L'endpoint hunting è la ricerca proattiva di segnali di attività malevola su laptop, server e altri dispositivi. Anziché attendere un avviso, gli analisti interrogano la telemetria degli endpoint, come alberi dei processi, cronologia della riga di comando, modifiche ai file, meccanismi di persistenza, artefatti in memoria e connessioni di rete, per individuare una compromissione.
È importante perché molti attacchi lasciano solo tracce sottili a livello del dispositivo: uso insolito di PowerShell, attività pianificate nascoste, strumenti per il dumping delle credenziali o connessioni in uscita sospette. In ambito difensivo, l'endpoint hunting aiuta i team a scoprire più rapidamente gli intrusi, a verificare se un allarme è reale e a delimitare fin dove si è spostato un aggressore. Spesso viene eseguito con piattaforme di digital forensics e incident response, che possono raccogliere prove su molti host e supportare ricerche rapide e mirate durante un'indagine.