La traque des menaces est la recherche proactive, guidée par des hypothèses, de l'activité d'adversaire que les détections existantes n'ont pas captée. Plutôt que d'attendre une alerte, les traqueurs se forgent une idée de la façon dont un attaquant pourrait opérer dans l'environnement, puis parcourent la télémétrie à la recherche de preuves, en supposant qu'un adversaire capable est peut-être déjà présent.
Au sein de la phase de détection, la traque complète la détection automatisée. Les règles et les analytiques couvrent bien les motifs connus, mais elles laissent des lacunes autour des techniques inédites et des comportements subtils. La traque explore délibérément ces lacunes, en mobilisant le jugement humain et la curiosité pour trouver ce que l'automatisation néglige et pour faire émerger l'activité qui se fond dans les opérations normales.
En pratique, une traque commence par une hypothèse ancrée dans le renseignement sur les menaces, les tactiques observées ou la connaissance de l'environnement. Les traqueurs interrogent les données collectées, pivotent entre les hôtes et les identités, et confirment ou rejettent l'hypothèse avec des preuves. Les constats alimentent en retour la détection : une traque réussie devient souvent une nouvelle règle ou une nouvelle analytique, transformant une recherche ponctuelle en une couverture durable. La traque renforce aussi la compréhension qu'ont les analystes de ce à quoi ressemble la normalité, ce qui affûte chaque autre partie de la détection.
Références#
- MITRE ATT&CK, guide de la traque des menaces
- SANS, ressources sur la traque des menaces