Recruter un threat hunter : compétences et évaluation
Recruter un threat hunter : missions, prérequis, compétences à vérifier, exercice pratique et questions d'entretien pour reconnaître un vrai chasseur de menaces.
Le threat hunter cherche ce que vos outils de détection n'ont pas vu. Le titre est séduisant, beaucoup de candidats l'affichent, mais peu savent réellement formuler une hypothèse, la tester dans les données et en tirer une amélioration durable. Ce guide vous aide à décider si vous avez besoin de ce poste, à le cadrer et à évaluer les candidats sur ce qu'ils savent faire.
Ce que fait vraiment un threat hunter
La chasse aux menaces part d'un postulat simple : un attaquant compétent peut être présent dans votre système d'information sans déclencher la moindre alerte. Le threat hunter ne traite donc pas une file d'alertes. Il part d'une hypothèse et va chercher, de façon proactive, des traces d'activité malveillante dans les journaux, la télémétrie EDR et les flux réseau.
Une campagne de chasse suit généralement le même cycle :
- Formuler une hypothèse. Par exemple : « un attaquant utilise des outils d'administration légitimes pour se déplacer entre nos serveurs ».
- Identifier les données utiles. Quels journaux, quelle télémétrie, sur quelle période, et sont-ils réellement collectés ?
- Chercher. Requêtes, statistiques simples, recherche d'anomalies, comparaison avec un comportement habituel.
- Qualifier. Distinguer l'activité légitime (un script d'administration, un outil de sauvegarde) de l'activité suspecte.
- Capitaliser. Transformer ce qui a été appris en règle de détection, en correction de collecte ou en recommandation de durcissement, et documenter la chasse même quand elle ne trouve rien.
Ce dernier point fait la différence. Une chasse qui ne débouche sur rien de réutilisable a un intérêt limité. Un bon threat hunter rend la détection meilleure à chaque campagne.
Avez-vous besoin d'un threat hunter ?
La chasse aux menaces suppose un socle. Sans lui, le poste risque de se transformer en analyste SOC mal défini ou en projet de collecte de journaux. Vérifiez ces prérequis avant d'ouvrir le recrutement :
| Prérequis | Pourquoi c'est important | Si ce n'est pas le cas |
|---|---|---|
| Une télémétrie riche et conservée (EDR, journaux système, authentification, réseau) | On ne chasse pas dans des données absentes | Priorisez un ingénieur détection ou un ingénieur SIEM |
| Une capacité de détection et de traitement des alertes déjà en place | La chasse complète la détection, elle ne la remplace pas | Commencez par recruter un analyste SOC |
| Un processus de réponse à incident | Une chasse fructueuse ouvre un incident qu'il faut savoir traiter | Structurez d'abord la réponse à incident |
| Du temps protégé | Un hunter absorbé par les alertes du quotidien ne chasse plus | Clarifiez la part de temps réservée à la chasse |
Dans beaucoup d'organisations de taille moyenne, la chasse est d'abord une activité confiée à un analyste N3 ou à un ingénieur détection, quelques jours par mois. Un poste dédié se justifie quand le volume de télémétrie, l'exposition aux menaces ciblées et la maturité de l'équipe le permettent. Si vous travaillez avec un prestataire de SOC managé, demandez-vous aussi ce qu'il couvre déjà et ce qui doit rester en interne.
Les compétences à vérifier
La connaissance des techniques d'attaque
Le threat hunter doit savoir comment opèrent les attaquants une fois à l'intérieur : élévation de privilèges, persistance, mouvement latéral, exfiltration. Le référentiel MITRE ATT&CK sert de langage commun. Un bon candidat ne récite pas des identifiants de techniques : il explique ce qu'une technique laisse comme traces, et où.
La maîtrise des données
C'est le cœur du métier. Vérifiez :
- la lecture des journaux Windows (authentifications, création de processus, services, tâches planifiées) et, selon votre parc, Linux et cloud ;
- l'aisance avec au moins un langage de requête de SIEM ou d'EDR, et la capacité à en apprendre un autre ;
- un usage pratique du scripting (Python, PowerShell) pour manipuler des volumes de données ;
- le raisonnement statistique simple : fréquence, rareté, regroupement, comparaison à une base de référence.
La connaissance de l'environnement
Active Directory, gestion des identités, architecture réseau, services cloud : on ne repère une anomalie que si l'on sait à quoi ressemble la normalité. Un candidat qui pose des questions précises sur votre environnement pendant l'entretien est un bon signe.
La rigueur et la restitution
Une chasse doit être reproductible et compréhensible. Le threat hunter documente ses hypothèses, ses requêtes et ses conclusions, et sait expliquer un résultat à un RSSI comme à un analyste N1. Il sait aussi dire qu'une chasse n'a rien trouvé, et ce que cela signifie (ou non).
Les profils qui réussissent
La plupart des threat hunters viennent de trois horizons :
- L'analyste SOC N2 ou N3 qui a pris l'habitude d'aller au-delà de l'alerte. Il connaît les outils et le bruit du quotidien.
- L'analyste réponse à incident ou forensique, habitué à reconstituer le parcours d'un attaquant. Il apporte la rigueur d'enquête.
- Le pentester ou red teamer qui veut passer côté défense. Il connaît les techniques offensives de l'intérieur, mais doit apprendre à raisonner sur de grands volumes de données et sur le comportement légitime.
Aucun de ces parcours n'est meilleur dans l'absolu. Choisissez en fonction de ce qui manque à votre équipe : la culture offensive, la méthode d'enquête ou la connaissance de vos outils.
Comment évaluer un candidat
L'exercice pratique
Le CV et les certifications disent peu de chose sur la capacité à chasser. Un exercice sur des données réelles ou réalistes est le moyen le plus fiable de trancher, comme nous l'expliquons dans notre article sur l'évaluation des compétences au-delà du CV.
Un format qui fonctionne bien :
- Fournissez un jeu de journaux anonymisés ou un environnement de lab contenant une activité malveillante discrète au milieu d'une activité normale.
- Donnez une hypothèse de départ, ou demandez au candidat d'en formuler une.
- Laissez-lui un temps limité pour chercher, puis demandez une restitution : ce qu'il a cherché, comment, ce qu'il a trouvé, et la règle de détection qu'il proposerait.
Observez la démarche plus que le résultat. Un candidat qui ne trouve pas tout mais explique clairement son raisonnement, élimine les fausses pistes et propose une détection exploitable vaut souvent mieux qu'un candidat qui tombe sur la bonne trace sans savoir dire pourquoi.
Les questions d'entretien
- « Proposez-moi trois hypothèses de chasse pour notre environnement. » On attend des hypothèses liées à votre contexte (télétravail, cloud, sous-traitants), pas une liste générique.
- « Votre chasse ne trouve rien. Qu'en faites-vous ? » Une bonne réponse parle de documentation, de vérification de la couverture des données et de transformation de la requête en détection.
- « Comment distinguez-vous un administrateur légitime d'un attaquant qui utilise les mêmes outils ? » Le candidat doit évoquer le contexte : horaires, comptes, machines sources, fréquence, comparaison avec l'historique.
- « Racontez une chasse dont vous êtes fier. » Cherchez une hypothèse claire, une méthode, un résultat concret et une amélioration durable.
- « Que vous manque-t-il le plus souvent dans les données ? » Cette question révèle l'expérience réelle de la collecte et de ses limites.
Pour harmoniser la notation entre plusieurs intervenants, notre guide pour structurer un entretien technique cyber propose une grille simple. Les questions sur la gestion d'un incident, une fois la menace confirmée, peuvent s'inspirer de nos questions d'entretien pour la réponse à incident.
Les erreurs à éviter
- Recruter avant d'avoir les données. Un excellent hunter sans télémétrie exploitable passera son temps sur des projets de collecte et risque de partir.
- Confondre chasse et traitement d'alertes. Si le poste consiste surtout à vider une file d'alertes, appelez-le analyste SOC et recrutez en conséquence.
- Surévaluer le titre. « Threat hunter » sur un CV ne garantit pas une pratique régulière. Faites décrire des chasses précises.
- Ne pas mesurer la contribution. Fixez des attentes qualitatives : nouvelles détections créées, angles morts de collecte identifiés, recommandations de durcissement.
- Laisser traîner le processus. Ces profils sont rares et très sollicités. Les semaines perdues entre deux entretiens coûtent cher, comme le montre notre article sur le délai de recrutement en cybersécurité.
En résumé
Un threat hunter apporte de la valeur quand votre détection est déjà en place, que vos données sont riches et que son temps de chasse est protégé. Évaluez-le sur sa capacité à formuler des hypothèses, à manipuler les données et à transformer chaque chasse en amélioration de la détection. Un exercice pratique sur des journaux réalistes révèle ces qualités bien mieux qu'un entretien théorique.
Vous souhaitez renforcer votre équipe avec un threat hunter ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le poste avec vous, vérifient vos prérequis et mènent la recherche ensemble. Nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques. Découvrez notre méthode ou partagez votre besoin.