Threat hunting & compromise assessment
Vos outils n’ont rien signalé. Ça ne veut pas dire que personne n’est entré. Je pars à la recherche de l’attaquant que votre détection a manqué, et je transforme chaque constat en détection pour la prochaine fois.
Quand c’est utile
- Après un incident, pour s’assurer que l’attaquant est vraiment parti
- Avant ou après le rachat d’une société et la connexion de son réseau
- Quand une menace visant votre secteur fait l’actualité
- Un doute que vous ne pouvez pas confirmer : une alerte étrange, un trafic inhabituel, un signalement
- Pour obtenir un état des lieux de la sécurité réelle de votre environnement
Ma façon de travailler
- 01
Cadrage et hypothèses
On définit le périmètre et les hypothèses à tester, selon votre environnement et les menaces actuelles.
- 02
Collecte
Depuis votre SIEM et votre EDR, ou avec Velociraptor si vous n’avez pas d’EDR : une collecte légère, en lecture seule.
- 03
Hunting
Rechercher les traces des techniques d’attaque : persistance, mouvement latéral, vol d’identifiants, command and control.
- 04
Escalade si nécessaire
Si un attaquant actif est trouvé, on bascule immédiatement en incident response.
- 05
Rapport et détections
Un rapport de ce qui a été vérifié et trouvé, et de nouvelles règles de détection pour votre SIEM ou votre EDR.
Ce que vous obtenez
- Une réponse claire : ce qui a été vérifié, ce qui a été trouvé, et avec quel niveau de confiance
- Une escalade immédiate si une attaque est en cours
- De nouvelles règles de détection pour vos outils
- Les manques de visibilité à combler
Pourquoi Cyber Horizon
- Une expérience concrète du threat hunting en environnement d’entreprise
- De nouveaux use cases de détection créés à chaque hunt
- GIAC Certified Detection Analyst (GCDA) et Intrusion Analyst (GCIA)
- Les compétences d’incident response disponibles si le hunt trouve quelque chose
Questions fréquentes
Faut-il un EDR ou un SIEM ?
C’est un plus, mais pas une obligation. Sans eux, je déploie temporairement Velociraptor pour collecter ce qui est nécessaire.
Est-ce que ça ralentit nos systèmes ?
Non. La collecte est légère, en lecture seule, et planifiée avec votre équipe IT.
Combien de temps cela prend-il ?
Un compromise assessment prend en général d’une à quelques semaines, selon le nombre de systèmes. Après l’appel de cadrage, vous recevez une proposition.
Et si vous trouvez un attaquant ?
On bascule immédiatement en incident response : d’abord le containment, ensuite l’investigation complète.