Threat hunting bez kompromitēšanas indikatoriem: kā meklēt uzbrucēju uzvedību, nevis tikai zināmas IP adreses?

Organizācijas drošības sistēma neatrod nevienu sakritību ar zināmām ļaunprātīgām IP adresēm. Nav konstatētas arī aizdomīgas failu kontrolsummas, un jaunākie kompromitēšanas indikatoru saraksti neliecina par acīmredzamu uzbrukumu. Vai tas nozīmē, ka uzņēmuma infrastruktūrā nav uzbrucēja? Ne obligāti. Zināmi kompromitēšanas indikatori jeb IOC apraksta konkrētus novērojumus. Tie var būt noderīgi incidentu izmeklēšanā un ātrai noteiktu apdraudējumu meklēšanai. Taču uzbrucēja darbība ne vienmēr izmanto jau zināmu infrastruktūru vai ļaunprātīgu failu. Dažkārt uzbrukuma procesā tiek izmantoti arī parasti administratīvie līdzekļi un autentiski konti, kuru darbība neatšķiras pēc vienas vienkāršas tehniskas pazīmes.

Šādā situācijā jāmeklē nevis tikai zināms objekts, bet arī aizdomīga notikumu secība, neatbilstoša darbības vieta, neparasts pilnvaru izmantojums vai cits novērojams process. Tā ir viena no threat hunting jeb mērķtiecīgas apdraudējumu meklēšanas pamatidejām. MITRE Cyber Analytics Repository (CAR) jau ilgstoši piedāvā pieeju, kur analītikas sākumpunkts ir hipotēze par uzbrucēja uzvedību. Tiek noteikti nepieciešamie novērojumi, to iegūšanas avoti un kontroles testi. S01 Savukārt MITRE ATT&CK jaunākā detektēšanas arhitektūra ļauj precīzāk sasaistīt uzbrucēju paņēmienus ar Detection Strategies, konkrētu platformu Analytics un nepieciešamajām Data Components. S02

Tomēr uzvedības meklēšana nav burvju metode, kas automātiski atklāj jebkuru kompromitētu sistēmu. Tā ir izmeklēšanas disciplīna, kuras kvalitāti nosaka hipotēze, datu pārklājums, analīzes metodoloģija un secinājumu pārbaudāmība. Šajā rakstā piedāvāju praktisku modeli, kā šādu disciplīnu veidot organizācijā, kā interpretēt negatīvos rezultātus un kā threat hunting darbu pārvērst ilgtermiņā izmantojamās detektēšanas spējās.

Drošības operāciju centrs ikdienā var saņemt brīdinājumus no SIEM, EDR, mākoņpakalpojumu uzraudzības vai citām sistēmām. Analītiķis tos izskata, novērtē kontekstu un lemj, vai nepieciešama turpmāka izmeklēšana. Šādā modelī darbību parasti ierosina jau definēts signāls. Threat hunting uzdevums ir atšķirīgs. Pētnieks sāk ar jautājumu vai hipotēzi, kuru esošā detektēšanas sistēma vēl nav pilnībā atbildējusi. Viņš mērķtiecīgi analizē datus, lai pārbaudītu, vai noteikta uzvedība ir notikusi, vai tā ir iespējama un vai esošās kontroles to vispār spēj atklāt.

Tas var nozīmēt meklēt pazīmes, kurām vēl nav automatizēta noteikuma. Tas var arī nozīmēt pārbaudīt, vai zināmais detektēšanas noteikums strādā pietiekami uzticami. Tādēļ threat hunting nav obligāti jābeidzas ar atklātu incidentu. Kvalitatīvas pārbaudes rezultāts var būt secinājums, ka uzvedība nav novērota pietiekami pilnīgos datos. Tikpat vērtīgs var būt secinājums, ka vajadzīgās telemetrijas nav un organizācijas detektēšanas pārklājums ir nepietiekams. Ja šos divus iznākumus sajauc, rodas kļūdaina pārliecība par drošību.

Threat hunting nedrīkst kļūt par darbību, kurā analītiķis vienkārši izpilda vairākus gatavus vaicājumus un atzīmē uzdevumu kā pabeigtu.

IOC var palīdzēt atklāt zināmus uzbrukuma artefaktus. Piemēram, noteiktu domēnu, ar ļaunprātīgu programmatūru saistītu failu vai iepriekš dokumentētu tīkla infrastruktūru. Šāda informācija ir noderīga, jo to salīdzinoši viegli strukturēt un izmantot automatizācijā. Taču tai ir būtiski ierobežojumi. IP adrese var tikt mainīta. Domēns var būt īslaicīgs. Faila kontrolsumma mainās, ja mainās faila saturs. Savukārt leģitīmu rīku izmantošana pati par sevi var neradīt nevienu zināma ļaunprātīga faila pazīmi. Turklāt atsevišķs IOC var būt saistīts ar koplietojamu infrastruktūru, kur kļūdaina interpretācija rada nepamatotus aizdomu secinājumus.

No tā neizriet, ka IOC ir bezvērtīgi. Tie paliek svarīgi incidentu korelācijā, sākotnējā triāžā un zināmu apdraudējumu ierobežošanā. Taču uzvedībā balstīta pieeja palīdz pārbaudīt darbības, kuras iespējams novērot neatkarīgi no konkrētās izmantotās infrastruktūras. Piemēram, organizācijai daudz svarīgāk var būt konstatēt neatļautu piekļuves tiesību maiņu vai sensitīvu datu masveida nolasīšanu, nevis tikai meklēt zināmu ārēju adresi. Galvenais nav atteikties no indikatoriem. Galvenais ir nepadarīt tos par vienīgo uzticamo pierādījumu kategoriju.

ATT&CK ietvarā uzbrucēju darbību iespējams aprakstīt ar taktikām un tehnikām, kas ļauj analizēt uzvedību neatkarīgi no konkrētas ļaunprātīgās programmatūras nosaukuma. Piemēram, konta manipulācija, neparasta piekļuve datiem vai noteiktu sistēmas procesu izpildes modeļu izmantošana var būt saistīta ar dažādām uzbrukuma tehnikām. Tomēr viena ATT&CK tehnika nav sinonīms konkrētam incidentam. Daudzas tehniski līdzīgas darbības notiek arī pilnīgi likumīgas administrēšanas procesā. Administratoram var būt nepieciešams izveidot jaunu pakalpojuma kontu, mainīt piekļuves tiesības vai veikt lielu datu eksportu.

Tādēļ threat hunting jāanalizē konteksts: kura identitāte izpildīja darbību, vai tā atbilda atļautajai funkcijai, kurā laikā un sistēmā tā notika un vai pastāv neatkarīgs biznesa vai tehnisks pamatojums. Uzvedības noteikšana tādējādi nav tikai noteiktu komandu nosaukumu meklēšana. Vērtīgākās hipotēzes parasti sasaista vairākas pazīmes un paredz arī alternatīvus, leģitīmus skaidrojumus.

Labs hunting jautājums nav “vai mūsu sistēmā ir hakeri?”. Šādu jautājumu nevar pietiekami konkrēti pārbaudīt, jo nav definēts, ko tieši meklēt, kādi dati nepieciešami un kas būtu uzskatāms par pierādījumu. Labāka hipotēze formulē konkrētu novērojamu uzvedību. Piemēram: “Vai pēdējo trīsdesmit dienu laikā kādā privileģētā kontā notikušas piekļuves tiesību izmaiņas, kuras nav sasaistītas ar apstiprinātu izmaiņu procesu?” Šeit ir definēta uzvedība, laika periods un iespējamais neatbilstības kritērijs. Nākamais solis ir identificēt vajadzīgos datus — identitāšu pārvaldības notikumus, autorizācijas izmaiņu žurnālus un apstiprināto izmaiņu ierakstus.

Pēc tam jānosaka, ko secināsim, ja dati ir nepilnīgi, ja tiek atrasti neatbilstoši notikumi vai ja visi novērotie notikumi izrādās pamatoti. Bez šādas iepriekš noteiktas interpretācijas hunting var pārvērsties par nepārtrauktu aizdomīgu notikumu meklēšanu bez skaidra noslēguma. MITRE CAR metodoloģija sasaista hipotēzi ar vajadzīgajiem datiem, sensoru un analītikas pārbaudi. S01 Tas ir labs pamats atkārtojamai un pārbaudāmai pieejai.

Piedāvāju deviņu posmu modeli, kuru iespējams izmantot gan nelielā organizācijā, gan lielākā drošības operāciju centrā. Tas ir autora analītisks priekšlikums, nevis oficiāls MITRE vai NIST standarts.

Lielākā nozīme šajā modelī ir piektajam un septītajam posmam. Ja dati ir nepilnīgi, nav iespējams korekti izdarīt spēcīgu negatīvu secinājumu. Savukārt, ja atsevišķs anomāls notikums nav salīdzināts ar citiem iespējamiem skaidrojumiem, pastāv risks par incidentu kļūdaini pasludināt parastu darba procesu. Tāpēc hunting disciplīna prasa gan tehnisku redzamību, gan izmeklēšanas loģiku.

Telemetrija nav tikai žurnālu daudzums. Lai pārbaudītu hipotēzi, nepieciešams zināt, kuri aktīvi ir uzraudzīti, kuri notikumu veidi tiek reģistrēti, kādi lauki saglabāti un cik ilgi dati ir pieejami. Nozīmīgs ir arī laiks. Ja dažādās sistēmās notikumu laika atzīmes nav pietiekami sinhronizētas, var būt grūti rekonstruēt darbību secību. Identitātes korelācijā svarīgi zināt, vai kontu, sesiju un resursu identifikatori saglabā stabilu nozīmi starp avotiem. Piemēram, ja hipotēze ir par privilēģiju maiņu, bet organizācija glabā tikai veiksmīgu pierakstīšanos, šie dati nevar pietiekami atbildēt uz jautājumu.

Līdzīgi, ja analizējam sensitīvu datu eksportu, nepieciešama piekļuves vai auditēšanas informācija par pašu datu apstrādes darbību, nevis tikai tīkla savienojuma esamību. Šādos gadījumos negatīvs rezultāts var nozīmēt novērojamības trūkumu. Tāpēc pirms hunting sākšanas jābūt zināmai datu kvalitātes robežai. Bez tās izmeklēšanas secinājums var izskatīties pārliecinošāks, nekā pieļauj reālie pierādījumi.

MITRE ATT&CK v18, kas publicēts 2025. gada 28. oktobrī, ieviesa būtiskas izmaiņas detektēšanas datu modelī. Agrākie Data Sources objekti tika atzīti par novecojušiem. Jaunajā modelī nozīmīga loma ir Detection Strategies, Analytics un Data Components. S02 Detection Strategy palīdz aprakstīt augstāka līmeņa pieeju noteiktas uzbrucēja tehnikas konstatēšanai. Analytics apraksta konkrētākus platformām piemērotus detektēšanas risinājumus. Data Components norāda nepieciešamās novērojamās īpašības. Svarīgi, ka ATT&CK tehnikas sasaiste ar detektēšanas stratēģiju nav pierādījums, ka organizācija šo stratēģiju jau ieviesusi vai validējusi.

Piemēram, MITRE detektēšanas stratēģija DET0059 par datu manipulāciju sasaista neautorizētas datu izmaiņas ar atbilstošiem notikumiem un kontekstu. S03 Taču uzņēmumam joprojām jānoskaidro, vai attiecīgie žurnāli eksistē, vai tajos saglabāti pareizie lauki un vai analītika darbojas konkrētajā vidē. Tāpēc hunting platformai nevajadzētu vienkārši atzīmēt ATT&CK tehniku kā “pārklātu”, ja nav atbilstošu pārbaudes pierādījumu.

Uzvedībā balstīta meklēšana var aptvert dažādas organizācijas vides. Identitātes un privileģētās piekļuves. Pārbaudīt, vai notikušas privileģētu kontu tiesību izmaiņas ārpus apstiprinātā pārvaldības procesa. Šajā scenārijā nozīmīga ir saikne starp identitātes notikumu, izmaiņas pieprasījumu un faktisko tiesību stāvokli. Mākoņpakalpojumu konti. Analizēt neparastu administratīvo izmaiņu secību un jaunu piekļuves atslēgu izveidi, salīdzinot ar uzņēmuma pieņemtajiem pakalpojumu kontu pārvaldības noteikumiem. Sensitīvu datu piekļuve. Pārbaudīt, vai noteiktos laikos notikusi neparasta datu nolasīšana vai eksports, kuru nevar izskaidrot ar apstiprinātu biznesa procesu.

Kritisko konfigurāciju izmaiņas. Salīdzināt sistēmu drošības politikas izmaiņas ar autorizētu izmaiņu pārvaldības ierakstiem. Ilgstošas sesijas. Vērtēt, vai noteiktām privileģētām identitātēm ir neparasti aktīvas sesijas, kas neatbilst paredzētajam lietojumam. Visos šajos piemēros nepieciešams ievērot vienu principu: anomālija nav automātisks pierādījums ļaunprātībai. Jābūt iespējai rekonstruēt leģitīmus alternatīvus skaidrojumus, piemēram, plānotu uzturēšanu, datu migrāciju vai autorizētu administratīvu darbu.

Viens no sarežģītākajiem threat hunting uzdevumiem ir atšķirt darbības, kuru tehniskais izskats ir līdzīgs. Administrators un uzbrucējs var izmantot vienus un tos pašus sistēmas rīkus. Datu rezerves kopēšana un neatļauta masveida datu iegūšana var radīt līdzīgus datu plūsmas apjomus. Tāpēc nepieciešams konteksts. Svarīgi ir noteikt, vai darbību veica atbilstoši pilnvarota identitāte, vai tā bija paredzēta izmaiņu plānā, vai izmantotais resurss un laiks atbilda pieņemtajai praksei un vai eksistē neatkarīgi pierādījumi.

Piemēram, ja notikums rāda lielu datu eksportu, jāskatās, kuram lietotājam bija atļauja, kāpēc eksports veikts, kur dati nonāca un vai pastāv attiecīgā procesa dokumentācija. Šādi jautājumi var palīdzēt konstatēt neatbilstību, bet tie nedod pamatu bez papildu pārbaudes piedēvēt cilvēkam ļaunprātīgu nodomu. Svarīgi arī ievērot personas datu aizsardzību un organizācijas uzraudzības noteikumus. Threat hunting nav neierobežota pilnvara analizēt darbinieku personisko informāciju ārpus drošības vajadzībām. Pārbaudes apjoms jāsaista ar pamatotu drošības mērķi un nepieciešamo datu apjomu.

Lai izvairītos no maldinošiem secinājumiem, piedāvāju hunting rezultātus klasificēt četrās kategorijās.

Šis modelis palīdz nošķirt izmeklēšanas rezultātu no datu kvalitātes ierobežojumiem. Atsevišķos gadījumos hunting var atklāt, ka sistēma tehniski nav spējīga noteikt attiecīgo uzvedību. Tas ir būtisks drošības novērojums arī tad, ja netiek identificēts neviens uzbrucējs. Tādēļ darbam jābeidzas ar konkrētu rezultāta klasifikāciju, nevis tikai norādi, ka vaicājums izpildīts.

Lai pārbaudītu hunting procesa noturību, piedāvāju piecus skeptiskus scenārijus. Pirmais — nepilnīga telemetrija. Hipotēzei nepieciešamie notikumi nav savākti no visiem aktīviem. Vai analītiķis šo ierobežojumu konstatē pirms secinājuma formulēšanas? Otrais — normāla darbība izskatās ļaunprātīga. Leģitīms uzturēšanas process izraisa vairākas aizdomīgas pazīmes. Vai hunting metodoloģija paredz pārbaudīt izmaiņu pārvaldības kontekstu? Trešais — viens rīks, dažādi nodomi. To pašu administratīvo līdzekli izmanto gan pilnvarots administrators, gan neatļauts dalībnieks. Vai analīze spēj vērtēt pilnvarojumu, nevis tikai rīka nosaukumu?

Ceturtais — detektēšanas pārklājums ir tikai dokumentācijā. ATT&CK tehnikas sadaļā norādīts pārklājums, bet kontrolēts tests nerada gaidīto novērojumu. Vai organizācija atzīst kontroles nepilnību? Piektais — negatīvs rezultāts tiek pārspīlēts. Nepilnā datu kopā nekas netiek atrasts, un ziņojumā apgalvots, ka sistēma ir droša. Vai metodoloģija pieprasa norādīt novērojamības robežas? Šie scenāriji ir īpaši noderīgi organizācijām, kurās threat hunting ir jauns vai ieviests kā formāla aktivitāte bez precīzas kvalitātes kontroles.

Ja hunting laikā atrasta nozīmīga uzvedības pazīme, nākamais jautājums ir, vai to iespējams pārvērst ilgtermiņā uzturamā detektēšanas kontrolē. Tas nenozīmē, ka jebkurš hunting vaicājums uzreiz jāpārvieto uz produkcijas SIEM. Pirms tam jāpārbauda tā precizitāte, atkarība no datu avotiem, kļūdaino pozitīvo rezultātu iespēja un praktiskā ietekme uz analītiķu slodzi. MITRE CAR piedāvā analītikas aprakstus ar hipotēzēm, datu prasībām un testa pieejām. S01 Šāda struktūra palīdz nodalīt teorētisku meklēšanas ideju no pārbaudāmas kontroles.

Praktiskā procesā var izveidot testu ar skaidri zināmu sagaidāmo iznākumu izolētā vidē. Pēc tam pārbaudīt, vai attiecīgie notikumi nonāk uzraudzības sistēmā un analītika tos pareizi apstrādā. Ja rezultāts neatbilst gaidītajam, jānoskaidro, vai problēma ir sensorā, datu pārraidē, normalizācijā vai pašā noteikuma loģikā. Svarīga ir arī versiju kontrole. Ja tiek mainīta telemetrija vai detektēšanas noteikums, iepriekšējais veiksmīgais tests automātiski neapliecina jaunās versijas kvalitāti. Tādēļ detektēšanas pārklājumam jābūt dokumentētam ar aktuālu, reproducējamu pierādījumu.

Threat hunting veiktspēju var būt vilinoši mērīt pēc izpildīto vaicājumu, analizēto terabaitu vai izveidoto hipotēžu skaita. Taču šie rādītāji galvenokārt raksturo aktivitāti. Daudz vērtīgāk ir noteikt, cik būtisku novērojamības nepilnību identificēts, cik kontroles pārbaudītas, vai atrastās neatļautās darbības bijušas pamatoti dokumentētas un kādi uzlabojumi veikti pēc izmeklēšanas. Piemēram, ja pārbaude atklāj, ka privileģētu piekļuves tiesību maiņas žurnāli netiek savākti, tas var būt nozīmīgāks rezultāts nekā simts neproduktīvu indikatoru meklējumu.

Tāpat jāvērtē, vai uzvedības analītika ir pietiekami precīza. Pārāk plašs noteikums var radīt lielu brīdinājumu skaitu, bet nepietiekamu praktisko vērtību. Efektivitātes mērījumiem jāietver arī negatīvo rezultātu kvalitāte. Organizācijai jāspēj parādīt, kāpēc secinājums “nav novērots” ir ticams konkrētajā pārbaudes tvērumā. Labs hunting process samazina nenoteiktību, nevis tikai palielina analizēto notikumu apjomu.

MI var palīdzēt analizēt lielas notikumu datu kopas, apkopot izmeklēšanas kontekstu, formulēt sākotnējas hipotēzes un piedāvāt iespējamas saites starp novērojumiem. Tas var samazināt manuālā darba apjomu, īpaši situācijās, kur jāapstrādā dažādu formātu žurnāli vai jāizskaidro sarežģīta notikumu secība. Tomēr MI secinājumi var būt kļūdaini. Modelis var nepareizi interpretēt laika atzīmes, izdomāt neesošas attiecības, sajaukt identitātes vai pārvērtēt atsevišķas anomālijas nozīmi. Ja aģents iegūst tiesības automātiski izolēt sistēmas vai mainīt piekļuves politiku, arī kļūdainam secinājumam var būt nopietnas sekas.

Tāpēc MI loma jāsadala analītiskos priekšlikumos un faktiskās rīcības pilnvarās. Drošai integrācijai nepieciešama izsekojama datu izcelsme, kontrolētas rīku piekļuves, pārbaudāma rezultātu ģenerēšana un atbilstoši cilvēka apstiprinājumi augstas ietekmes darbībām. Svarīgi arī nepieļaut, ka ārējs žurnāla teksts vai cits neuzticams saturs kļūst par instrukciju MI aģentam. Threat hunting rezultāta ticamība jānosaka pēc pierādījumiem, nevis pēc tā, cik pārliecinoši MI spēj uzrakstīt secinājumu.

Šī matrica palīdz sasaistīt hunting hipotēzi ar nepieciešamajiem datiem un faktiskās pārbaudes rezultātu.

Katram scenārijam jādefinē konkrēts tvērums, datu saglabāšanas periods, iespējamie alternatīvie skaidrojumi un pieņemšanas kritēriji. Tas padara pārbaudi atkārtojamu un samazina risku, ka rezultāts atkarīgs tikai no viena analītiķa subjektīvas interpretācijas.

Es ieteiktu sākt nevis ar lielu skaitu hunting scenāriju, bet ar nelielu, precīzi definētu hipotēžu kopu, kas attiecas uz kritiskākajiem uzņēmuma riskiem. Svarīgākie praktiskie uzdevumi ir šādi:

1. Identificēt nozīmīgākās sistēmas un privileģētās identitātes.
2. Noteikt uzvedības riskus, kurus esošā detektēšana pārklāj nepietiekami.
3. Formulēt hipotēzes ar skaidriem pierādījumu kritērijiem.
4. Pārbaudīt nepieciešamo žurnālu pieejamību un kvalitāti.
5. Sasaistīt hipotēzes ar aktuālām ATT&CK tehnikām un detektēšanas stratēģijām.
6. Veikt atļautu, kontrolētu analīzi ar reproducējamiem vaicājumiem.
7. Atšķirt aizdomīgus novērojumus no apstiprinātām neatļautām darbībām.
8. Nepietiekamus datus fiksēt kā novērojamības trūkumu.
9. Pārbaudītas analītikas pārvērst versētās detektēšanas kontrolēs.
10. Saglabāt atgriezenisko saiti par kļūdām un nepieciešamajiem uzlabojumiem.

Šādu pieeju var attīstīt pakāpeniski. Galvenais ir saglabāt pierādījumu disciplīnu un skaidri definēt, ko organizācija patiešām spēj novērot.

Meklēšanas hipotēzi nedrīkst aizvērt ar paziņojumu «nekas netika atrasts», ja nav zināms, vai attiecīgie notikumi vispār tiek vākti. Pirms vaicājuma jānosaka nepieciešamā telemetrija, novērošanas periods, pieļaujamie datu zudumi un normālas administrēšanas uzvedības pazīmes. Ja logs aptver tikai daļu meklētā laika vai neietver būtiskus resursus, korekts iznākums ir «nepietiekama redzamība», nevis «apdraudējums nav konstatēts». Izvēlētos vienu pārbaudāmu uzvedības hipotēzi un veidotu divus testus: ar zināmu autorizētu administrēšanas darbību un kontrolētu aizdomīgas uzvedības simulāciju. Mērķis būtu noskaidrot, vai noteikums spēj atšķirt abus scenārijus un vai analītiķis saprot, kur rodas kļūdaini pozitīvi novērojumi. Tikai pēc šādas pārbaudes hunting rezultāts būtu izmantojams pastāvīgai detektēšanas kontrolei. Veikto vaicājumu daudzums neko nesaka par pierādījuma kvalitāti.

Aktuālais MITRE ATT&CK laidiens (2026. gada 13. oktobris)

MITRE 2026. gada 13. oktobrī publicēja ATT&CK v20.0, kas aizstāj iepriekšējo laidienu kā aktuālo katalogu. Tas ir jāatšķir no ATT&CK v18 2025. gada oktobrī ieviestās detektēšanas modeļa pārstrukturēšanas. S12 Threat hunting hipotēze jāglabā ar konkrētu ATT&CK versiju, jo uzvedības taksonomijas izmaiņas var mainīt tehnikas piesaisti detektēšanas stratēģijai. Pārmigrējot uz jaunu laidienu, jāsaglabā vecā hipotēzes nozīme un jānovērtē, vai jaunā klasifikācija prasa citus notikumu datus. Ja dati nav pieejami, tas joprojām ir redzamības ierobežojums.

Threat hunting bez zināmiem kompromitēšanas indikatoriem ir būtisks virziens organizācijām, kuras vēlas uzlabot spēju konstatēt neparastu vai neatļautu uzvedību arī tad, ja uzbrucējs neizmanto iepriekš zināmu infrastruktūru. Tomēr tā kvalitāti nenosaka tikai ATT&CK tehniku skaits, automatizācijas apjoms vai izpildīto vaicājumu daudzums. Izšķiroša ir spēja izveidot pārbaudāmu hipotēzi, nodrošināt atbilstošu telemetriju, izvērtēt alternatīvus skaidrojumus un dokumentēt rezultāta ierobežojumus. MITRE CAR un ATT&CK detektēšanas arhitektūra dod noderīgu pamatu šādas pieejas attīstīšanai. NIST incidentu reaģēšanas vadlīnijas savukārt palīdz iekļaut detektēšanas un izmeklēšanas rezultātus plašākā drošības pārvaldības procesā. [1, 2, 4]

Manuprāt, svarīgākā izmaiņa threat hunting kultūrā ir atteikšanās no priekšstata, ka neveiksmīgs meklējums automātiski nozīmē drošu infrastruktūru. Dažkārt “nekas nav atrasts” ir korekts secinājums konkrētā tvērumā. Citkārt tas nozīmē, ka mums nebija datu, ar kuriem vispār iespējams pārbaudīt apdraudējuma klātbūtni. Šīs atšķirības precīza dokumentēšana ir viens no būtiskākajiem pierādījumos balstītas kiberdrošības priekšnoteikumiem.