Hunting

Hunting

Mục đích

Hunting hỗ trợ SOC tìm kiếm Indicators of Compromise (IOC) trên toàn hệ thống, giúp mở rộng phạm vi điều tra từ một host nghi ngờ.

Tính năng chính

• Tìm theo Process name, MD5/SHA1, IP, MAC, domain, command line.
• Lọc theo Office / Agent / Time range.
• Lưu truy vấn hunting để tái sử dụng.
• Tìm kiếm dấu hiệu của mã độc trên toàn bộ các sensor khác nhau
• Giúp phát hiện mối đe dọa tiềm ẩn trước khi gây thiệt hại.

Ví dụ sử dụng

• Tìm process chrome.exe trên một Office: chọn Office → field Process name → nhập chrome.exe → Hunting.
• Tìm IP: chọn Type = IPv4/IPv6 → nhập IP → Hunting.

Kết quả & hành động

• Kết quả liệt kê host/agent có IOC, timestamps và evidence (command line, parent process, network connections).
• Từ kết quả có thể: tạo ticket, star events, bắt đầu playbook SOAR, hoặc block IP.