Threat Hunting lawan Threat Detection: Apa Bezanya?

Dua frasa yang sering disebut dalam dunia cybersecurity moden ialah: threat detection dan threat hunting. Ia kedengaran seperti sinonim, dan banyak bahan pemasaran melayannya sedemikian. Namun, ia bukanlah perkara yang sama. Memahami perbezaan ini akan membantu anda bertanya soalan yang lebih baik kepada mana-mana penyedia keselamatan, dan memahami mengapa pertahanan yang paling kukuh menggunakan kedua-duanya.

Secara ringkas: threat detection adalah reaktif, ia menunggu sesuatu yang mencurigakan untuk mencetuskan penggera. Threat hunting adalah proaktif, di mana manusia (semakin dibantu oleh AI) mencari penyerang yang telah melepasi penggera. Artikel ini menerangkan bagaimana setiap satu berfungsi, bagaimana ia saling melengkapi, dan apa yang sebenarnya diperlukan oleh perniagaan Malaysia yang sedang berkembang.

Apa itu threat detection?

Threat detection adalah tulang belakang automatik bagi mana-mana program pemantauan. Alat detection, endpoint detection and response (EDR), firewall, email security, dan platform log-analysis, memantau persekitaran anda secara berterusan dan membangkitkan amaran apabila aktiviti sepadan dengan corak yang diketahui buruk atau peraturan yang mencurigakan. Fail yang berkelakuan seperti ransomware, log masuk dari lokasi yang mustahil, atau ledakan password yang gagal: ini adalah jenis isyarat yang direka untuk ditangkap oleh detection.

Detection adalah penting dan ia berskala dengan baik, kerana mesin tidak pernah letih. Tetapi ia mempunyai titik buta yang terbina: ia secara amnya hanya boleh menangkap apa yang telah diberitahu untuk dicari. Teknik baharu, serangan "living off the land" yang menyalahgunakan alat yang sah, dan penceroboh yang perlahan dan sabar yang mengelakkan pencetus yang jelas boleh melepasi detection tanpa membangkitkan sebarang amaran. Itulah jurang yang wujud untuk ditutup oleh threat hunting.

Apa itu threat hunting?

Threat hunting membalikkan logik. Daripada menunggu amaran, seorang hunter mengandaikan penyerang mungkin sudah berada di dalam dan mencari bukti mengenainya. Hunting bermula dari hipotesis, contohnya, "jika penyerang telah mencuri credential pekerja, tingkah laku akaun luar biasa apakah yang kita jangkakan akan lihat?", dan kemudian mencari data untuk membuktikan atau menyangkalnya.

Ini adalah disiplin penyiasatan yang dipimpin oleh manusia. Hunters menggunakan pengetahuan tentang tingkah laku penyerang, sering distrukturkan menggunakan rangka kerja MITRE ATT&CK, yang mengkatalogkan taktik dan teknik yang digunakan oleh penyerang sebenar. Sesuatu hunt yang baik bukan sahaja menemui penceroboh; ia juga mengajar pasukan apa yang perlu dijadikan peraturan detection automatik yang baharu, supaya kali seterusnya tingkah laku itu muncul, ia dapat ditangkap serta-merta.

Proses threat hunting, dipermudahkan

1. Hipotesis: berdasarkan threat intelligence dan pengetahuan tentang persekitaran anda, hunter mencadangkan di mana dan bagaimana penyerang mungkin bersembunyi.
2. Hunt: mereka mencari log, endpoint, dan data rangkaian untuk bukti yang menyokong hipotesis itu.
3. Siasat: apa-apa yang mencurigakan diperiksa secara mendalam untuk mengesahkan sama ada ia berniat jahat.
4. Tindak balas & perbaiki: ancaman sebenar dibendung, dan penemuan itu menjadi detection automatik yang baharu.

Threat detection vs threat hunting: perbandingan

Aspek	Threat Detection	Threat Hunting
Pendekatan	Reaktif, menunggu pencetus	Proaktif, mencari
Didorong oleh	Peraturan & signature yang diketahui	Hipotesis & tingkah laku penyerang
Menangkap	Ancaman yang diketahui, pantas	Ancaman yang tidak diketahui & senyap
Siapa yang melakukannya	Alat automatik	Penganalisis manusia (dibantu AI)
Liputan	Berterusan, 24/7	Berkala & disasarkan

Perkara penting yang perlu difahami: ini bukanlah pesaing. Detection menyediakan liputan yang luas dan berterusan; hunting menyediakan kedalaman di mana detection buta. Jika salah satu tiada, anda akan mempunyai jurang.

Bagaimana AI mengubah keadaan

Threat hunting tradisional adalah mahal kerana ia bergantung kepada penganalisis berpengalaman yang sukar didapati, menghabiskan berjam-jam menyaring data. Di sinilah kecerdasan buatan mengubah bidang ini. AI boleh menyaring sejumlah besar log, menonjolkan beberapa anomali yang memerlukan perhatian manusia, dan bahkan mencadangkan hipotesis, memampatkan kerja yang dahulunya mengambil masa berhari-hari menjadi beberapa minit.

Inilah model di sebalik platform AI SOC HyperDEF: agen AI melakukan kerja berat penyiasatan dan korelasi secara berterusan, manakala penganalisis manusia meluluskan sebarang tindak balas. Hasilnya adalah penelitian tahap hunting pada kos yang mampu dibayar oleh perniagaan yang sedang berkembang. Kami meneroka perubahan ini dengan lebih lanjut dalam mengapa agen AI mengubah SOC dan mengapa SOC tradisional semakin pudar.

Apa yang sebenarnya diperlukan oleh PKS?

Bagi kebanyakan perniagaan Malaysia yang sedang berkembang, jawapan jujurnya ialah: anda memerlukan detection yang boleh dipercayai terlebih dahulu, dan hunting sebagai lapisan tambahan, tetapi anda hampir pasti tidak patut cuba membina kedua-duanya secara in-house. Detection tanpa sesiapa untuk menyiasat amarannya akan menjadi bunyi bising (perangkap yang kami terangkan dalam mengapa sesetengah penyedia terlepas amaran sebenar). Hunting memerlukan kepakaran yang sukar dan mahal untuk diambil.

Inilah sebabnya mengapa perkhidmatan terurus (managed service) biasanya merupakan laluan yang praktikal. Perkhidmatan MDR yang baik menggabungkan detection berterusan dan hunting proaktif dalam satu langganan, jadi anda mendapat kedua-duanya tanpa perlu merekrut pasukan keselamatan. Anda membeli hasilnya, ancaman ditemui dan dihentikan, bukannya alat dan masalah kakitangan.

Kesimpulan

Threat detection dan threat hunting menjawab dua soalan yang berbeza. Detection bertanya, "adakah sesuatu telah mencetuskan penggera?" Hunting bertanya, "adakah terdapat penceroboh yang tidak pernah disedari oleh penggera?" Keselamatan yang kukuh memerlukan kedua-duanya: jaringan detection yang berterusan dan automatik, serta pencarian yang disengajakan dan dipimpin oleh manusia melalui hunting. Terima kasih kepada AI, gabungan itu tidak lagi dikhaskan untuk syarikat besar, ia kini dalam jangkauan perniagaan yang paling memerlukannya.

Soalan lazim

Adakah threat hunting hanya untuk syarikat besar?

Tidak lagi. Hunting yang dibantu AI yang disampaikan melalui perkhidmatan MDR menjadikan hunting proaktif mampu milik untuk PKS, tanpa perlu mengambil penganalisis pakar.

Adakah threat hunting menggantikan alat detection?

Tidak. Hunting melengkapi detection. Detection menyediakan liputan yang luas dan sentiasa aktif; hunting mencari ancaman senyap yang terlepas oleh detection, dan menyalurkan peraturan baharu kembali ke detection.

Berapa kerapkah threat hunting perlu berlaku?

Hunting biasanya berterusan atau berkala dan disasarkan, sering dicetuskan oleh threat intelligence baharu. Dalam perkhidmatan terurus, ia berjalan bagi pihak anda tanpa anda perlu menjadualkannya.

Apakah peranan MITRE ATT&CK?

ATT&CK adalah pangkalan pengetahuan tentang teknik penyerang sebenar. Hunters menggunakannya untuk membentuk hipotesis tentang bagaimana penceroboh mungkin berkelakuan, menjadikan hunting lebih berstruktur daripada tekaan.

Rujukan

• MITRE ATT&CK, attack.mitre.org
• SANS Institute, Sumber Threat Hunting, sans.org
• NIST Cybersecurity Framework, nist.gov/cyberframework
• CyberSecurity Malaysia, cybersecurity.my

Bacaan berkaitan: Apa itu MDR (Managed Detection and Response)? dan SIEM vs MDR: yang mana diperlukan oleh perniagaan anda?