在刚才完毕没多久的RSA大会上，科学研究工作员表明假如实施恰当，威胁追踪可以协助公司维持对威胁的领跑。
很多早已实施了网络威胁追踪能力的机构并沒有从这当中得到完全的益处，缘故是她们欠缺必需的技术组成，或是是由于她们沒有彻底将其做为网络信息安全计划的一部分。
Digital Guardian企业的CISO和管理方法安全保障高级副总裁Tim Bandos说，企业易犯的不正确包含小看了需要的时长和没获得由上而下的适用。
Bandos说："无论是在内部结构或是根据管理方法服务提供商开展威胁检索，全是总体网络信息安全发展战略的一个主要构成部分。威胁追踪并不是等候事情产生，反而是为公司给予一种方式，根据设定圈套和找寻自然环境中暗示着异常主题活动的手段来自动找寻潜在性问题。"他说道："可是，除非是它就是你的计划的一个宣布一部分，不然你并不是在这方面取得成功。
近些年，大家对积极捕获威胁以保证对新的和已经发生的威胁的兴趣爱好越来越大。安全性科研工作人员将其叙述为给公司带来了一种方式，尝试发觉很有可能早已逃走或绕开入侵检测技术和防止操纵的威胁。威胁检索的见解是假定一个系统漏洞早已产生，随后应用网络攻击很有可能会运用的同样技术性追踪它很有可能产生的任何不一样方法。关键不取决于独立抓捕已经知道的威胁，而取决于发觉新的威胁。
Gartner之前曾叙述过网络威胁检索的功效，尤其是针对一些早已最大限度地增强了他俩的报警分离、检验和回应全过程，并已经寻找进一步改进其安全性情况的机构。
Bandos说，威胁检索是公司必须不断开展的工作中，以MITRE的ATT&CK架构等資源为起始点。该架构给予了不一样的技术性跟子技术性，威胁者通常选用这种技术性做为攻击链的一部分。安全性精英团队可以利用检索它们的自然环境，找寻一切这种工艺被用于开启或搞混故意主题活动的征兆，进而学得许多。他说道：“你能在一整个礼拜内根据你的自然环境检索这种新技术中的任意一个，刻苦钻研。”
一样，公司可以从她们的节点自然环境的日志中认识到许多，或是根据对以往一周很有可能建立的全部帐户开展剖析，将合理合法的账号与很有可能更异常的帐户区别起来。
取得成功的威胁捕杀必须对新的和已经发生的网络攻击战略、技术性和程序流程有一定的掌握。一样，它也必须有持续回过头来再看老技术性的意向，由于网络攻击通常趋向于坚持不懈应用她们了解的、之前对她们有效的战略。
为了更好地开展合理有效的威胁追踪，安全性精英团队必须有一个靠谱的数据库，如安全信息和事件智能管理系统，该体系具备来源于好几个由来的集中型日志。即使是来源于某些自然环境的日志--如节点检验和回应、病毒防护专用工具、互联网和内容丢失防止(DLP)系统软件，也足够用以威胁追踪。一旦界定了数据库，威胁猎人就要采用不一样的技术性对它进行检索。
例如，总体目标可能是捕获自然环境中的凭据供应征兆。他说道：“你需要归纳全部你了解的有关凭据存贮程序流程和指令的威胁情报信息，并紧紧围绕你需要紧紧围绕这种日志积极主动找寻的物品创建一个游戏指南。一样的方式 可以运用于MITRE ATT&CK等架构中列举的每一种不一样的进攻技术性。”
他说道："我将从关心一个相应的技术性逐渐，随后从那边暴发出一个点，你能从你的条件中的每一个节点搜集一个相应的产品工件，并根据这一些信息开展检索。"这就是你逐渐提升你在威胁追踪行业的能力的情况下。做为一个事例，他强调了储存在任何设备上的应用软件兼容模式缓存文件。缓存包括在特殊设备上运转的全部过程的纪录。只是紧紧围绕这一数据库，公司就可以进行全部捕杀主题活动。
恰当的技术组成
要想搞好这一工作中，威胁猎人必须对安全性构架、财产安全性、运用安全性和其它基本知识有扎实的掌握。她们还要一定水平的事情回应专业技能，包含日志剖析、恶意程序剖析、调查取证和威胁情报信息解决。除此之外，威胁猎人必须有剖析能力、细心和不懈的努力，Bandos说。此项工作中很有可能很枯燥，这些沒有正确态度的人很有可能没多久便会觉得消沉。
捕获威胁的一个挑戰是评判取得成功。有时候很有可能不清楚，威胁捕获演练一无所获是由于演练自身沒有恰当开展，或是由于的确没什么可发觉的。城市广场较小的条件中，威胁猎人很有可能常常沒有看到一切新的或掩藏的威胁。