SANS: Datakwaliteit grootste obstakel voor threat hunters

Hoewel de threat hunting-gemeenschap inmiddels over meer ervaring beschikt dan ooit, met een grote meerderheid van de professionals die al minimaal twee jaar proactief zoekt naar dreigingen, belemmert gebrekkige telemetrie de dagelijkse praktijk. Dit probleem is met name voelbaar in cloudomgevingen, die door een derde van de respondenten worden aangewezen als de meest complexe infrastructuur om dreigingen in op te sporen. Volgens SANS-expert Josh Lemon kunnen zelfs de meest ervaren analisten niets uitrichten wanneer gegevens inconsistent, onvolledig of verspreid over verschillende tools aanwezig zijn.

Naast de dataproblematiek legt het onderzoek veranderingen bloot in de gebruikte aanvalstechnieken en de organisatorische aanpak. Aanvallers maken steeds vaker gebruik van legitieme functionaliteiten die al binnen netwerken aanwezig zijn, de zogeheten living off the land-technieken. Dit maakt het onderscheid tussen normaal gebruikersgedrag en een malitieuze aanval aanzienlijk lastiger. Tegelijkertijd neemt het gebruik van formele opsporingsmethodologieën af en gaan meer organisaties ad-hoc te werk.

Ook het meten van de daadwerkelijke effectiviteit van opsporingsprogramma's is sterk gedaald ten opzichte van voorgaande jaren, wat het voor beveiligingsteams moeilijker maakt om de meerwaarde van hun inspanningen aan te tonen. Verder blijkt uit het onderzoek dat de neiging om threat hunting uit te besteden aan externe partijen blijft afnemen, terwijl organisaties realistischer kijken naar de inzet van kunstmatige intelligentie; AI wordt niet langer gezien als een automatische oplossing voor de onderliggende data-uitdagingen.