使用日志和遥测数据
跨数据源进行威胁狩猎
使用日志和遥测数据 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
数据驱动威胁狩猎
狩猎的质量取决于其背后的数据。日志和遥测数据是攻击者在各个系统中留下的证据链。
本课将介绍关键数据源，以及如何跨这些数据源开展狩猎。
终端遥测
终端数据是信息最丰富的来源。EDR 和 Sysmon 等工具会记录进程创建、命令行、文件写入和注册表更改。
大多数现代攻击都会接触终端，因此许多狩猎从这里开始。
Endpoint signals:
- process creation + command line
- parent/child process tree
- file and registry modifications
- module/DLL loads网络日志
网络数据展示主机连接到哪里。防火墙日志、代理日志、DNS 日志和 Zeek 记录可以揭示信标通信、数据外泄和横向移动。
这些数据通过展示通信情况，为终端数据提供补充。
身份验证日志
身份验证日志揭示账户的使用方式。请查找异常时段登录、来自新位置的登录，或先失败后成功的模式。
Windows 事件 ID 和目录服务日志在这里至关重要。
Auth red flags:
- 4625 (failed) then 4624 (success)
- logon from new geo / new host
- service account interactive logon云和软件即服务日志
现代环境会生成云日志：应用程序接口活动、身份登录和配置更改。
请查找新建的访问密钥、被禁用的日志记录或异常的管理应用程序接口调用。
使用 SIEM 集中管理
SIEM 会将各处日志收集到一个可搜索的位置。只有在数据集中化后，跨数据源狩猎才切实可行。
Splunk、Elastic 和 Sentinel 是常见的平台。
规范化很重要
不同来源对字段的命名不同。规范化会将它们映射到通用架构，使一次查询能够跨越多个来源。
否则，您必须为每种日志格式编写新的查询。
src_ip, source.ip, ClientIP
-> normalize to: source_address跨数据源关联分析
真正的力量在于关联分析：将某个终端上的进程、网络连接和身份验证事件按同一主机及时间关联起来。
一个来源引起怀疑；三个来源结合起来才能构成完整证据链。
host=WS-04 at 02:14:
endpoint: powershell spawned by word
network: outbound to 185.x.x.x:443
auth: admin login from WS-04
= strong lead留意缺口
了解您没有记录哪些内容。攻击者擅长利用盲点：未记录日志的主机、已禁用的命令行审计或较短的日志保留期限。
发现缺口本身就是有价值的狩猎结果。
保留期限与数据量
日志规模巨大，而存储空间有限。请在保留期限与成本之间取得平衡，以便开展狩猎时数据仍然存在。
今天才发现的攻击可能在几个月前就已开始；过短的保留期限会将其隐藏起来。
将发现转化为检测
当跨日志狩猎发现一种技术时，请将其编码为检测规则，这样下次 SIEM 就能自动捕获它。
这就是手动狩猎持续强化自动化防御的方式。
快速检查
测试您对日志和遥测数据的理解。
回顾
您学习了如何跨日志和遥测数据开展狩猎。
- 终端数据（进程、命令行）是信息最丰富的来源。
- 网络、身份验证和云日志可以补充上下文。
- SIEM 集中管理数据；规范化支持跨数据源查询。
- 关联多个数据源以建立有力线索。
- 留意日志记录缺口和保留期限；将发现转化为检测。
接下来，您将把发现映射到 MITRE ATT&CK。
用 AI 导师学习 Cyber Security Academy — 免费
在浏览器中编写并运行真实代码，获得全天候 AI 导师的即时帮助，并在网页或应用中继续学习。
- 课程
- 76
- 课程
- 303
常见问题解答
「使用日志和遥测数据」课时是免费的吗？
是的 — 「使用日志和遥测数据」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「使用日志和遥测数据」这节课中我会学到什么？
跨数据源进行威胁狩猎 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「使用日志和遥测数据」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 威胁狩猎思维
- 假设驱动的威胁狩猎
- 使用日志和遥测数据
- MITRE ATT&CK 映射