Il threat hunting ribalta la logica del SOC: invece di aspettare che un allarme scatti, si va a cercare l'intruso partendo dall'ipotesi che sia già dentro e che i controlli automatici non l'abbiano visto. È attività umana, guidata da ipotesi, non da alert.
Come si struttura un hunt: si parte da un'ipotesi analitica basata su threat intelligence ("se un attaccante usasse la tecnica X di MITRE ATT&CK, lascerebbe la traccia Y"), si interrogano i log e la telemetria EDR cercando quella traccia, si conferma o si smentisce, e – la parte che dà valore duraturo – si trasforma l'hunt in una regola di detection automatica, così quella minaccia non va più cercata a mano.
Il principio guida è la Pyramid of Pain: cacciare i comportamenti (le TTP, difficili da cambiare per l'attaccante) rende più della caccia agli IP e agli hash (che l'attaccante cambia in un minuto). Richiede maturità – log buoni, un analista che sa cosa cerca – ma è ciò che separa un SOC che reagisce da uno che anticipa. Nel self-hosting, la base è un SIEM con dati puliti su cui poter interrogare.