Un Threat Hunter est un professionnel de la sécurité défensive qui recherche de manière proactive, au sein des réseaux, des endpoints et des journaux d'une organisation, toute activité malveillante ayant échappé à la détection automatisée. Plutôt que d'attendre qu'une alerte se déclenche, le hunter part du principe qu'un adversaire compétent peut déjà être présent et cherche à confirmer ou à infirmer cette hypothèse. Le rôle repose sur le postulat que les outils basés sur les signatures et les alertes pilotées par des règles ne peuvent pas tout détecter, et que la curiosité humaine, nourrie par la connaissance des méthodes des attaquants, peut mettre au jour des intrusions que les défenses laissent passer. Le threat hunting a son importance dans une carrière en sécurité, car il développe une compréhension analytique approfondie de la manière dont les adversaires opèrent réellement et transforme cette compréhension en améliorations durables de la couverture de détection d'une organisation.
Au quotidien, un Threat Hunter formule des hypothèses et les teste à partir de données. Une hypothèse peut être construite autour d'une technique d'adversaire spécifique, d'un schéma d'authentification suspect ou de l'utilisation anormale d'un outil d'administration légitime. Le hunter interroge ensuite la télémétrie des solutions de détection et de réponse sur les endpoints, les enregistrements de flux réseau, les journaux d'authentification et les pistes d'audit du cloud afin de rechercher des éléments qui étayent ou réfutent l'idée. Le travail alterne entre des hunts structurés, pilotés par des cadres tels que MITRE ATT&CK, et une analyse plus exploratoire déclenchée par de nouveaux renseignements sur les menaces ou par une observation inexpliquée. Lorsqu'un hunt révèle une activité réellement malveillante, le hunter la transmet à la réponse à incident pour le confinement et la remédiation. Tout aussi important, le hunter documente ce qui a été appris afin qu'un hunt réussi devienne une nouvelle règle de détection, comblant ainsi la lacune qui avait permis à l'activité de passer inaperçue.
Le rôle exige un mélange de rigueur analytique et d'une large aisance technique. Les bons hunters comprennent le fonctionnement interne des systèmes d'exploitation, les sources de journalisation courantes, et la façon dont un comportement administratif normal se distingue d'un détournement de ces mêmes outils. Ils sont à l'aise pour écrire des requêtes dans des langages propres à chaque plateforme, pour travailler avec de grands volumes de données et pour raisonner statistiquement sur ce qui est rare, attendu ou anormal dans un environnement donné. La connaissance des tactiques, techniques et procédures des adversaires, généralement structurée par le cadre ATT&CK, donne de la structure à la recherche. Les compétences plus humaines sont tout aussi précieuses : une communication écrite claire, une prise de notes méthodique et l'honnêteté intellectuelle d'abandonner une hypothèse lorsque les données ne la soutiennent pas. Un hunter incapable d'expliquer ses conclusions de manière convaincante aux intervenants et à la direction apporte moins de valeur que l'analyse elle-même ne le laisserait penser.
La plupart des personnes arrivent au threat hunting après avoir construit des bases dans les opérations défensives, et rares sont celles qui commencent directement ici. Un parcours courant mène de la surveillance et du tri des alertes vers le travail d'investigation, où l'analyste acquiert la connaissance de l'environnement et la familiarité avec les outils dont dépend le hunting. L'expérience en detection engineering, en investigation numérique (forensics) ou en renseignement sur les menaces constitue également une voie d'accès naturelle, puisque chacune de ces disciplines alimente les hypothèses que poursuit un hunter. L'évolution dans ce rôle tend à aller vers une plus grande autonomie et une plus grande influence : définir la stratégie d'un programme de hunting, encadrer les analystes plus récents, construire des outils et des contenus de détection réutilisables, et traduire les résultats des hunts en améliorations mesurables de la couverture. Les hunters expérimentés façonnent souvent la manière dont toute une organisation de sécurité priorise ses efforts de détection.
Le threat hunting côtoie plusieurs rôles défensifs voisins et recoupe chacun d'eux à ses frontières. Là où un analyste SOC répond aux alertes au fur et à mesure qu'elles arrivent, le hunter travaille en amont de l'alerte, à la recherche de ce qu'aucune règle n'a encore signalé. Là où un intervenant en réponse à incident pilote le confinement et la restauration une fois qu'une intrusion confirmée est en cours, le hunter met plus souvent l'intrusion au jour en premier lieu, puis soutient la réponse en apportant du contexte. Un analyste de malwares dissèque un artefact malveillant précis pour en comprendre les capacités, tandis que le hunter utilise cette compréhension, conjuguée à un renseignement plus large, pour rechercher ce comportement à travers l'ensemble de l'environnement. En pratique, ces rôles collaborent étroitement, et de nombreux professionnels de la sécurité passent de l'un à l'autre au cours de leur carrière.