Threat Hunting
ב-2020, אחד ממתקפות הסייבר המתוחכמות ביותר בהיסטוריה התרחשה מתחת לאף של כל הגורמים האמורים להגן עלינו. קבוצת תקיפה רוסית - APT29, המוכרת בשם Cozy Bear - חדרה ל-SolarWinds ושתלה backdoor בעדכון תוכנה לגיטימי ל-Orion Platform. 18,000 ארגונים התקינו את העדכון. Microsoft, משרד האוצר האמריקאי, ה-NSA, ו-CISA עצמה - הגוף שאחראי על הגנת הסייבר הממשלתית בארה"ב - כולם נפגעו.
התוקפים שהו בתוך הרשתות האלה במשך 9 חודשים לפני שמישהו שם לב.
Mandiant M-Trends 2023 - global median dwell time (days)
SIEMs רצו. Alerts עלו. ניטור היה פעיל. אבל אף אחד לא חיבר את הנקודות - כי אף אחד לא חיפש באופן אקטיבי. ה-SolarWinds attack הוא ה-case study המובהק ביותר למה Threat Hunting הוא לא luxury - הוא necessity.
Threat Hunting הוא הפרקטיקה של הנחת הבסיס שכבר פוצחתם - ואז לצאת ולמצוא את מה שהכלים האוטומטיים שלכם פספסו.