04 · 检测工程方法论
4.1 ATT&CK驱动的检测工程闭环
检测工程（Detection Engineering）是将威胁情报转化为可执行检测逻辑的系统化学科。以MITRE ATT&CK为核心的检测工程遵循"情报输入 → 检测假设 → 逻辑实现 → 对抗验证 → 部署运营 → 反馈度量"的闭环：从公开情报（如CISA联合公告、厂商APT报告）提取对手TTP，将其映射至ATT&CK技术编号，基于数据可得性设计检测假设，以Sigma等通用格式实现，再用Atomic Red Team等模拟攻击进行对抗验证，最终经SIEM/EDR部署并持续度量其命中与误报情况。
闭环中各环节均有成熟的公开工具与基准可依托：
- TTP映射与覆盖度量——MITRE ATT&CK Navigator覆盖图使组织可直观看到检测逻辑覆盖了哪些战术与技术、何处存在盲区，"加强检测能力"由此从口号变为可排期、可验收的工程任务；
- 中立能力基准——MITRE ATT&CK Evaluations对不同厂商产品的检测覆盖度提供中立参照（以公开评估结果为准，不构成选型建议）；
- 对抗验证——Atomic Red Team以原子化测试用例逐条执行ATT&CK技术；MITRE CALDERA提供自动化对抗仿真框架；二者均为开源项目，是检验"规则是否真能看见攻击"的标准化手段。
4.2 Sigma规则与"检测即代码"
Sigma（由Florian Roth等人发起）是安全领域的通用检测规则格式，以YAML描述日志检测逻辑，可经后端编译器转换为Splunk SPL、Elastic KQL、Sentinel KQL等多种查询语言，被誉为"检测界的Snort/Suricata"。围绕Sigma形成的生态（Sigma官方规则库、sigmac编译器等）使检测规则得以像代码一样版本化、评审化、CI/CD化——这就是"检测即代码"（Detection as Code）运动的核心：规则进Git仓库、变更走Pull Request、合并自动部署、命中自动回馈度量。一个权威实践例证是：2025年7月SharePoint ToolShell漏洞大规模利用事件中，CISA在事件响应过程中直接发布了配套的Sigma检测规则（见CISA恶意软件分析报告MAR-251132），供全球防守方直接编译使用——检测规则的开源共享已成为国家级响应的标准动作。
Sigma规则示例（教学演示，源自Sigma官方规范的结构）：检测Windows系统可疑PowerShell下载执行行为——以日志源 windows/process_creation 为对象，匹配 Image 含 powershell 且命令行包含 -enc 或 DownloadString 等特征，输出高严重度告警。真实规则可直接查阅Sigma官方仓库（github.com/SigmaHQ/sigma），本页不复制完整规则以避免版本漂移。
与Sigma配套的关键实践包括：YARA（恶意文件特征）、Snort/Suricata规则（网络侧特征）、Velociraptor的VQL（端点狩猎查询）、KQL/SPL检测逻辑（SIEM平台侧）。迪妙学院在攻防演练平台中内置了精简版Sigma规则教学沙箱，学员可在隔离环境中体验"编写规则—触发告警—调优误报"的完整循环。
4.3 数据管道：检测体系的"米"与"炊"
再精巧的检测逻辑也依赖上游数据管道的完整性。现代SOC的数据管道通常包括：采集（Sysmon/EDR遥测、Zeek/Suricata网络元数据、AD身份日志、防火墙/VPN设备日志、CloudTrail/K8s审计日志）、规范化（ECS/CIM等公共信息模型，使跨源关联成为可能）、富化（威胁情报IOC、资产上下文、用户风险评分）、路由（按数据价值分层存储：热数据7—30天在线检索、温数据数月低成本存储、冷数据合规归档——注意GB/T 22239-2019等保2.0要求审计记录留存不少于六个月）。管道建设的常见致命伤——时钟不同步（NTP缺失导致跨源时间线无法拼接）、关键设备日志未开启、TLS加密盲区无补偿遥测——在真实事件复盘中反复出现，本课题将其列为企业检测成熟度评估的第一组检查项。
4.4 对抗验证：BAS、紫队与检测有效性度量
规则"写出来了"不等于"能检测到攻击"。检测有效性（Detection Efficacy）的持续度量依赖三类互补机制：
| 机制 | 方法 | 适用场景 |
|---|---|---|
| 原子化测试 | Atomic Red Team等逐条执行TTP，验证单条规则命中 | 规则开发期调试、回归测试、CI流水线自动化 |
| BAS模拟攻击 | 入侵与攻击模拟平台（如Picus、AttackIQ等）持续模拟全链条攻击 | 度量整体检测覆盖率与预防/告警率，向管理层汇报 |
| 紫队协作 | 红队真实演练+蓝队实时检测调优，攻击知识双向即时反馈 | 实战化检验、揭示规则盲区、锤炼协同流程 |
迪妙学院特别强调紫队的教学价值：红蓝对抗的终点不是"红队赢"，而是蓝队的检测逻辑簿厚了一页。每次演练后，将红队使用的新技术转化为Sigma/KQL规则并回归测试，是紫队模式的核心产出。
4.5 云与身份检测工程：从"网络包"到"身份行为"
承接第1页2.2节的态势数据（云入侵中语音钓鱼23%居首、第三方入侵17%、窃取凭证16%），云与身份场景的检测工程有鲜明的特殊性：
- 令牌比密码更危险——攻击者越来越倾向于窃取长寿命OAuth令牌与会话Cookie（可绕过MFA），检测面必须覆盖令牌的异常使用（非常规地理/设备/权限范围调用）；
- SaaS供应商成为新的供应链入口——第三方SaaS失陷后，攻击者使用其硬编码密钥与个人访问令牌横向进入下游客户环境，监控第三方应用的异常API调用与权限变更至关重要；
- 帮助台是语音钓鱼的主攻点——M-Trends 2026披露的UNC3944等团伙专门冒充员工致电帮助台诱导密码重置与MFA变更，检测工程应将"帮助台重置工单+异常登录"的关联规则列为高优先级；
- 云控制面日志是新的"全流量"——CloudTrail、Entra ID登录日志、SaaS审计日志应享有与网络镜像同等的采集优先级。
05 · SOC安全运营中心
5.1 分层运营：Tier模型与警报分诊
成熟SOC普遍采用分层运营模型：Tier 1（监测分析员）负责告警队列分诊——确认或排除误报、富化上下文、按剧本执行初步处置，必要时升级；Tier 2（事件响应员）负责深入调查——时间线重建、范围界定、遏制执行；Tier 3（威胁狩猎/检测工程）负责主动狩猎、检测逻辑开发、与威胁情报对接。分层的本质是让昂贵的高级专家时间只花在真正需要人类判断力的地方，其余尽可能由自动化与剧本承接。
警报分诊（Alert Triage）的效率直接决定检测体系的整体效能。业界反复强调的"警报疲劳"问题：当分析员日均需处理的告警超过其有效容量时，漏报率非线性上升——此时宁可减少告警总量（通过聚合、抑制、富化优先级评分），也不能让队列无限膨胀。SOAR的价值正在于将高频低风险的重复性分诊动作（如IP信誉查询、哈希多引擎扫描、邮件头解析）剧本化，使人类专注真正可疑的少数告警。
5.2 运营度量：让安全能力可证明
"安全做得好不好"必须可度量、可对比、可改进。SOC运营的核心指标族包括：
| 指标 | 定义 | 基准参考 |
|---|---|---|
| MTTD（平均检测时间） | 从攻击发生到被检测确认的时间 | M-Trends口径的"驻留时间"即其分布中位数（2025年全球14天） |
| MTTR/MTTC（平均响应/遏制时间） | 从确认到完成遏制的时间 | 行业领先实践追求分钟级遏制；勒索场景应以"小时级"为警戒线 |
| 告警有效性 | 真实告警 / 总告警（1 − 误报率） | 持续低于可承受阈值时优先做检测调优而非加人 |
| 自主检出率 | 内部发现事件 / 全部事件 | M-Trends 2026：52%（2024年为43%） |
| 检测覆盖度 | 已覆盖ATT&CK技术 / 优先级技术清单 | 以Navigator覆盖图为载体，按对手针对性排序 |
| 剧本自动化率 | SOAR自动处置告警 / 适合自动化的告警 | 成熟SOAR实践可将分诊人力释放50%以上（厂商案例区间，仅供参照） |
教研提示：MTTD/MTTR是向管理层汇报安全价值的"通用语言"。建议企业在安全意识培训中向全员普及这两个概念——当财务、HR、行政部门理解"早发现一天=少损失一个量级"，安全文化建设才有群众基础。
5.3 MDR与云化SOC：能力获取的三种模式
并非所有组织都自建Tier 1—3团队。实践中检测响应能力的获取有三种典型模式，各有适用边界：
| 模式 | 特征 | 适用组织 |
|---|---|---|
| 自建SOC | 数据不出域、流程完全自主；成本高、周期长、依赖人才密度 | 大型机构、强监管行业（金融、能源、政务） |
| MDR托管 | 将监测分诊职能外包给专业厂商，保留遏制决策权；响应时效依赖供应商SLA | 中型组织、检测人才稀缺的传统行业 |
| 混合模式 | 自建Tier 3狩猎与检测工程，Tier 1分诊外包；兼顾深度与成本 | 成长型企业、多分支机构组织 |
模式选择的决策要点不在价格，而在于数据主权、响应授权边界与知识沉淀归属——外包可以买来告警处置工时，买不来组织自身的检测工程能力，而后者才是MTTD长期改善的根本。
06 · 威胁狩猎联动：检测的补充而非替代
本学院另设"威胁狩猎"子课题，此处仅界定其与入侵检测的关系：检测是"系统告诉人哪里可疑"，狩猎是"人告诉系统哪里值得查"。狩猎以假设驱动（如"假设APT组正在利用某款VPN的已知漏洞"）、情报驱动（IOC/TTP线索）、分析驱动（数据挖掘异常模式）三种方式展开，产出既可以是即时发现的事件，也可以固化为新的检测规则——狩猎的终点应回归检测工程闭环，使"一个人的发现"沉淀为"体系的常驻能力"。
MITRE ATT&CK与痛苦金字塔在此形成方法论闭环：检测覆盖塔尖TTP，狩猎探索塔中盲区，指标封锁塔底IOC，诱饵（欺骗式检测）监视塔外未知。四者的运营预算配比、人员技能结构、度量方式各不相同，却在同一个数据管道上运行——这正是本课题将入侵检测、威胁狩猎、事件响应作为统一研究体系的原因。
狩猎的产出管理同样需要标准：一个合格的狩猎发现应附带可固化的检测逻辑（新规则或规则改进）、数据缺口清单（若因遥测缺失导致无法确认，应转化为采集需求）与对手知识条目（写入威胁画像）。缺少这三件套，狩猎就退化为"一次性手工排查"，无法形成复利。业界亦有将狩猎流程标准化为PEAK框架（Prepare、Execute、Act with Knowledge）的公开实践，可供参考。
常见误区警示：采购了SIEM/EDR/SOAR不等于建立了检测与响应能力。工具只是载体，数据质量、检测工程、运营流程、人员技能四者缺一不可——这也是本专题反复强调"体系化"而非"产品化"的原因。
04+ · 检测治理深化：规则生命周期与SOC人才
4.6 检测规则的全生命周期治理
"检测即代码"落地后，真正的管理对象是规则的生命周期。本课题将其归纳为六个环节：
- 立项——每条规则须绑定威胁模型（覆盖哪个ATT&CK技术、应对哪个情报来源），避免"为写而写"的规则膨胀；
- 开发评审——规则进Git仓库、双人评审，重点关注逻辑完备性（AND/OR条件、字段规范化差异、大小写与编码陷阱）；
- 对抗验证——合并前以Atomic Red Team对应原子测试回归验证，杜绝"纸面规则"；
- 灰度与上线——新规则先以"仅记录不告警"模式运行观察期（常见为1—2周），评估误报率达标后转告警；
- 运营反馈——告警处置结论（真/误报）结构化回填，形成规则的命中率台账；
- 退役与回滚——连续低命中高误报的规则降权、重构或退役；每次变更可回滚，重大变更避开业务高峰期。
规则库的宏观KPI建议：规则有效率（近90天产生过真阳性告警的规则占比）、单规则月均告警量（识别"话痨规则"）、规则年龄分布（超过12个月未更新的规则需重新对照当前情报复审）。这些指标使检测工程从"艺术"变为"可管理的制造流程"。
4.7 SOC技能矩阵与梯队建设
Tier模型（见5.1节）要真正运转，背后是清晰的技能矩阵：Tier 1需掌握网络协议基础、日志阅读、常见攻击手法与工单流程，核心素质是"勤奋与怀疑"；Tier 2需具备取证分析、内存与恶意代码初步分析、时间线重建能力，核心素质是"系统性思维"；Tier 3需精通检测工程（Sigma/KQL/YARA）、至少一个ATT&CK战术域的深度知识、威胁情报分析与狩猎假设设计，核心素质是"对手视角"。行业普遍面临Tier 2—3断层，可行的缓解路径包括：内部轮岗（让Tier 1定期参与狩猎日）、以赛代练（CTF与护网类演练）、以及建立检测工程知识库使个人经验组织化。迪妙学院将"Tier晋升能力标准"作为企业CSIRT咨询的交付物之一，本质是把"人"的能力也纳入版本化管理。
本专题结构：本页完成了检测工程与SOC运营的方法论构建；第3页将进入事件响应体系——NIST SP 800-61r3生命周期、事件分级、重大案例复盘与勒索软件专项响应。