Quelle est la différence entre chasser sur des indicateurs et chasser sur des comportements ?

Les indicateurs sont des artefacts appartenant à l'attaquant (hachages, adresses, domaines) qu'il lui coûte peu de changer ; les comportements sont les techniques dont il dépend, et celles-là coûtent cher à changer. La comparaison d'indicateurs est rapide et précise mais expire vite. La chasse comportementale est plus bruyante et plus lente mais survit à la rotation d'infrastructure. Faites les deux, les indicateurs servant au blocage immédiat et aux recherches rétrospectives, les comportements à la couverture de détection durable.

Les indicateurs, ce sont les choses qu'un attaquant peut changer en un après-midi : un hachage, une adresse, un domaine. Les comportements, c'est sa façon d'opérer, et les changer veut dire se rééquiper. Donc je les emploie à des tâches différentes. Quand le renseignement livre des indicateurs, je les passe en recherche rétrospective sur quatre-vingt-dix jours et je pousse des blocages, parce que c'est peu coûteux et que ça attrape parfois quelque chose de dormant. Mais je ne compte pas ça comme de la couverture de détection, parce que le même acteur aura fait tourner son infrastructure la semaine suivante. La chasse comportementale, c'est là que sont les gains durables : partir d'une hypothèse, par exemple un attaquant qui utilise un binaire signé pour relayer une exécution, puis chasser les relations parent-enfant qui le montreraient. C'est plus lent et ça produit plus de choses à trier, donc je borne les chasses dans le temps et je rédige aussi les résultats négatifs, parce que savoir que vous avez cherché compte. L'exemple le plus net que j'aie eu, c'est une liste d'indicateurs qui n'a rien matché, alors qu'une chasse comportementale sur la création de service depuis un processus non administratif a trouvé le même acteur sur deux hôtes.