Définition
Le threat hunting est la recherche proactive, par un analyste, de traces d'attaquants déjà présents dans le système d'information mais passés sous le radar des outils automatiques. Partant d'une hypothèse (« et si un attaquant utilisait tel outil d'administration légitime ? »), il fouille les journaux et les terminaux pour la confirmer ou l'écarter. C'est la différence entre attendre l'alarme et faire une ronde.
Dans la pratique
Cette activité demande des analystes expérimentés, qui connaissent les techniques d'attaque décrites dans MITRE ATT&CK et savent interroger un SIEM ou un EDR en profondeur. Elle s'ajoute à un SOC déjà fonctionnel et constitue une mission typique pour un profil senior en renfort.
Termes liés
Définition rédigée par L'équipe Top Profil. Glossaire mis à jour le . Tous les termes du glossaire.