indicator पर hunt करने और व्यवहार पर hunt करने में क्या फर्क है?

indicator हमलावर के अपने निशान हैं (hash, address, domain) जिन्हें बदलना उनके लिए सस्ता है; व्यवहार वे technique हैं जिन पर वे निर्भर हैं, जिन्हें बदलना महंगा है। indicator मिलाना तेज और सटीक है पर जल्दी बासी हो जाता है। व्यवहार वाली hunting ज्यादा शोर भरी और धीमी है पर infrastructure बदलने के बाद भी टिकती है। दोनों चलाएं, indicator तुरंत block करने और पीछे की खोज के लिए, और व्यवहार टिकाऊ detection coverage के लिए।

indicator वे चीजें हैं जिन्हें हमलावर एक दोपहर में बदल सकता है: कोई hash, कोई address, कोई domain। व्यवहार वह है कि वे काम कैसे करते हैं, और उसे बदलने का मतलब है पूरा औजार बदलना। इसलिए मैं इन्हें अलग अलग कामों के लिए इस्तेमाल करता हूं। जब threat intel indicator देती है तो मैं उन्हें नब्बे दिन में पीछे की खोज के तौर पर चलाता हूं और block लगाता हूं, क्योंकि वह सस्ता है और कभी कभी कोई सोई हुई चीज पकड़ लेता है। पर मैं उसे detection coverage नहीं गिनता, क्योंकि वही actor अगले हफ्ते तक infrastructure बदल चुका होगा। टिकाऊ जीत व्यवहार वाली hunting में हैं: किसी परिकल्पना से शुरू कीजिए, मान लीजिए कोई हमलावर execution को proxy करने के लिए किसी signed binary का इस्तेमाल कर रहा है, फिर उन parent child रिश्तों की hunt कीजिए जो उसे दिखा देंगे। यह धीमी है और छानने को ज्यादा देती है, इसलिए मैं hunt को समय सीमा में बांधता हूं और नकारात्मक नतीजे भी लिखता हूं, क्योंकि यह जानना कि आपने देख लिया, अपने आप में मायने रखता है। मेरे पास सबसे साफ उदाहरण यह था कि एक indicator सूची से कुछ भी मेल नहीं खाया, जबकि गैर administrative process से service बनने पर की गई व्यवहार वाली hunt ने उसी actor को दो host पर पकड़ लिया।