威胁狩猎（Threat Hunting） （中篇·上）

04 · 狩猎流程与假设工程

4.1 狩猎循环的工程化拆解

第1页给出了狩猎循环的五步轮廓，本节将其拆解为可执行、可检查、可度量的工程步骤。一个成熟的狩猎团队应当为每一步定义明确的输入、动作、工具与产出物（Definition of Done）：

方法论来源：Bianco《A Practical Model for Conducting Cyber Threat Hunting》（SANS, 2015）中的狩猎循环模型与Sqrrl威胁狩猎参考模型。

4.2 假设从哪里来：五大来源

高质量假设的可持续供给，是狩猎体系区别于"运动式排查"的关键。实践中假设主要来源于五个渠道：

4.3 假设书写规范：五要素

一个合格的狩猎假设必须具备五个要素，缺一不可：

• ① 技术锚点：绑定MITRE ATT&CK技术编号（如T1059.001），保证假设可检索、可对照、可积累；
• ② 明确命题：用"如果……那么……"的可证伪句式书写，拒绝"查查有没有异常"这类开放式任务；
• ③ 数据可得性：明确回答该假设需要哪些数据源，并事先确认采集状态（不可得即转入可见性建设）；
• ④ 预期证据：事先定义"发现攻击时应观察到什么痕迹"，避免确认偏误（只看支持自己假设的证据）；
• ⑤ 双向结论：预先约定"证实"与"证伪"两种结果各自的后续动作——证伪同样是有价值的产出（排除一个风险面、或暴露一处可见性缺口）。

4.4 完整示例：三个实战级狩猎假设

4.5 狩猎团队的角色配置

狩猎是团队运动。业界实践（SANS威胁狩猎调查与大型安全运营组织的通行做法）表明，一个可持续运转的狩猎职能通常需要五类角色协同——在中小组织中可由一人兼数职，但职责必须清晰：

提示：角色划分的意义在于防止"狩猎即个人英雄主义"——假设、数据、规则、情报四条线都必须有人负责，狩猎成果才能脱离对个人经验的依赖而组织化沉淀。

05 · TTP狩猎与"痛苦金字塔"

5.1 Pyramid of Pain：检测对象的层级经济学

2013年，威胁狩猎先驱David Bianco在《The Pyramid of Pain》一文中提出了安全行业最具影响力的检测设计框架——"痛苦金字塔"（Pyramid of Pain）。其核心洞察是：不同检测对象给攻击者造成的"变更痛苦"截然不同——你封堵一个文件哈希，攻击者重新编译一次即可（痛苦度：琐碎）；而你识别并封堵了对手的战术、技术与过程（TTP），对手必须改变其作战方式、重训人员、重构工具链（痛苦度：非常困难）。狩猎与检测工程的目标，就是把检测重心从金字塔底部不断推向顶部。

5.2 面向TTP的行为检测设计原则

面向TTP的检测本质上是行为检测——不问"这个文件是不是恶意的"，而问"这个行为是否符合攻击者达成某战术目标的典型路径"。其设计原则包括：

• 绑定ATT&CK技术语义：每条检测规则都应能标注其覆盖的ATT&CK技术/子技术编号，使检测能力可以被度量、对标与补缺；
• 组合低信噪原子事件：单个行为（如运行whoami）完全合法，TTP检测依赖"进程链+命令行+上下文+时序"的多因子组合来提高信噪比；
• 预设误报预算：行为检测天然存在噪音，应在上线前用Atomic Red Team等对抗模拟工具实测误报率，并设定每规则的每日告警预算；
• 参考公开分析工程：MITRE CAR（Cyber Analytics Repository）收录了数百条带伪代码实现的可复用行为分析，是TTP检测设计最重要的公共参照系之一。

参考：MITRE Cyber Analytics Repository（car.mitre.org）；MITRE ATT&CK（attack.mitre.org）。详见第4页参考文献[8][9]。

06 · 狩猎数据底座与可见性

6.1 狩猎的数据源全景

"没有数据，就没有狩猎。"假设的质量再高，缺少对应的遥测数据也只能停留在纸面。狩猎团队的数据底座应覆盖六个层次：

6.2 可见性盲区清单：攻击者的藏身之处

M-Trends 2026揭示的边缘设备困境（漏洞利用占初始入侵32%、边缘设备是重灾区）在可见性层面有直接的对应——攻击者正在系统性地迁往防御者"看不见"的层面。狩猎可见性建设应优先排查以下盲区：

• 边界与边缘设备：防火墙、VPN网关、邮件安全网关、路由器——常处于"无EDR代理、日志不外送、版本老旧"的三重困境，是Salt Typhoon类组织的最爱（见第3页案例三）；
• 虚拟化与基础设施层：ESXi/vCenter、Hyper-V——M-Trends 2026记录的BRICKSTORM行动（Mandiant追踪编号UNC6201，平均驻留时间约390天）即通过克隆虚拟机、在关机克隆体中翻找数据来规避监控；
• 身份层：IdP、MFA系统、帮助台流程——Scattered Spider类组织通过社工帮助台完成MFA重置，整个过程中"技术上的一切都是合法的"（见第3页案例四）；
• 非Windows终端：macOS与Linux服务器的EDR覆盖率在许多组织中显著低于Windows桌面，而针对Linux的挖矿与后门早已产业化；
• 日志保留周期：回溯狩猎的深度等于日志保留的深度——"长驻留"对手（122天中位驻留）意味着低于180天的关键日志保留策略将使回溯几乎失效。M-Trends 2026给出了一组残酷对照：典型组织仅保留约90天日志，而BRICKSTORM行动平均驻留约390天——对这类入侵而言，其活动周期的大部分窗口内根本不存在可用的日志证据。

07 · 检测工程与回溯狩猎

7.1 从狩猎到检测工程：让成果持续生效

狩猎的最大浪费，是"查完即止"。成熟的狩猎体系要求每一次有效狩猎都完成向检测工程的转化：查询语句 → 分析逻辑 → 检测规则 → 对抗验证 → 上线运营。业界已形成成熟的工具链与方法论：

• 规则层：以Sigma（通用检测签名格式）编写平台无关的行为规则，编译为SIEM/EDR专用语法；YARA用于样本层面的特征匹配；Snort/Suricata覆盖网络侧；
• 分析层：借鉴MITRE CAR的分析范式——每条分析标注ATT&CK技术、所需数据、伪代码实现与测试用例，保证可移植、可复现；
• 验证层：用Atomic Red Team（Red Canary开源）原子化执行攻击技术、用MITRE CALDERA做对抗模拟，实测规则的检出率与误报率；
• 工程层："检测即代码"（Detection as Code）——规则入版本库、CI流水线自动测试、变更可审计，使检测能力像软件一样持续演进。

7.2 回溯狩猎：三大触发场景

回溯狩猎（Retro Hunting）指利用新获得的威胁情报，对历史留存数据进行的再检索。它是情报价值最大化、弥补"发现时滞"的关键手段：

回溯狩猎的有效性受两个硬约束：数据保留周期（如6.2节所述，建议关键日志≥180天）与检索性能（PB级日志需要分层存储与列式检索架构）。组织应把"回溯能力"本身作为狩猎成熟度的度量项之一。

7.3 狩猎成效度量：让投入可被证明

狩猎是"难以直接证明价值"的投入——"没发现问题"既可能是环境安全，也可能是能力不足。因此需要一组诚实的度量指标：

7.4 威胁狩猎方法体系框架