Was ist der Unterschied zwischen Hunting auf Indikatoren und Hunting auf Verhalten?

Indikatoren sind Artefakte im Besitz des Angreifers (Hashes, Adressen, Domains), die für ihn billig zu ändern sind. Verhalten sind die Techniken, auf die er angewiesen ist, und die sind teuer zu ändern. Indikator-Matching ist schnell und präzise, verfällt aber rasch. Behavioral Hunting ist lauter und langsamer, überlebt aber den Wechsel der Infrastruktur. Fahr beides, wobei Indikatoren sofortiges Blocken und rückwirkende Suchen treiben und Verhalten die dauerhafte Detection Coverage.

Indikatoren sind die Dinge, die ein Angreifer an einem Nachmittag ändern kann: ein Hash, eine Adresse, eine Domain. Verhalten ist, wie er operiert, und das zu ändern heißt umrüsten. Ich nutze sie also für verschiedene Aufgaben. Wenn Threat Intel Indikatoren liefert, fahre ich sie als rückwirkende Suche über neunzig Tage und schiebe Blocks raus, denn das ist billig und erwischt gelegentlich etwas Schlafendes. Aber ich zähle das nicht als Detection Coverage, denn derselbe Akteur hat nächste Woche die Infrastruktur gewechselt. Behavioral Hunting ist, wo die dauerhaften Gewinne liegen: mit einer Hypothese starten, etwa ein Angreifer, der eine signierte Binary zur Ausführung über Umwege nutzt, und dann die Eltern-Kind-Beziehungen jagen, die das zeigen würden. Es ist langsamer und produziert mehr zum Durchsieben, ich timeboxe Hunts also und schreibe auch negative Ergebnisse auf, denn zu wissen, dass man geschaut hat, zählt. Das klarste Beispiel, das ich hatte: eine Indikatorliste, die nichts traf, während ein Behavioral Hunt auf Service Creation aus einem nicht administrativen Prozess denselben Akteur auf zwei Hosts fand.