Половината от специалистите по сигурност определят качеството или количеството на данните като най-голямата си пречка за ефективно търсене на заплахи (threat hunting), според проучването SANS 2026 Threat Hunting Survey. Екипите с работещи процедури (playbooks) описват логовете като своя таван, а пропуските в облачното регистриране и телеметрията на идентичността се появяват най-често.
Пропуските в логовете вредят най-много срещу атакуващите, които анкетираните виждат най-често – тези, които се сливат с легитимната активност. Залавянето им означава забелязване на поведение, което изглежда нередно, а това изисква стабилна представа за това как изглежда нормалната работа. Ако изградите тази представа от непълни или съдържащи несъответствия логове, търсенето генерира излишен шум, докато пробивът остава незабелязан.
Таз Уейк, инструктор в SANS, е наблюдавал как киберпрестъпниците работят за прикриване на следите си, което прави пропуските в събирането на данни още по-скъпи. „Защитниците трябва да вземат предвид прозорците за съхранение на доказателства, рисковете за целостта на логовете и предизвикателството на събирането на данни в голям мащаб“, описва Уейк в коментар към проучването.
Атакуващите вече изглеждат като администратори
Повечето анкетирани заявяват, че виждат как подкрепяни от държави злонамерени субекти използват техниката „living off the land“ (използване на налични легитимни инструменти). Техниката също така оглавява списъка при организираната престъпност и е на близкото второ място при групите за зловреден софтуер за откуп (ransomware).
Търсене на заплахи, изградено около познати зловредни хешове или IP адреси, няма да прихване някой, който използва същите инструменти като ИТ отдела. Търсенето трябва да бъде насочено към поведението, като например легитимен инструмент да прави нещо, което не трябва, или данни да напускат мрежата по необичаен маршрут. Всяка от тези проверки зависи от телеметрия, с която екипът може и да не разполага.
Облачните системи са мястото, където пропуските са най-големи. Една трета от анкетираните определят облачната инфраструктура като най-трудната среда за търсене на заплахи, изпреварвайки всяка друга среда. Този дял намалява съвсем малко спрямо миналата година, докато компаниите продължават да прехвърлят все повече от своите системи там.
Търсенето на заплахи отново се връща към импровизацията
Само 37% от програмите в момента следват официално дефинирана методология за търсене на заплахи. Импровизираното (ad hoc) търсене вече е малко по-често срещано. Джош Лемън, автор на проучването, посочва липсата на персонал като вероятна причина. Екип с недостиг на хора извършва каквото търсене може да поемат свободните му аналитици през съответната седмица.
Търсене на заплахи, което съществува само в главата на един аналитик, напуска компанията заедно с него. Публикувани рамки като PEAK и TaHiTI предоставят на екипите повторима структура, без да се налага да започват от нулата.
Все по-малко екипи следят резултатите си
Едва 40% от програмите официално измерват дали тяхното търсене на заплахи работи – спад от 64% през 2024 г. Докладваните резултати също са намалели. Едва 11% казват, че търсенето е подобрило сигурността им с 50% или повече през изминалата година, в сравнение с 47% през 2022 г.
Двете числа може да са свързани. Проучването не може да каже дали търсенето носи по-малко ползи, дали анкетираните се оценяват по-строго, или екипите, които са спрели да измерват, са спрели да забелязват резултатите. Лемън клони към последното: „Тенденцията е да намирате по-малко, когато не търсите.“
Ако извлечете само едно нещо от тези данни, нека то да бъде това: несигурността е рискът. Екип, който не може да покаже какво е разкрил чрез търсенето на заплахи, няма с какво да аргументира исканията си на среща за бюджета.
Изкуственият интелект все още не е решението
Една трета от анкетираните посочват добавянето на AI или машинно обучение към своите инструменти за търсене на заплахи като планирано подобрение – спад от 48% през 2025 г. Този спад може да означава, че екипите са преминали от планиране към внедряване или че са погледнали по-реалистично на това какво предоставят тези инструменти в ежедневната работа. Проучването не може да потвърди кое от двете е вярно. Ранните текстови отговори описват агентни рамки за търсене на заплахи, при които крайното решение остава в ръцете на аналитиците.
