Threat Hunter.

Erfahrener Verteidiger, der proaktiv die Telemetrie eines Unternehmens nach Angreifer-Aktivitäten durchsucht, die bestehende Detektionen umgangen haben — auf Basis von Hypothesen, Threat Intelligence und Verhaltensanalysen. Es gehört zur Kategorie Rollen und Karriere der Cybersicherheit.

Erfahrener Verteidiger, der proaktiv die Telemetrie eines Unternehmens nach Angreifer-Aktivitäten durchsucht, die bestehende Detektionen umgangen haben — auf Basis von Hypothesen, Threat Intelligence und Verhaltensanalysen.

Ein Threat Hunter ist ein erfahrener Verteidiger, der proaktiv nach böswilliger Aktivität sucht, die der automatisierten Erkennung entgangen ist. Die Arbeit ist hypothesengetrieben: Ausgehend von MITRE-ATT&CK-Techniken, Threat-Intelligence-Berichten oder Anomalien gegenüber Baselines bewegt sich der Hunter durch Telemetrie aus EDR, SIEM, Identitäten, Cloud und Netzwerk, um die Präsenz eines Angreifers zu bestätigen oder auszuschließen. Hunter arbeiten eng mit Detection Engineers zusammen, um erfolgreiche Hunts in dauerhafte Detektionen zu überführen, und mit Incident Respondern, sobald aus einer Jagd eine Untersuchung wird. Die Rolle ist üblicherweise im SOC oder in einer dedizierten Cyber-Defense-Gruppe verortet und berichtet an einen SOC-Manager oder Head of Detection. Typische Qualifikationen sind mehrere Jahre Tier-2/3-SOC- oder DFIR-Erfahrung und Zertifizierungen wie GCFA, GCDA, GCIH oder CRTO.

Schutzmaßnahmen gegen Threat Hunter kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Cyber Threat Hunter, Adversary Hunter.