威胁狩猎概述
什么是威胁狩猎（定义）
威胁狩猎是一种主动、周期性的安全活动，旨在发现未被现有防御体系检测到的失陷信号。其核心特征包括：
- 定义：主动搜索网络中潜伏的未检测威胁（CrowdStrike、CheckPoint）
- 活动性质：安全活动，基于失陷假设，针对所有相关环境
- 目标：发现未被现有防御体系发现的失陷信号
- 实施方式：安全运营人员主动开展，周期性执行
- 产出：明确的结论（已失陷/未失陷）和Playbook（数据源、分析规则、检测规则）
- 最终目标：解决安全防御体系中的痛苦金字塔问题
威胁狩猎在安全运营中的位置
- NIST框架：处于安全运营闭环中，连接多个领域（事件收集、检测引擎等）
- Google 10x运营体系：作为高阶运营活动，需在基础建设之上开展
- 安全运营阶段：属于检测阶段，补充现有检测能力，贯穿整个安全运营生命周期
- 闭环作用：促进暴露面管理、事件收集、检测规则、威胁情报的改善
- 成熟度提升：提高团队技能和整体运营成熟度
- 实施条件：依赖现有日志、SIEM、TI平台，但非完全成熟条件限制开展
- 问题解决：主要解决痛苦金字塔上层问题
威胁狩猎为什么重要而且必须
- 被动检测局限性：多数失陷事件在事件后6个月才被发现（第三方发现2.5%）
- 核心原因：信息安全对抗性本质导致防御手段需持续进化
- 木桶效应：防御水平取决于最薄弱环节，攻击者天然占据优势
- 重要价值：
- 将未知威胁转为已知威胁
- 深入检验现有数据采集、检测规则、情报成熟度
- 检验防御手段覆盖面和缺失面
- 提升安全运营成熟度
- 提高团队技战术水平
- 满足合规需求
- 实现从What到Why的威胁分析
- 验证威胁情报有效性
- 支持特定安全领域专项研究
- 增加管理者对网络环境的信任
Motivation & Preparation
- GOST框架：包含目标（Goals）、目标（Objectives）、策略（Strategies）、战术（Tactics）
- 组织团队：扁平化结构，可兼任TI、IR角色，流程重于架构
- 准备工作：
- 数据源：边界/纵深防御设施、日志数据
- 数据字典：确保数据完备性、时效性、准确性
- 技术栈：分析工具（MSTICpy、Hunter）、实验室环境（DetectionLab）
威胁狩猎类型
- 情报驱动：针对特定APT组织（如APT-X）
- TTP驱动：基于攻击手法（如Microsoft Word启动恶意进程）
- 基线行为：分析流量、进程、命令等基线行为异常
流程 Process
- OTHF流程：
- 开发假设：基于情报、TTP或异常（如T1204.002执行）
- 建立证据：了解攻击背景、TTPs、采集IOA
- 执行分析：制定策略（体量分析、频率分析等）、验证假设
- 归档：记录假设、数据集、分析Playbook、结论、转换规则
- 关键工具：Sentinel、Bert-Jan、ThreatHuntingProject等Playbook
总结
威胁狩猎作为主动防御手段，通过科学方法（假设-验证）发现未检测威胁，对提升安全运营成熟度、验证防御体系、增强团队技能具有重要价值。其有效实施需依赖完善的数据基础、专业团队和标准化流程，是解决安全防御痛点的关键环节。
