威胁搜寻方法与假设生成

威胁狩猎是由人员主动执行的过程，旨在通过搜索网络和 Endpoints，寻找已经绕过现有安全控制措施的攻击者。与被动式安全防护（等待警报）不同，威胁狩猎人员会利用由情报驱动的假设，主动查找入侵迹象。威胁狩猎假设环境中可能已有攻击者进入，但自动化工具尚未发现他们。

传统安全运营在很大程度上是被动式的——分析人员响应由 SIEM、EDR 工具和 Firewalls 生成的警报。威胁狩猎从根本上来说是主动式的：狩猎人员会寻找可能不会触发警报的威胁，因为攻击者可能使用合法工具，或已经规避了检测规则。两种方法都不可或缺；威胁狩猎可以弥补高级威胁带来的盲区，因为这类威胁会隐藏在正常活动中。

每次狩猎都始于一个假设——关于攻击者在环境中行为的可测试陈述。优秀的假设应当具体、由情报驱动，并且可以证伪。例如：“拥有域凭据的攻击者可能正在使用 PowerShell 远程处理，在销售子网中的 Workstation 之间进行 Lateral Movement。”假设决定了要收集哪些数据、要运行哪些查询，以及要搜索哪些指标。

MITRE ATT&CK 框架是威胁狩猎假设最广泛使用的来源。它整理了真实威胁行为者使用的战术、技术和过程（TTP），并按照攻击阶段进行组织（初始访问、执行、持久化、Lateral Movement 等）。狩猎人员使用 ATT&CK，根据当前威胁形势以及其特定环境暴露的攻击面，确定最可能使用的技术。

威胁情报源提供外部背景信息，可触发相关的狩猎假设。一份关于勒索软件组织正在针对您所在行业的情报报告，或包含新识别 C2 域名的 IoCs 源，都可以直接促成一次狩猎。狩猎人员会检查这些 IoCs 是否出现在日志中，所描述的技术是否曾在环境中使用，以及是否有系统与报告中提到的恶意基础设施进行过通信。

狩猎假设的第二个来源是环境基线偏差。通过了解正常情况——哪些帐户会在夜间登录、哪些服务器会发出 DNS 请求、哪些进程通常在 Workstation 上运行——狩猎人员可以识别值得调查的异常。基线狩猎需要事先进行数据收集和基线建立，但它能够捕获那些通过贴近正常行为来避开已知恶意特征的复杂攻击者。

有效的威胁狩猎遵循持续循环。规划：制定假设。狩猎：查询日志和遥测数据，以验证假设。分析：调查发现并确定是否存在恶意活动。响应：将已确认的威胁升级交由 IR 团队处理。改进：将成功的狩猎转化为自动化检测规则，使同一技术在未来触发警报——从而改进 SOC，而不必每次都进行人工狩猎。

有效的狩猎需要丰富的遥测数据。关键数据源包括EDR 遥测（每个 Endpoint 的进程创建、文件写入和网络连接）、身份验证日志（Active Directory、SAML、VPN）、DNS 查询日志（检测 DGA 域名和隧道）、网络流数据（NetFlow、zeek 日志），以及云审计日志（AWS CloudTrail、Azure Activity Log）。遥测数据越丰富，狩猎的可见性就越高。

威胁狩猎人员会使用多类工具。SIEM 平台（Splunk、Microsoft Sentinel）提供日志聚合和查询界面。EDR 平台（CrowdStrike、SentinelOne）提供 Endpoint 遥测和实时查询功能。Velociraptor 等专用狩猎工具支持大规模地对 Remote Endpoint 执行实时响应和工件收集。Jupyter Notebooks通常用于复杂狩猎期间的临时数据分析。

每次狩猎——无论成功与否——都应记录下来。狩猎报告应记录假设、查询的数据源、使用的查询、发现结果和结论。否定结果（未确认假设）同样有价值，因为它们证明了覆盖范围，并有助于改进未来的假设。肯定结果会生成事件工单，并且最好还能产生新的检测规则。文档记录可以积累组织知识，并向管理层证明狩猎计划的价值。

成熟的威胁狩猎计划会逐步提升能力水平。Level 0：完全依赖自动化警报。Level 1：使用临时查询进行基本人工狩猎。Level 2：根据 ATT&CK 和情报制定结构化假设。Level 3：狩猎会产生自动化检测，狩猎团队进行专业化分工，并持续更新威胁模型。组织应将平均驻留时间的缩短幅度作为衡量狩猎计划成效的关键指标。

测试您对本课 CompTIA Security+ (SY0-701) 概念的理解。

在本课中，您学习了：威胁狩猎是一种主动调查，它假设部分攻击者已经绕过检测；假设来自 MITRE ATT&CK、威胁情报和基线偏差；成功的狩猎会产生自动化检测规则，持续提升 SOC 的检测能力。接下来，我们将学习 SIEM 架构——这一平台提供支持狩猎所需的日志聚合和关联功能。