ساخت برنامه Threat Hunting و سنجش ارزش آن برای SOC

مفاهیم پایه Threat Hunting و جایگاه آن در SOC

Threat Hunting به عنوان یک فرآیند فعال و تکراری، با هدف کشف فعالیت‌های مخرب یا ناهنجار در شبکه و سیستم‌ها تعریف می‌شود که از دید ابزارهای امنیتی خودکار مانند SIEM یا EDR پنهان مانده‌اند. این رویکرد برخلاف پاسخ به حادثه (Incident Response) که واکنشی به یک هشدار یا رویداد قطعی است، ماهیتی پیش‌دستانه دارد و به دنبال یافتن نشانه‌های نفوذ یا فعالیت‌های مشکوک در غیاب هشدارهای صریح است. همچنین با جستجوی سنتی تهدید که عمدتاً مبتنی بر کوئری‌های ایستا و تطبیق الگوهای شناخته‌شده است، تفاوت بنیادین دارد؛ چراکه شکار تهدید بر پایه فرضیه‌سازی، تحلیل رفتار و بررسی عمیق داده‌ها برای کشف ناشناخته‌ها بنا شده است.

در چرخه حیات یک مرکز عملیات امنیتی (SOC)، شکار تهدید به عنوان لایه‌ای مکمل برای ابزارهای تشخیص خودکار عمل می‌کند. در حالی که راهکارهای سنتی بر روی امضای بدافزارها و قوانین از پیش تعریف‌شده تکیه دارند، شکارچیان تهدید با استفاده از چارچوب MITRE ATT&CK به عنوان یک دانش‌نامه جهانی از تاکتیک‌ها و تکنیک‌های دشمن، به دنبال رفتارهای غیرعادی هستند که ممکن است با الگوهای شناخته‌شده همخوانی نداشته باشند. این چارچوب به تحلیلگران امکان می‌دهد تا زنجیره کشتار یک حمله را از مرحله شناسایی (Reconnaissance) تا تأثیر نهایی (Impact) مدل‌سازی کرده و نقاط کوری را که ابزارهای خودکار از آن غافلند، شناسایی کنند.

ارزش شکار تهدید برای SOC فراتر از کشف صرف تهدیدات است. این فرآیند به بهبود مستمر کیفیت داده‌ها و هشدارها کمک می‌کند؛ زیرا فرضیه‌های مطرح‌شده و نتایج حاصل از آن، بازخورد ارزشمندی برای تنظیم دقیق قوانین تشخیص و کاهش هشدارهای مثبت کاذب فراهم می‌آورد. علاوه بر این، شکار تهدید به تیم امنیتی درک عمیق‌تری از محیط عملیاتی و رفتارهای پایه کاربران و سیستم‌ها می‌دهد که این امر در نهایت به ارتقای سطح آمادگی سازمان در برابر حملات پیچیده و هدفمند منجر می‌شود. لازم به ذکر است که این ارزیابی بر اساس اصول ارائه‌شده در MITRE ATT&CK و راهنمای CISA CPG است و هرگونه ادعای کمی یا آماری نیازمند منبع معتبر جداگانه است.

• تفاوت کلیدی شکار تهدید با پاسخ به حادثه در پیش‌دستانه بودن و عدم وابستگی به هشدار اولیه است.
• چارچوب MITRE ATT&CK به عنوان نقشه راهی برای شناسایی تکنیک‌های پنهان دشمن در مراحل مختلف حمله عمل می‌کند.
• شکار تهدید یک فرآیند چرخه‌ای است که شامل فرضیه‌سازی، جمع‌آوری داده، تحلیل و ارائه بازخورد به سیستم‌های تشخیصی می‌شود.

1. تدوین فرضیه بر اساس تکنیک‌های شناخته‌شده در MITRE ATT&CK یا تهدیدات خاص صنعت.
2. جمع‌آوری و آماده‌سازی داده‌های مرتبط از منابع مختلف مانند لاگ‌های Endpoint، ترافیک شبکه و رویدادهای احراز هویت.
3. اجرای تحلیل‌های رفتاری و جستجوی فعال برای یافتن ناهنجاری‌ها یا الگوهای مشکوک.
4. مستندسازی یافته‌ها و ارائه بازخورد برای بهبود قوانین تشخیص و افزایش بلوغ SOC.

منابع داده و تله‌متری مورد نیاز برای Threat Hunting

برای اجرای مؤثر فرایند threat hunting، در دسترس بودن منابع داده‌ای مناسب و باکیفیت، پیش‌شرط اساسی محسوب می‌شود. بدون داده‌های جامع و قابل اعتماد، تیم امنیتی قادر به شناسایی رفتارهای مشکوک و الگوهای پنهان نخواهد بود. در این راستا، شناخت انواع داده‌های مورد نیاز و نحوه نگاشت آن‌ها به تکنیک‌های شناخته‌شده مانند چارچوب MITRE ATT&CK، به تحلیلگران کمک می‌کند تا پوشش مناسبی از سطوح مختلف حمله داشته باشند.

منابع داده را می‌توان به سه دسته اصلی تقسیم کرد: داده‌های نقطه پایانی (Endpoint)، داده‌های شبکه (Network) و داده‌های ابری (Cloud). داده‌های نقطه پایانی شامل لاگ‌های سیستم‌عامل، رویدادهای امنیتی، اجرای فرایندها، دسترسی به فایل‌ها و رجیستری، و فعالیت‌های کاربران است. داده‌های شبکه شامل جریان‌های ترافیک، لاگ‌های پروکسی، سامانه‌های تشخیص نفوذ (IDS/IPS) و سوابق DNS است. داده‌های ابری نیز شامل لاگ‌های مدیریتی، رویدادهای سرویس‌های ابری، و فعالیت‌های API می‌شود. هر یک از این منابع می‌توانند اطلاعات ارزشمندی در مورد مراحل مختلف چرخه حیات حمله فراهم کنند.

چارچوب MITRE ATT&CK به‌عنوان یک دانش‌نامه جهانی از تاکتیک‌ها و تکنیک‌های adversary، دسته‌بندی مشخصی از «منابع داده» (Data Sources) ارائه می‌دهد. این دسته‌بندی به تحلیلگران کمک می‌کند تا بفهمند برای شناسایی هر تکنیک خاص، چه نوع داده‌ای باید جمع‌آوری شود. به عنوان مثال، برای تکنیک‌های مربوط به اجرای فرمان و اسکریپت (مانند T1059)، داده‌های مربوط به فرایندها و خط فرمان حیاتی است. همچنین توصیه‌های CISA در مورد جمع‌آوری داده، بر اهمیت لاگ‌های متمرکز و فعال‌سازی ثبت رویدادهای کلیدی تأکید دارد. این توصیه‌ها معمولاً بر اساس اولویت‌بندی ریسک و قابلیت اجرا ارائه می‌شوند.

برای پوشش کامل تکنیک‌ها، لازم است که منابع داده به‌گونه‌ای پیکربندی شوند که اطلاعات لازم برای هر مرحله از حمله را فراهم کنند. به عنوان مثال، برای تکنیک‌های کشف (Discovery) و حرکت جانبی (Lateral Movement)، داده‌های شبکه و نقطه پایانی باید به‌طور همزمان مورد بررسی قرار گیرند. همچنین، داده‌های ابری برای شناسایی فعالیت‌های غیرمجاز در محیط‌های مجازی‌سازی و سرویس‌های ابری ضروری هستند. نگاشت این داده‌ها به ماتریس ATT&CK می‌تواند به صورت دستی یا با استفاده از ابزارهای خودکار انجام شود و نتیجه آن، یک نقشه پوشش (Coverage Map) خواهد بود که شکاف‌های داده‌ای را نمایان می‌سازد.

• داده‌های نقطه پایانی: شامل لاگ‌های رویداد ویندوز (مانند Security، System، Sysmon)، لاگ‌های لینوکس (مانند auth.log، syslog)، و داده‌های EDR (تشخیص و پاسخ نقطه پایانی).
• داده‌های شبکه: شامل جریان‌های NetFlow، لاگ‌های فایروال، پروکسی، DNS، و داده‌های سامانه‌های IDS/IPS.
• داده‌های ابری: شامل لاگ‌های CloudTrail (برای AWS)، لاگ‌های Activity (برای Azure)، و رویدادهای مدیریتی سرویس‌های ابری.
• نگاشت به MITRE ATT&CK: استفاده از دسته‌بندی Data Sources در ATT&CK برای تعیین اینکه کدام داده‌ها برای شناسایی هر تکنیک لازم است.
• توصیه‌های CISA: پیروی از راهنمایی‌های CISA در مورد جمع‌آوری داده و اولویت‌بندی منابع داده بر اساس ریسک.

1. شناسایی سناریوهای حمله مرتبط با محیط سازمان و انتخاب تکنیک‌های اولویت‌دار از MITRE ATT&CK.
2. بررسی منابع داده موجود و مقایسه آن‌ها با نیازمندی‌های هر تکنیک (با استفاده از Data Sources در ATT&CK).
3. شناسایی شکاف‌های داده‌ای و تدوین برنامه برای رفع آن‌ها (مثلاً فعال‌سازی لاگ‌های خاص یا افزودن سنسورهای جدید).
4. پیاده‌سازی جمع‌آوری داده‌ها با رعایت توصیه‌های CISA و اطمینان از کیفیت و یکپارچگی داده‌ها.
5. مستندسازی نقشه پوشش داده‌ها و به‌روزرسانی دوره‌ای آن با تغییرات محیط و تهدیدات.

طراحی فرآیند Threat Hunting مبتنی بر فرضیه

فرآیند تهدید‌یابی مؤثر در یک مرکز عملیات امنیتی (SOC) نیازمند ساختار و روش‌شناسی مشخص است. رویکرد مبتنی بر فرضیه، یکی از پذیرفته‌ترین روش‌ها در این حوزه به شمار می‌رود. در این رویکرد، به جای جستجوی کورکورانه در داده‌ها، ابتدا فرضیه‌ای بر اساس دانش موجود از رفتار مهاجمان تدوین می‌شود و سپس با طراحی جستجوهای هدفمند، صحت آن در محیط سازمان مورد بررسی قرار می‌گیرد. این روش باعث افزایش کارایی تحلیلگران و کاهش نرخ مثبت کاذب می‌شود.

اولین گام در طراحی این فرآیند، انتخاب یک تکنیک مشخص از پایگاه دانش MITRE ATT&CK است. این پایگاه، مجموعه‌ای جامع از تاکتیک‌ها و تکنیک‌های مبتنی بر مشاهدات واقعی از فعالیت‌های مهاجمان ارائه می‌دهد. برای انتخاب تکنیک، باید ملاحظات مربوط به محیط سازمان، صنعت، و تهدیدات مرتبط در نظر گرفته شود. به عنوان مثال، اگر سازمان از زیرساخت‌های ابری استفاده می‌کند، تکنیک‌های مرتبط با سوءاستفاده از اعتبارنامه‌های ابری یا دسترسی به APIهای ابری می‌توانند اولویت داشته باشند. پس از انتخاب تکنیک، لازم است فرضیه‌ای مبتنی بر نحوه پیاده‌سازی آن تکنیک توسط مهاجمان تدوین شود.

گام بعدی، تعیین داده‌های مرتبط با فرضیه است. این داده‌ها می‌توانند شامل لاگ‌های رویداد امنیتی، ترافیک شبکه، داده‌های نقطه پایانی و سایر منابع اطلاعاتی باشند. برای هر تکنیک، باید مشخص شود که چه نوع داده‌هایی می‌توانند شواهدی از فعالیت مهاجم را نشان دهند. به عنوان مثال، برای تکنیک اجرای اسکریپت از طریق PowerShell، داده‌های مربوط به رویدادهای اجرای فرمان و اسکریپت در ویندوز می‌توانند مفید باشند. پس از تعیین داده‌ها، جستجوهای لازم طراحی و اجرا می‌شوند. این جستجوها باید به گونه‌ای طراحی شوند که هم شواهد مستقیم و هم شواهد غیرمستقیم فعالیت مهاجم را پوشش دهند.

پس از اجرای جستجوها، نتایج باید مورد تحلیل قرار گیرند. تحلیلگر باید یافته‌ها را با فرضیه اولیه مقایسه کند و مشخص کند که آیا شواهدی از فعالیت مهاجم وجود دارد یا خیر. در صورت مشاهده موارد مشکوک، باید اقدامات لازم برای بررسی عمیق‌تر و در صورت لزوم پاسخ به حادثه انجام شود. همچنین، نتایج این فرآیند باید مستندسازی شوند تا در بهبود فرآیندهای آینده و به‌روزرسانی فرضیه‌ها مورد استفاده قرار گیرند. لازم به ذکر است که فرآیند تهدید‌یابی یک فعالیت مستمر است و باید به طور منظم با توجه به تغییرات در چشم‌انداز تهدیدات و زیرساخت سازمان، بازبینی و به‌روزرسانی شود.

• انتخاب تکنیک از MITRE ATT&CK بر اساس ریسک‌ها و زیرساخت سازمان
• تدوین فرضیه مبتنی بر نحوه پیاده‌سازی تکنیک توسط مهاجمان
• تعیین داده‌های مرتبط (لاگ‌ها، ترافیک شبکه، رویدادهای نقطه پایانی)
• طراحی و اجرای جستجوهای هدفمند برای یافتن شواهد
• تحلیل نتایج و مقایسه با فرضیه
• مستندسازی یافته‌ها و به‌روزرسانی فرآیند

1. شناسایی تکنیک‌های پرخطر مرتبط با محیط سازمان از ماتریس ATT&CK
2. تدوین فرضیه مشخص و قابل آزمون برای هر تکنیک
3. شناسایی منابع داده‌ای که می‌توانند شواهد فعالیت مهاجم را نشان دهند
4. طراحی کوئری‌ها یا قوانین جستجو بر اساس فرضیه
5. اجرای جستجوها در بازه زمانی مشخص
6. بررسی نتایج، حذف موارد بی‌ربط و تحلیل موارد مشکوک
7. گزارش‌دهی یافته‌ها و اقدامات اصلاحی

فرآیند Triage و اعتبارسنجی یافته‌ها

پس از شناسایی موارد مشکوک در فرآیند Threat Hunting، مرحله Triage نقشی حیاتی در تفکیک مثبت‌های واقعی از هشدارهای کاذب ایفا می‌کند. این مرحله باید به‌صورت ساختاریافته و با تکیه بر دانش تهدیدات انجام شود تا از هدررفت منابع SOC جلوگیری گردد. رویکرد پیشنهادی شامل ارزیابی اولیه هر یافته بر اساس میزان تطابق با رفتارهای شناخته‌شده در ماتریس MITRE ATT&CK است؛ به‌ویژه آن دسته از تکنیک‌هایی که با زنجیره‌های حمله رایج در صنعت مرتبط هستند.

در گام نخست، تحلیلگر باید زمینه (Context) هر یافته را بررسی کند: آیا فعالیت مشاهده‌شده با رفتار عادی کاربر یا سامانه هماهنگ است؟ آیا در بازه زمانی غیرعادی رخ داده؟ این بررسی‌ها باید با داده‌های محیطی (مانند نوع سامانه، نقش کاربر، و سطح دسترسی) ترکیب شود. سپس، با استفاده از تکنیک‌های MITRE ATT&CK، می‌توان احتمال هدفمند بودن فعالیت را ارزیابی کرد؛ به‌عنوان مثال، ترکیب تکنیک‌های کشف اعتبارنامه و حرکت جانبی می‌تواند نشانه‌ای از یک کمپین جدی باشد.

برای اعتبارسنجی نهایی، پیشنهاد می‌شود که یافته‌ها در برابر منابع معتبر مانند CISA و پایگاه‌های اطلاعاتی تهدیدات بررسی شوند. این کار به تحلیلگر کمک می‌کند تا الگوهای مشابه را شناسایی کرده و از تجربیات سایر سازمان‌ها بهره‌مند شود. در این مرحله، باید از ارائه معیارهای عددی دقیق یا آستانه‌های قطعی پرهیز کرد؛ زیرا هر محیط دارای ویژگی‌های منحصربه‌فردی است که نیازمند قضاوت انسانی و تحلیل زمینه‌مند است.

• اولویت‌بندی یافته‌ها بر اساس شدت خطر و میزان قطعیت (مثلاً ترکیب تکنیک‌های بحرانی مانند اعتبارسنجی از طریق دسترسی به سامانه‌های حساس)
• بررسی تاریخچه فعالیت‌های مشابه در گذشته برای تشخیص الگوهای تکراری یا ناهنجار
• استفاده از دانش MITRE ATT&CK برای نگاشت تکنیک‌ها به مراحل چرخه حیات حمله و شناسایی زنجیره‌های کامل
• همکاری با تیم‌های پاسخ به حادثه برای تأیید نهایی و اقدامات اصلاحی

1. ثبت و مستندسازی هر یافته با جزئیات کامل (زمان، منبع، مقصد، و داده‌های مرتبط)
2. انجام تحلیل اولیه با استفاده از ماتریس MITRE ATT&CK برای شناسایی تکنیک‌های مرتبط
3. بررسی زمینه‌های محیطی و مقایسه با رفتارهای پایه (Baseline)
4. جستجو در منابع معتبر (مانند CISA) برای یافتن الگوهای مشابه یا شاخص‌های سازش (IOC) عمومی
5. ارسال یافته‌های تأییدشده به تیم پاسخ به حادثه و ثبت درس‌آموخته‌ها

مدیریت مثبت‌های کاذب و بهینه‌سازی جستجوها

مثبت‌های کاذب در فرآیند شکار تهدید، زمانی رخ می‌دهند که یک جستجو یا فرضیه، رفتاری را به‌عنوان مشکوک شناسایی کند که در واقع بخشی از فعالیت‌های عادی و مجاز شبکه است. این پدیده نه‌تنها منابع انسانی و فنی تیم امنیتی را هدر می‌دهد، بلکه می‌تواند منجر به بی‌اعتمادی تحلیلگران به هشدارها و در نهایت نادیده گرفته شدن تهدیدات واقعی شود. ریشه بسیاری از مثبت‌های کاذب را می‌توان در طراحی اولیه فرضیه‌ها و انتخاب داده‌های پایه جستجو یافت؛ به‌ویژه زمانی که فرضیه‌ها بر اساس تکنیک‌های عمومی و بدون در نظر گرفتن زمینه (Context) سازمانی تدوین شده باشند.

برای کاهش مثبت‌های کاذب، نخستین گام اصلاح فرضیه‌ها بر پایه دانش مستند از رفتارهای شناخته‌شده مهاجمان است. به‌عنوان مثال، در پایگاه دانش MITRE ATT&CK، تکنیک‌هایی مانند «اجرای اسکریپت» (T1059) یا «دسترسی به اعتبارنامه‌ها از طریق LSASS» (T1003.001) دارای زیرتکنیک‌ها و داده‌های منبع مشخصی هستند که می‌توانند به تعریف دقیق‌تر الگوهای جستجو کمک کنند. بهره‌گیری از این جزئیات، مانند فیلتر کردن بر اساس نام فرآیندهای خاص یا مسیرهای فایل استاندارد، دقت جستجو را افزایش می‌دهد و از شناسایی فعالیت‌های مشروع که صرفاً شباهت سطحی به تکنیک دارند، جلوگیری می‌کند. این رویکرد مبتنی بر شواهد، جایگزین مناسبی برای اتکا به تجربیات شخصی یا حدس‌های غیرمستند است.

دومین اقدام مؤثر، استفاده از داده‌های زمینه‌ای و دقیق‌تر در طراحی جستجوهاست. به‌عنوان مثال، کنترل‌های پیشنهادی در سند «اهداف عملکرد سایبری» (CPG) سازمان CISA، بر اهمیت ثبت و نگهداری لاگ‌های متمرکز و باکیفیت تأکید دارند. فعال‌سازی ثبت رویدادهای امنیتی مرتبط با فرآیندها، اتصالات شبکه و دسترسی به فایل‌ها، به تحلیلگر امکان می‌دهد تا جستجوها را بر اساس ترکیبی از فیلدهای متعدد (مانند شناسه فرآیند والد، آدرس IP مبدأ و مقصد، و هش فایل) محدود کند. این محدودسازی چندلایه، احتمال تطابق با رفتارهای عادی را به‌شدت کاهش می‌دهد و در عین حال، امکان شناسایی ناهنجاری‌های ظریف را که در داده‌های خام قابل مشاهده نیستند، فراهم می‌آورد.

• توصیه: فرضیه‌های جستجو را بر اساس تکنیک‌ها و زیرتکنیک‌های مشخص در MITRE ATT&CK تدوین کنید و از تعاریف کلی و مبهم پرهیز نمایید.
• توصیه: برای هر جستجو، فیلدهای زمینه‌ای متعدد (مانند نام فرآیند، آرگومان‌های خط فرمان، و رابطه والد-فرزندی) را به‌عنوان شرط ترکیبی لحاظ کنید.
• توصیه: از داده‌های لاگ با کیفیت و متمرکز که مطابق با کنترل‌های پیشنهادی CISA CPG (مانند ثبت رویدادهای احراز هویت و اجرای فرمان) پیکربندی شده‌اند، بهره ببرید.
• توصیه: پیش از اجرای گسترده، جستجوها را بر روی مجموعه داده‌های تاریخی و شناخته‌شده (شامل ترافیک عادی) آزمایش کنید تا نرخ خطای پایه مشخص شود.

1. مرحله ۱: تکنیک هدف را از ماتریس MITRE ATT&CK انتخاب کرده و داده‌های منبع مرتبط با آن (مانند Command Execution یا Process Creation) را استخراج کنید.
2. مرحله ۲: فرضیه اولیه را با افزودن فیلترهای زمینه‌ای (مثلاً محدود کردن به مسیرهای غیراستاندارد یا فرآیندهای خاص) اصلاح کنید.
3. مرحله ۳: جستجو را بر روی یک بازه زمانی کوتاه از داده‌های واقعی اجرا کرده و نتایج را از نظر تطابق با رفتارهای شناخته‌شده و عادی بررسی کنید.
4. مرحله ۴: بر اساس نتایج، پارامترهای جستجو (مانند محدوده زمانی یا فیلدهای اضافی) را تنظیم و مجدداً آزمایش کنید تا به آستانه مطلوب برسید.

محدودیت‌های Threat Hunting و چالش‌های عملی

هرچند شکار تهدید به عنوان رویکردی فعال برای کشف نفوذهای پنهان شناخته می‌شود، اما ذاتاً با محدودیت‌هایی مواجه است که ریشه در ماهیت چارچوب‌های مرجع و توصیه‌های نهادهای راهنما دارد. به عنوان مثال، پایگاه دانش MITRE ATT&CK به صراحت اذعان می‌کند که این چارچوب بر اساس مشاهدات واقعی از رفتار adversaries بنا شده و بنابراین به‌طور ذاتی دارای شکاف‌های دانشی است؛ تکنیک‌های جدید یا ناشناخته‌ای که هنوز مستند نشده‌اند، در فرضیه‌سازی‌های شکار تهدید لحاظ نمی‌شوند. این محدودیت به این معناست که تیم‌های SOC نمی‌توانند صرفاً به این چارچوب به عنوان منبعی جامع اتکا کنند و باید برای پوشش تهدیدات نوظهور، منابع تکمیلی و تحلیل‌های مبتنی بر داده‌های خام را نیز در نظر بگیرند.

از سوی دیگر، توصیه‌های CISA در قالب اهداف عملکردی امنیت سایبری (CPGs) بر چالش‌های پیاده‌سازی تأکید دارند. این اهداف که برای کاهش ریسک‌های شناخته‌شده طراحی شده‌اند، به‌طور ضمنی نشان می‌دهند که اجرای مؤثر شکار تهدید نیازمند بلوغ سازمانی، سرمایه‌گذاری در ابزارها و نیروی انسانی متخصص است. بسیاری از سازمان‌ها، به‌ویژه کسب‌وکارهای کوچک و متوسط، فاقد منابع کافی برای اجرای مستمر و سیستماتیک این فرآیند هستند. همچنین، پیچیدگی تکنیک‌های پیشرفته مهاجمان، مانند استفاده از Living off the Land یا سوءاستفاده از مسیرهای اعتماد، نیازمند دانش عمیق و به‌روز است که به‌سختی در تیم‌های امنیتی موجود یافت می‌شود.

علاوه بر این، پوشش ناقص داده‌ها یکی از چالش‌های عملی جدی در شکار تهدید است. برای شناسایی الگوهای مشکوک، به داده‌های تله‌متری جامع و باکیفیت از نقاط مختلف شبکه و سیستم‌ها نیاز است؛ اما در بسیاری از محیط‌ها، به دلیل محدودیت‌های فنی یا هزینه‌های بالا، این داده‌ها به‌طور کامل جمع‌آوری نمی‌شوند. این شکاف داده‌ای می‌تواند منجر به نتایج ناقص یا منفی کاذب شود و اعتماد به فرآیند شکار تهدید را کاهش دهد. همچنین، نبود استانداردهای مشخص برای ارزیابی اثربخشی شکار تهدید، مقایسه عملکرد تیم‌ها و توجیه هزینه‌های آن را دشوار می‌سازد.

• شکاف‌های دانشی در چارچوب‌هایی مانند MITRE ATT&CK که مبتنی بر مشاهدات شناخته‌شده هستند، امکان پوشش تهدیدات ناشناخته را محدود می‌کند.
• پیاده‌سازی شکار تهدید نیازمند منابع انسانی متخصص، ابزارهای پیشرفته و بلوغ سازمانی است که برای بسیاری از سازمان‌ها چالش‌برانگیز است.
• پوشش ناقص داده‌های تله‌متری، به‌ویژه در محیط‌های با منابع محدود، می‌تواند منجر به از دست رفتن الگوهای مهم و کاهش اثربخشی شکار تهدید شود.

شاخص‌های کلیدی عملکرد (KPI) برای سنجش ارزش Threat Hunting

ارزیابی اثربخشی یک برنامه شکار تهدید (Threat Hunting) بدون تعریف شاخص‌های کلیدی عملکرد (KPI) دقیق و قابل اندازه‌گیری، عملاً به قضاوت ذهنی و غیرقابل اتکا تبدیل می‌شود. در محیط‌های عملیاتی مرکز عملیات امنیت (SOC)، این شاخص‌ها باید به‌گونه‌ای طراحی شوند که نه‌تنها کارایی تیم را نشان دهند، بلکه به‌طور مستقیم با اهداف کاهش ریسک سازمان گره بخورند. رویکرد محافظه‌کارانه و مبتنی بر شواهد، استفاده از چارچوب‌های شناخته‌شده‌ای مانند اهداف عملکردی سایبری (CPG) منتشرشده توسط CISA را توصیه می‌کند، زیرا این اهداف به‌عنوان معیاری برای سنجش بلوغ امنیتی در زیرساخت‌های حیاتی طراحی شده‌اند.

در این راستا، تمرکز بر معیارهایی مانند کاهش زمان شناسایی و پاسخ به تهدید (MTTD/MTTR) به‌عنوان یکی از اهداف عملکردی کلیدی، می‌تواند ارزش واقعی شکار تهدید را نمایان کند. به‌عنوان مثال، اگر برنامه شکار تهدید بتواند به‌طور مستمر فرضیه‌هایی را بر اساس تکنیک‌های مستندشده در پایگاه دانش MITRE ATT&CK شکل دهد و این فرضیه‌ها منجر به کشف زودهنگام فعالیت‌های مشکوک شود، آنگاه کاهش زمان شناسایی به‌عنوان یک شاخص عینی و قابل دفاع مطرح می‌شود. لازم به ذکر است که این استنتاج بر اساس ماهیت شناخته‌شده این چارچوب‌ها ارائه می‌شود و نباید به‌عنوان یک فرمول اختصاصی یا تضمین‌شده تلقی گردد.

علاوه بر این، نرخ کشف تهدید (مانند تعداد فرضیه‌های تأییدشده به کل فرضیه‌های آزمایش‌شده) می‌تواند نشان‌دهنده کیفیت فرآیند و دقت تحلیلگران باشد. با این حال، باید احتیاط کرد که این نرخ به‌تنهایی گمراه‌کننده است؛ زیرا تمرکز صرف بر کمیت ممکن است به شکار تهدیدهای کم‌اهمیت یا سناریوهای مصنوعی منجر شود. بنابراین، توصیه می‌شود که شاخص‌ها به‌صورت ترکیبی و در قالب یک داشبورد مدیریتی ارائه شوند که هم جنبه‌های کمی (مانند زمان) و هم جنبه‌های کیفی (مانند مرتبط بودن کشف با زیرساخت‌های حیاتی) را پوشش دهد. این رویکرد، ارزیابی را از حالت صرفاً عملیاتی به سطح راهبردی ارتقا می‌دهد.

• استفاده از معیار کاهش زمان شناسایی (MTTD) به‌عنوان شاخص اصلی، مطابق با اهداف عملکردی CISA CPG.
• اندازه‌گیری نرخ تبدیل فرضیه‌های شکار تهدید به رویدادهای تأییدشده، به‌عنوان معیار کیفیت فرآیند.
• ارزیابی پوشش تکنیک‌های MITRE ATT&CK در سناریوهای شکار، برای اطمینان از جامعیت و همسویی با تهدیدات شناخته‌شده.
• توجه به شاخص‌های کیفی مانند تأثیر کشف بر کاهش سطح حمله یا حفاظت از دارایی‌های حیاتی، در کنار شاخص‌های کمی.

1. تعریف خط پایه (Baseline) از وضعیت فعلی زمان شناسایی و پاسخ در SOC، پیش از اجرای برنامه شکار تهدید.
2. انتخاب مجموعه‌ای محدود از KPIها که مستقیماً به اهداف CPG مرتبط باشند و از معیارهای غیرضروری پرهیز شود.
3. طراحی فرآیند منظم برای ثبت فرضیه‌ها، اقدامات انجام‌شده و نتایج حاصل از هر چرخه شکار تهدید.
4. بازبینی دوره‌ای (مثلاً ماهانه) شاخص‌ها در جلسات مدیریتی SOC و تنظیم فرضیه‌ها بر اساس بازخورد و تهدیدات نوظهور.

یکپارچه‌سازی Threat Hunting در عملیات روزانه SOC

برای استقرار مؤثر شکار تهدید در مرکز عملیات امنیت (SOC)، لازم است این فرآمینه به‌عنوان یک فعالیت مجزا و منفک از سایر وظایف در نظر گرفته نشود، بلکه به‌عنوان بخشی از چرخه حیات امنیت سایبری سازمان تلقی گردد. ادغام شکار تهدید با فرآیندهای جاری، مستلزم ایجاد یک کانال ارتباطی دوسویه با تیم‌های مانیتورینگ و پاسخ به حادثه است. به‌عنوان مثال، یافته‌های حاصل از شکار تهدید می‌تواند به‌عنوان ورودی برای بهبود قوانین تشخیص نفوذ (IDS/IPS) و یا تنظیم دقیق راهبردهای جست‌وجوی تیم مانیتورینگ به کار گرفته شود. این هم‌افزایی باعث می‌شود که شکار تهدید به یک اقدام واکنشی در زمان بروز حادثه تبدیل نشود، بلکه به‌صورت مستمر و پیش‌دستانه در جریان باشد.

برای ایجاد هماهنگی میان این تیم‌ها، بهره‌گیری از چارچوب‌های شناخته‌شده‌ای مانند چارچوب NIST CSF (چهارچوب امنیت سایبری مؤسسه ملی استاندارد و فناوری آمریکا) و همچنین چارچوب MITRE ATT&CK به‌عنوان یک زبان مشترک و مرجع دانشی، بسیار راهگشا خواهد بود. این چارچوب‌ها به تیم‌ها امکان می‌دهند تا از یک واژگان واحد برای توصیف تکنیک‌ها، تاکتیک‌ها و رویه‌های مهاجمان استفاده کنند و در نتیجه، انتقال دانش و همکاری میان تیم‌های مختلف تسهیل شود. به‌عنوان نمونه، تیم شکار تهدید می‌تواند بر اساس تکنیک‌های شناسایی‌شده در MITRE ATT&CK، فرضیه‌سازی کند و سپس تیم مانیتورینگ را برای جست‌وجوی شواهد مرتبط با آن تکنیک‌ها در لاگ‌ها و رویدادهای امنیتی راهنمایی کند.

علاوه بر این، به‌روزرسانی مدل‌های تهدید و سناریوهای حمله بر اساس یافته‌های شکار تهدید، یک ضرورت انکارناپذیر است. این چرخه بازخوردی باید به‌صورت دوره‌ای و در قالب جلسات منظم (مثلاً هفتگی یا ماهانه) میان تیم‌ها برگزار شود. در این جلسات، اعضا می‌توانند در مورد فرضیه‌های جدید، نتایج به‌دست‌آمده از شکار تهدید، و درس‌های آموخته‌شده از حوادث گذشته بحث و تبادل نظر کنند. این هم‌افزایی باعث می‌شود که سازمان به‌طور مداوم از تجربیات خود و دیگران بیاموزد و در برابر تهدیدات نوظهور، آمادگی بیشتری داشته باشد. همچنین، این هماهنگی به تیم‌های پاسخ به حادثه کمک می‌کند تا در صورت بروز حادثه، درک بهتری از زمینه (Context) حمله داشته باشند و سریع‌تر و مؤثرتر عمل کنند.

• استفاده از چارچوب MITRE ATT&CK به‌عنوان زبان مشترک برای توصیف تکنیک‌های مهاجمان و ایجاد فرضیه‌های شکار تهدید.
• برگزاری جلسات منظم هماهنگی بین تیم‌های شکار تهدید، مانیتورینگ و پاسخ به حادثه برای به اشتراک‌گذاری یافته‌ها و درس‌های آموخته‌شده.

1. ایجاد یک کانال ارتباطی رسمی (مانند کانال اسلک یا ایمیل گروهی) برای تبادل اطلاعات بین تیم‌ها.
2. تعریف یک روال برای ارجاع یافته‌های شکار تهدید به تیم‌های مربوطه برای اقدامات اصلاحی.
3. برگزاری کارگاه‌های مشترک برای آموزش تیم‌ها در مورد نحوه استفاده از چارچوب‌های مشترک و به اشتراک‌گذاری دانش.