Threat hunting
La pratica di sicurezza proattiva di cercare gli attaccanti già entrati ma sfuggiti agli avvisi automatici — un'ipotesi alla volta, a mano, attraverso la telemetria.
La difesa ordinaria è reattiva: uno strumento genera un avviso, qualcuno indaga. Il threat hunting ribalta l'approccio e parte dal presupposto che l'attaccante sia già dentro e semplicemente non ancora visibile. Il cacciatore formula un'ipotesi — «se un account fosse stato compromesso, ci aspetteremmo accessi a orari insoliti» — e scava tra log e dati EDR per confermarla o scartarla.
Il lavoro si appoggia a una telemetria ricca proveniente da EDR, XDR e SIEM, oltre alla threat intelligence aggiornata sui metodi degli attaccanti. CrowdStrike e altri lo vendono come servizio con personale dedicato, perché i cacciatori esperti sono rari — e ciò che trovano è per lo più errore umano, più che una prova schiacciante.