L'indagine guidata da ipotesi è un metodo di threat hunting che inizia con un sospetto verificabile, come "un attaccante potrebbe usare account validi per muoversi di nascosto" oppure "questo host potrebbe fare beaconing verso un server di comando." I difensori raccolgono poi telemetria, log e contesto per confermare o smentire quell'idea.
Questo è importante perché i team di sicurezza raramente hanno tempo illimitato per ispezionare ogni evento. Un'ipotesi chiara focalizza la caccia, riduce il rumore e trasforma una preoccupazione vaga in controlli misurabili. Negli attacchi reali, questo approccio aiuta gli analisti a cercare piccoli indizi che, presi da soli, sembrano innocui, come orari di accesso insoliti, catene di processi anomale o destinazioni di rete rare. In difesa, mette anche in evidenza le lacune: se le evidenze mancano, ciò può rivelare logging debole, baseline scadenti o punti ciechi nella visibilità.