假设驱动的威胁狩猎
从一个假设开始
假设驱动的威胁狩猎 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
从理论出发
基于假设的威胁狩猎从一个具体且可测试的理论开始，用于说明攻击者可能如何在您的环境中开展活动。
清晰的假设会将开放式搜索转变为有重点的调查。
什么是假设的良好标准
良好的假设应当具体、可测试，并以实际能够收集的数据为依据。
- 错误：攻击者可能在我们的网络中。
- 正确：攻击者正在利用计划任务在工作站上实现持久化。
假设从何而来
假设可以受到威胁情报、近期事件、MITRE ATT&CK 框架，或对自身薄弱环节的了解启发。
阅读针对您所在行业的攻击活动，是开展狩猎的绝佳契机。
将假设表述为问题
将假设转换成数据能够回答的问题。
每个问题都对应一个针对日志或遥测数据的查询。
Hypothesis: persistence via scheduled tasks
Question: which hosts created new
scheduled tasks in the last 30 days,
and who created them?确定所需数据
查询之前，列出能够证实或否定假设的数据源。
针对计划任务，您需要进程创建日志和相关系统事件 ID。
Needed data:
- process creation events
- scheduled task creation logs
- the user/account that ran them查询并收集
运行有针对性的查询，提取相关事件。请将范围控制得较小，以免淹没在噪声中。
SIEM 查询以可搜索的形式表达狩猎问题。
event.code: 4698 AND
task.command: ('*powershell*' OR '*cmd*')
| stats count by host, user, task_name分析结果
查看返回的结果。将预期情况（管理员维护）与可疑情况（启动经过编码的 PowerShell 的任务）区分开来。
过滤掉已知正常项，只留下简短的线索列表。
确认或否定
每条线索要么证实假设，要么否定假设，要么需要更多数据。请保持诚实。被否定的假设也是有效且有用的结果。
如果得到证实，请携带证据将其升级给事件响应团队。
沿线索展开调查
当某项活动看起来可疑时，请转向调查并向外追踪。从可疑任务入手，查看进程树、网络连接以及所涉及的账户。
一条线索常常足以揭开整起入侵。
suspicious task -> parent process
-> network connections
-> other hosts same account
-> timeline of activity记录所有内容
记录假设、查询、检查过的数据以及结论。文档记录能让狩猎可重复且便于教学。
它还会将已确认的技术转化为新的自动化检测。
迭代并完善
根据发现的结果完善假设，然后再次开展狩猎。狩猎是持续循环，而不是一次性任务。
每次迭代都会使您的问题更加精准，并扩大覆盖范围。
快速检查
测试您对基于假设的威胁狩猎的理解。
回顾
您学习了基于假设的威胁狩猎。
- 从具体、可测试且以数据为依据的理论开始。
- 假设来源于情报、事件和 ATT&CK。
- 将假设表述为问题，确定数据，执行查询并进行分析。
- 诚实地确认或否定假设；围绕可疑线索展开调查。
- 记录所有内容并持续迭代。
接下来，您将跨日志和遥测数据源开展狩猎。
常见问题解答
「假设驱动的威胁狩猎」课时是免费的吗？
是的 — 「假设驱动的威胁狩猎」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「假设驱动的威胁狩猎」这节课中我会学到什么？
从一个假设开始 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「假设驱动的威胁狩猎」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 威胁狩猎思维
- 假设驱动的威胁狩猎
- 使用日志和遥测数据
- MITRE ATT&CK 映射