Threat hunting это проактивный поиск злоумышленника, который уже внутри, но тревогу не поднял. Не ждем алерт, а сами проверяем гипотезы. MITRE ATT&CK здесь каркас: база знаний о тактиках и техниках реальных атак С чего начать: 1. Проверьте, что видите. Поиск без данных невозможен. Сопоставьте техники ATT&CK с тем, что реально пишется в логи (процессы, PowerShell, сеть, DNS) 2. Не хватайтесь за всю матрицу. Возьмите актуальное: с чего чаще начинают атаки на вашу отрасль, что видно в отчетах и в БДУ ФСТЭК 3...