Werken als Threat Hunter

Wat doet een Threat Hunter?

Een Threat Hunter zoekt in de systemen van een organisatie naar aanwijzingen dat een aanvaller er actief is, zonder dat een beveiligingsmelding daartoe heeft geleid. Het werk hoort bij het vakgebied security operations. Er is geen officiële rolbeschrijving voor Threat Hunter en ook geen vaste, officiële definitie van threat hunting. Wat hier staat is vakduiding. Bij sommige organisaties is het werk een eigen functie, bij andere een taak binnen een ander team.

Het verschil met een SOC Analist zit in het vertrekpunt. De analist begint bij een melding, de hunter begint bij een vraag. Een SIEM of EDR-tool meldt wat een regel herkent, en een aanvaller die niets doet wat een regel herkent, blijft onzichtbaar. De hunter zoekt daarom zelf naar sporen die geen melding hebben veroorzaakt.

Neem een voorbeeld. De hunter leest in dreigingsinformatie dat aanvallers legitieme beheeraccounts gebruiken om van het ene systeem naar het andere te gaan. In MITRE ATT&CK heet dat Lateral Movement. De hunter zoekt in de inloggegevens naar beheeraccounts die inloggen op systemen waar ze nooit eerder kwamen, of op tijdstippen waarop de beheerder normaal niet werkt. De meeste treffers blijken een onschuldige verklaring te hebben, zoals een beheerder met een nieuwe taak. Een verdacht spoor dat niet te verklaren is, gaat naar de Incident Responder met een duidelijk overzicht van wat is gezien. In beide gevallen legt de hunter vast wat er is gezocht en wat er is gevonden.

Een jacht levert niet altijd iets op. Dat is ook een resultaat, want de hunter weet dan wat er niet speelt. Een goede vastlegging zorgt dat een collega dezelfde zoektocht niet opnieuw doet.

Hoe verloopt een jacht?

Een jacht verloopt in een patroon van stappen. Organisaties noemen die stappen anders en richten het proces anders in.

1. Hypothese. Formuleer een vermoeden, bijvoorbeeld op basis van dreigingsinformatie of een aanvalstechniek.
2. Gegevens. Bepaal welke logs je nodig hebt en of ze er zijn.
3. Zoeken. Doorzoek de gegevens op het patroon dat bij je hypothese past.
4. Beoordelen. Bekijk de bevindingen kritisch en controleer eerst de onschuldige verklaringen.
5. Vastleggen en overdragen. Schrijf op wat je zocht en vond, en geef een verdacht spoor door aan het incidentteam.
6. Detectie. Zet de zoekopdracht om in een detectieregel, zodat het SIEM de volgende keer zelf meldt, of doe een voorstel voor betere logging.

MITRE ATT&CK is een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen in de praktijk. De kennisbank staat open voor iedereen, zonder kosten, en heeft matrices voor Enterprise, Mobile en ICS. In de Enterprise-matrix staan technieken gegroepeerd onder tactieken, zoals Initial Access, Persistence, Lateral Movement en Exfiltration. Bij het formuleren van een hypothese zoek je daar een techniek die bij je vermoeden past, en het team gebruikt dezelfde namen in zijn rapporten.

Wat zegt het Europese rolkader?

Het European Cybersecurity Skills Framework (ECSF) van ENISA is een open Europees hulpmiddel om een gemeenschappelijk begrip van functieprofielen in cybersecurity te vormen. Het ECSF kent twaalf profielen, en het profielendocument is van september 2022. Een profiel Threat Hunter staat er niet bij.

Het profiel dat het dichtst bij ligt, is de Cyber Threat Intelligence Specialist (CTI). Volgens het ECSF verzamelt, verwerkt en analyseert deze specialist gegevens tot bruikbare intelligence, en identificeert en volgt hij de werkwijzen van dreigingsactoren. De hoofdtaken zijn onder meer dreigingsactoren en hun technieken identificeren en volgen, intelligence omzetten in bruikbare rapporten, advies geven over maatregelen, en intelligence gebruiken voor threat modelling en threat hunting. Dat laatste, het actief zoeken naar dreigingen, is de taak die het dichtst bij het werk van een hunter ligt.

De twee opleverpunten van dit profiel zijn een Cyber Threat Intelligence Manual, een handleiding met hulpmiddelen of methoden voor het verzamelen of delen van dreigingsinformatie, en een Cyber Threat Report, een rapport over de belangrijkste dreigingen, trends, dreigingsactoren of aanvalstechnieken. Dit is het oordeel van deze kennisbank en geen officiële koppeling met de titel Threat Hunter.

Welke skills heb je nodig?

Het ECSF noemt voor het CTI-profiel technische kernvaardigheden: dreigingsinformatie uit meerdere bronnen verzamelen, analyseren en met elkaar verbinden, technieken en campagnes van aanvallers herkennen, technische analyse en rapportage, werken met CTI-platforms, en het beheer van dreigingsinformatie automatiseren. Daarbij komt kennis van de beveiliging van besturingssystemen en netwerken, van programmeren en van aanvalsprocedures. Voor de jacht zelf komt dat neer op het volgende.

• Logs lezen en doorzoeken. Je weet welke velden in een inlogregel ertoe doen en hoe je ze combineert zonder het spoor kwijt te raken.
• Netwerken en besturingssystemen begrijpen. Een inlog op een server kan normaal zijn, maar je kunt dat alleen beoordelen als je weet hoe die server gewoonlijk wordt gebruikt.
• Een hypothese toetsen. Je schrijft vooraf op wat je verwacht te vinden en welk resultaat betekent dat je vermoeden niet klopt.
• Een zoekopdracht schrijven. De vraag uit je hypothese wordt een zoekopdracht die je kunt herhalen en aan een collega kunt geven.
• Programmeren. Een scripttaal helpt om grote hoeveelheden gegevens te verwerken, zodat je niet handmatig door regel na regel gaat.

Naast het technische werk gaat het om nieuwsgierigheid met discipline. Je wilt weten waarom iets gebeurt, maar je legt vast wat je zocht. Kritisch zijn op je eigen aanname hoort erbij: een verdachte inlog kan een nieuwe taak zijn, en dat controleer je voordat je conclusies trekt. Tot slot leg je duidelijk uit wat je vond, aan collega's en aan het incidentteam.

Welke tools en technologie gebruikt een Threat Hunter?

De vacature noemt welke tools bij die organisatie in gebruik zijn, dus begin daar. Dit zijn de soorten gereedschap die bij het werk van een Threat Hunter horen.

• Een SIEM verzamelt logs uit meerdere bronnen en maakt ze doorzoekbaar. Voorbeelden zijn Splunk, Microsoft Sentinel en Elastic Security.
• Een EDR-tool laat zien wat er op laptops en servers gebeurt. CrowdStrike is een voorbeeld.
• Sigma is een open, gestructureerd formaat om detectieregels te beschrijven, zodat teams relevante logregels kunnen opsporen. Zie de skillpagina voor Sigma en de site van Sigma.
• YARA helpt onder anderen malware-onderzoekers om malwaremonsters te identificeren en te classificeren. Zie de skillpagina voor YARA en de documentatie van YARA.
• Een scripttaal, zoals Python of PowerShell, verwerkt grote hoeveelheden gegevens en automatiseert onderzoek.
• MITRE ATT&CK is de gedeelde taal waarmee je een techniek en een bevinding benoemt. Zie de skillpagina voor MITRE ATT&CK.

Wie één SIEM kent, leert een tweede doorgaans sneller, omdat de vragen hetzelfde blijven: welke logs, welk tijdvak en welk patroon.

Welke opleiding en certificeringen passen bij een Threat Hunter?

Voor deze functie bestaat geen officiële opleidingseis. Een certificering laat zien dat je kennis hebt van een onderwerp, maar ervaring vervangt haar niet. Of een werkgever er waarde aan hecht, verschilt per organisatie.

Als voorbeeld voor de kant van dreigingsinformatie: GIAC schrijft dat de certificering GIAC Cyber Threat Intelligence (GCTI) de strategische, operationele en tactische kennis en vaardigheden op het gebied van cyberdreigingsinformatie valideert.

Kennis van hoe aanvallers werken helpt een hunter ook. Certificeringen als OSCP en CEH laten zien dat je kunt aanvallen. Voor de basis kun je kijken naar CompTIA Security+. Eisen, examenonderwerpen en kosten staan bij de uitgevers zelf.

Hoe word je Threat Hunter?

Een Threat Hunter-functie is bij veel organisaties geen eerste functie. Veel mensen komen uit een functie als SOC Analist, als Incident Responder of uit systeem- of netwerkbeheer. Een hbo-opleiding in ICT of security is ook een gangbare route.

Je kunt het zelf oefenen met een omgeving die logs produceert, bijvoorbeeld een testopstelling of de oefendata van een opleiding:

• Kies een hypothese en toets die met de logs.
• Schrijf je zoekopdrachten en bevindingen op, ook de zoektochten die niets opleverden.
• Schrijf een detectieregel, bijvoorbeeld in het Sigma-formaat, voor het patroon dat je hebt gevonden.

Wat je kunt laten zien, is een korte, heldere beschrijving van een jacht, ook als die niets opleverde. Daarin staat wat je vermoedde, wat je zocht, welke logs je gebruikte en wat je concludeerde. Het is geen garantie op een baan.

Waar werk je als Threat Hunter?

Threat Hunters werken bij interne beveiligingsteams van grotere organisaties, bij adviesbureaus en bij dienstverleners die de jacht voor andere organisaties uitvoeren. Vacatures zijn per sector te bekijken, bijvoorbeeld in de financiële dienstverlening, bij de rijksoverheid en in energie en infrastructuur. Niet elke organisatie heeft een aparte Threat Hunter. Bij sommige is het werk onderdeel van de SOC Analist, de Incident Responder of de Detection Engineer. Organisaties die deze functie zoeken, staan op de werkgeverspagina voor Threat Hunter.

Threat Hunter, SOC Analist of Detection Engineer?

Alle drie werken met logs en meldingen, maar het vertrekpunt en het doel verschillen.

Doorgroei is mogelijk naar een aantal rollen. Dit is een overzicht, geen belofte.

• Detection Engineer: de regels bouwen en onderhouden. Zie de vacatures en de rolgids.
• Incident Responder: onderzoek en herstel bij echte incidenten leiden. Zie de vacatures en de rolgids.
• Malware Analyst: schadelijke software uit elkaar halen. Zie de vacatures en de rolgids.
• SOC Manager: het team aansturen. Zie de vacatures en de rolgids.

Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

Vacatures en werkgevers

Vacatures voor Threat Hunters staan op de vacaturepagina voor Threat Hunter. Op de werkgeverspagina staan de organisaties die deze functie zoeken. Zoek je naar de vaardigheden uit dit artikel, dan vind je die op de skillpagina's bij de vacatures.