de registre Run, services.
• Contournement des défenses : effacement des journaux, timestomping, injection de processus.

Comment isMalicious peut vous aider

isMalicious enrichit le threat hunting avec du renseignement externe :

• Réputation d'IP : évaluer rapidement, en pleine chasse, si les IP de destination sont connues comme malveillantes.
• Renseignement sur les domaines : confronter les domaines aux bases de menaces pour identifier une infrastructure de C2.
• Enrichissement d'indicateurs : ajouter du contexte aux IOC découverts grâce aux données de réputation.
• Intégration API : automatiser les recherches au fil des workflows de chasse.
• Historique : savoir à partir de quand un indicateur a été vu comme malveillant.

Constituer une équipe de threat hunting

Compétences requises

Les threat hunters efficaces réunissent :

• Profondeur technique : compréhension des systèmes, des réseaux et des attaques.
• Pensée analytique : capacité à formuler et tester des hypothèses.
• Curiosité : envie de comprendre les anomalies et de creuser plus loin.
• Maîtrise des outils : aisance avec les SIEM, EDR et outils d'analyse.
• Connaissance des menaces : compréhension des comportements adverses et des TTP.

Structure de l'équipe

Plusieurs façons d'allouer les ressources de threat hunting :

• Équipe dédiée : des hunters à temps plein, focalisés sur la détection proactive.
• Modèle rotatif : les analystes SOC assurent la chasse à tour de rôle.
• Approche hybride : un noyau de hunters appuyé par des analystes en rotation.
• Chasse externalisée : services de détection et réponse managés (MDR).

Mesurer le succès

Suivez l'efficacité du programme de chasse :

• Chasses menées : volume d'investigations proactives.
• Menaces découvertes : détections hors du périmètre des alertes automatisées.
• Délai moyen de détection : rapidité d'identification des menaces.
• Améliorations de détection : nouvelles alertes créées à partir des chasses.
• Angles morts identifiés : gains de visibilité obtenus.

Créer un programme de chasse

Commencer petit

Démarrez sur un périmètre maîtrisable :

1. Cibler les zones à haut risque : systèmes critiques et données sensibles.
2. Exploiter l'existant : utiliser les capacités du SIEM et de l'EDR.
3. Mener des chasses périodiques : activités planifiées de façon hebdomadaire ou mensuelle.
4. Tout documenter : construire des playbooks à partir des chasses fructueuses.

Monter en puissance progressivement

Élargissez à mesure que les capacités mûrissent :

1. Augmenter la fréquence : des activités de chasse plus régulières.
2. Élargir le périmètre : couvrir davantage de systèmes et de sources de données.
3. Ajouter de l'automatisation : scripter les tâches de chasse répétitives.
4. Intégrer le renseignement : incorporer des flux de threat intelligence externes.

Faire mûrir le programme

Visez des capacités supplémentaires :

1. Chasse continue : détection proactive en permanence.
2. Outillage sur mesure : plateformes de chasse conçues pour l'usage.
3. Production de threat intelligence : générer du renseignement original.
4. Contribution à la communauté : partager ses constats avec ses pairs.

Scénarios de chasse courants

Vol d'identifiants

Chassez l'usage d'identifiants dérobés :

• Voyage impossible : un même compte se connecte depuis des lieux très éloignés.
• Accès hors horaires : activité en dehors des rythmes de travail habituels.
• Nouveaux schémas d'accès : des comptes qui accèdent à des systèmes inhabituels.
• Pics d'authentifications échouées : tentatives de password spraying.

Persistance de malware

Recherchez les points d'ancrage établis :

• Tâches planifiées ou services inhabituels.
• Clés de registre Run suspectes.
• Abonnements à des événements WMI.
• Dossiers de démarrage modifiés.

Exfiltration de données

Détectez les vols de données potentiels :

• Transferts sortants volumineux vers des destinations inhabituelles.
• Chiffrement de fichiers avant transfert.
• Protocoles ou ports peu courants pour le transfert de données.
• Envois vers du stockage cloud depuis des systèmes inattendus.

Gardez une longueur d'avance sur les attaquants

Les outils de sécurité automatisés sont nécessaires mais insuffisants face aux menaces sophistiquées. Le threat hunting apporte la capacité de détection proactive qui rattrape ce que l'automatisation laisse passer. En combinant des hunters compétents, des données de qualité et la threat intelligence d'isMalicious, les organisations peuvent réduire drastiquement le temps de présence des attaquants et limiter l'impact des compromissions.

Commencez à chasser dès aujourd'hui. Formulez des hypothèses sur les menaces présentes dans votre environnement, investiguez méthodiquement et construisez des détections à partir de vos découvertes. Les menaces que vous débusquez de façon proactive sont celles qui ne feront pas les gros titres de demain.