بر اساس نتایج نظرسنجی SANS 2026 در زمینه شکار تهدیدات، نیمی از متخصصان امنیت، کیفیت یا کمیت داده‌ها را بزرگترین مانع در مسیر اجرای موثر Threat Hunting می‌دانند. تیم‌هایی که دارای Playbookهای عملیاتی هستند، اشاره کرده‌اند که محدودیت‌های مربوط به Logها، سقف توانمندی آن‌ها را تعیین می‌کند و کمبودهای موجود در Logهای ابری و Telemetry مربوط به هویت (Identity)، بیشترین تکرار را در پاسخ‌ها داشته‌اند.
تاثیر نقص داده‌ها بر شناسایی مهاجمان
کمبود داده‌ها به‌ویژه در مواجهه با مهاجمانی که تلاش می‌کنند فعالیت‌های خود را با ترافیک عادی شبکه ترکیب کنند، آسیب‌زا است. شناسایی این مهاجمان مستلزم تشخیص رفتارهای غیرعادی است که این امر تنها با داشتن تصویری دقیق از وضعیت «عادی» (Normal) امکان‌پذیر است. زمانی که این تصویر بر اساس Logهای ناقص یا ناسازگار ساخته شود، سیستم‌های شکار تهدید تنها نویز تولید می‌کنند و نفوذ واقعی از دید تحلیلگران پنهان می‌ماند.
Taz Wake، مدرس SANS، اشاره می‌کند که مهاجمان همواره برای پاک کردن ردپای خود تلاش می‌کنند و این موضوع باعث می‌شود شکاف‌های موجود در جمع‌آوری داده‌ها هزینه‌برتر شوند. وی تاکید می‌کند که مدافعان باید بازه‌های زمانی نگهداری شواهد (Retention Windows)، ریسک‌های مربوط به یکپارچگی Logها و چالش‌های جمع‌آوری داده در مقیاس بالا را مدنظر قرار دهند.
روند استفاده از تکنیک Living off the Land
اکثریت پاسخ‌دهندگان گزارش داده‌اند که عوامل تهدید دولتی (Nation-state actors) از تکنیک Living off the Land (LotL) استفاده می‌کنند. این روش همچنین در صدر لیست متدهای گروه‌های جنایی سازمان‌یافته قرار دارد و در رده دوم حملات باج‌افزاری است.
- شکار تهدید بر اساس Hashها یا IPهای شناخته شده، نمی‌تواند مهاجمی را که از ابزارهای استاندارد بخش IT استفاده می‌کند، شناسایی کند.
- تمرکز باید بر تحلیل رفتار (Behavioral Analysis) باشد؛ مانند استفاده از یک ابزار قانونی برای مقاصدی غیرمجاز یا خروج داده‌ها از مسیرهای غیرمعمول.
چالش‌های محیط‌های ابری و متدولوژی
سیستم‌های ابری (Cloud) بیشترین شکاف داده‌ای را دارند. یک‌سوم پاسخ‌دهندگان، زیرساخت‌های ابری را سخت‌ترین محیط برای Threat Hunting دانسته‌اند. در حالی که سازمان‌ها به طور گسترده در حال انتقال به Cloud هستند، این چالش همچنان پابرجاست.
از نظر متدولوژی، تنها ۳۷٪ از برنامه‌ها از یک روش تعریف‌شده و رسمی پیروی می‌کنند و شکار تهدیدهای موردی (Ad hoc) رایج‌تر شده است. کمبود نیروی متخصص به عنوان دلیل اصلی این اتفاق ذکر شده است. در این شرایط، استفاده از چارچوب‌های منتشر شده مانند PEAK و TaHiTI می‌تواند به تیم‌ها کمک کند تا بدون نیاز به شروع از صفر، ساختاری تکرارپذیر داشته باشند.
سقوط نرخ اندازه‌گیری موفقیت و نقش AI
تنها ۴۰٪ از برنامه‌ها به طور رسمی میزان موفقیت شکار تهدیدات خود را اندازه‌گیری می‌کنند که نسبت به سال ۲۰۲۴ (۶۴٪) کاهش چشمگیری داشته است. همچنین، تنها ۱۱٪ معتقدند که این فعالیت‌ها امنیت آن‌ها را بیش از ۵۰٪ بهبود بخشیده است.
در مورد فناوری‌های نوظهور، یک‌سوم پاسخ‌دهندگان افزودن AI یا Machine Learning به ابزارهای شکار تهدید را در برنامه‌های خود دارند. این کاهش تمایل نسبت به سال گذشته ممکن است به دلیل انتقال از مرحله برنامه‌ریزی به پیاده‌سازی یا بازنگری در کارایی واقعی این ابزارها باشد. پاسخ‌های اولیه نشان‌دهنده تمایل به استفاده از چارچوب‌های Agentic Hunting است که در آن تصمیم نهایی همچنان بر عهده تحلیلگر باشد.
