שימושים אחרים במונח צייד כוללים חיפוש איומים באמצעות אינדיקטורים חדשים שהושגו. אם פיד מודיעין האיומים מספק כתובת IP חדשה הנחשבת מזיקה, אנליסט יכול לקחת את כתובת ה- IP ולחפש ביומני הרישום כדי למצוא אם המחוון החדש נראה בעבר. מבחינה טכנית זה לא ציד איומים כי אתה משתמש בנתונים ידועים כגון כתובת IP. Microsoft Sentinel מספקת שאילתות צייד כדי להקל על תהליך זה. חיפוש איומים מבוססי ראיות נוספות מתקרית או התראה נוכחית כחלק מתהליך ניתוח אירועים.
צייד יזום
למה לבצע ציד יזום? כשאתה מחפש איומים "שלא זוהו בעבר", החשש הוא שאם תמתין לזיהוי האיום, השפעת הפגיעה עלולה להיות משמעותית יותר. אם אין לנו אינדיקטור ידוע, אז מה אנחנו צדים? אנו צדים על סמך השערה. ההשערה עשויה להתחיל ב"מודיעין איומים מבצעי", ולאחר מכן לפרט את הטקטיקות והטכניקות של התוקפים. השערה יכולה לחפש טכניקה מסוימת, לא מחוון כמו כתובת IP. אם מזוהה פעילות זדונית, ייתכן שגילינו את התוקף מוקדם יותר בתהליך ההתקפה לפני שתהיה לו הזדמנות לחלץ נתונים.
תהליך לציד איומים
ציד איומים צריך להיות תהליך מתמשך. אנו מתחילים בראש המחזור שלנו עם ההשערה שלנו. ההשערה שלנו עוזרת לנו לתכנן מה אנחנו הולכים לצוד, מה שמחייב אותנו להבין איפה אנחנו הולכים לצוד ואיך נעשה את זה. זה אומר שאנחנו צריכים להבין את הנתונים שיש לנו, את הכלים שיש לנו, את המומחיות שיש לנו ואיך לעבוד איתם. מחזור הציד לא נעצר כשאנחנו מבצעים את הציד. ישנם עדיין מספר שלבים שעלינו לבצע לאורך מחזור החיים, כולל תגובה לחריגות. גם אם לא נמצא איום פעיל, יהיו פעילויות לבצע.
משימות שגרתיות צריכות לכלול:
- הגדרת ניטור חדש.
- שיפור יכולות הזיהוי שלנו.
כל מה שנעשה בציד איומים צריך להיות מתועד. תיעוד לציד צריך לכלול:
- מה, איך ולמה
- קלט ופלט
- כיצד לשכפל את הציד
- השלבים הבאים
ניהול שאילתות ציד איומים של Microsoft Sentinel
Microsoft Sentinel מכיל כלי שאילתות רבי-עוצמה שיכולים לעזור לך, כחלק מצוות מרכז תפעול האבטחה , לאתר ולבודד איומי אבטחה ופעילות לא רצויה בסביבה של הארגון.
ציד באמצעות שאילתות מוכללות ותבניות מוכנות
באפשרותך להשתמש בכלי החיפוש והשאילתה ב- Microsoft Sentinel כדי לחפש איומי אבטחה וטקטיקות ברחבי הסביבה של הארגון. שאילתות ציד מאפשרות לך לסנן כמויות גדולות של אירועים ומקורות נתוני אבטחה כדי לזהות איומים פוטנציאליים או לאתר איומים ידועים או צפויים.
דף הציד ב- Microsoft Sentinel כולל שאילתות מוכללות. שאילתות אלה יכולות להנחות את תהליך הציד של הארגון ולעזור לך לחפש את נתיבי הציד המתאימים כדי לחשוף בעיות בסביבה של הארגון. שאילתות ציד יכולות לחשוף בעיות שאינן משמעותיות מספיק בפני עצמן כדי ליצור התראה, אך התרחשו לעתים קרובות מספיק לאורך זמן כדי להצדיק חקירה.
