Threat Hunting – Săn tìm những mối đe dọa chưa được biết đến

[dangquangminh]

Hình trên nhấn mạnh một tư duy quan trọng của Threat Hunting: Security Team không chỉ tìm những IOC đã biết, mà còn chủ động tìm “unknown unknowns” – những cuộc tấn công mà chúng ta chưa có signature, IOC hay alert rõ ràng.

Để làm được điều đó, yếu tố quan trọng nhất là Visibility, và nền tảng của visibility chính là Log Sources. IOC Matching khác Threat Hunting như thế nào?


IOC Matching tìm những thứ chúng ta đã biết là xấu, chẳng hạn:

• malicious IP/domain;
• malware hash;
• URL độc hại;
• known C2 infrastructure.

Có thể hiểu:

IOC Matching = Tôi biết mình đang tìm cái gì.

Threat Hunting khó hơn. Analyst bắt đầu từ một giả thuyết:

“Có khả năng attacker đã compromise một endpoint nhưng EDR chưa tạo alert.”

Sau đó hunter truy vấn nhiều nguồn telemetry để tìm những hành vi bất thường như lateral movement, persistence, credential abuse, reconnaissance hay C2 communication.

Threat Hunting = Tôi chưa biết chính xác attacker ở đâu, nhưng tôi biết những dấu vết hành vi cần tìm.

Log nào có giá trị nhất?


Hình xếp các nguồn log theo mức ưu tiên và mục đích sử dụng. Đáng chú ý, Windows & Sysmon được đánh giá rất cao cho Threat Hunting.

Điều này hợp lý vì endpoint telemetry có thể cho biết:

Process nào chạy → process cha là gì → command line nào được thực thi → network connection nào được tạo → user nào thực hiện.

Ví dụ hunter phát hiện:

WINWORD.EXE → powershell.exe → network connection → suspicious IP

Một event riêng lẻ có thể chưa đủ nguy hiểm, nhưng khi correlation chúng lại, chúng ta bắt đầu nhìn thấy attack chain. DNS cũng là nguồn dữ liệu rất giá trị


DNS tạo volume log lớn nhưng đặc biệt hữu ích khi hunting.

Malware và C2 thường cần DNS để tìm infrastructure của attacker. Hunter có thể tìm:

• domain hiếm gặp;
• domain mới xuất hiện;
• lượng DNS query bất thường;
• suspicious subdomain pattern;
• dấu hiệu DNS tunneling.

Trong khi đó NIDS/NSM như Suricata, Zeek hoặc các giải pháp NDR giúp quan sát hành vi trên network, còn Proxy logs cung cấp visibility tốt vào web traffic. Không có một loại log nào đủ


Đây là thông điệp quan trọng nhất của hình.

Antivirus có thể phát hiện malware nhưng không cho chúng ta toàn bộ network context. Firewall nhìn thấy connection nhưng thường không biết process nào trên endpoint tạo connection đó. DNS thấy domain query nhưng không nhất thiết biết hành vi người dùng phía sau.

Do đó SOC cần correlation:

Endpoint + Identity + DNS + Proxy + Firewall + Network Telemetry

Ví dụ:

Sysmon phát hiện PowerShell đáng ngờ
→ DNS thấy truy vấn domain bất thường
→ Proxy/NDR thấy kết nối ra Internet
→ Firewall xác nhận session
→ SIEM/XDR correlation các sự kiện
→ Analyst phát hiện C2 communication. Threat Hunting nằm ở đâu trong Detection?


Có thể mở rộng chuỗi chúng ta vừa thảo luận:

Telemetry → Visibility → Detection → Alert → Response

Nhưng Threat Hunting bổ sung một nhánh rất quan trọng:

Telemetry → Visibility → Hunting → New Detection

Hunter tìm ra một hành vi tấn công trước đây chưa được phát hiện. Sau khi hiểu hành vi đó, Security Team có thể tạo Sigma rule, SIEM correlation rule, EDR/NDR detection hoặc analytics model.

Như vậy, Threat Hunting không chỉ tìm attacker.

Một Threat Hunting program tốt phải biến những gì hunter học được thành detection mới, để lần sau hệ thống có thể tự động phát hiện và cảnh báo.

Đó chính là quá trình chuyển từ “chúng ta phải chủ động đi tìm attacker” sang “hệ thống đã biết cách nhận ra attacker.”