威胁狩猎（Threat Hunting） （中篇·上）

04 · 狩猎流程与假设工程

4.1 狩猎循环的工程化拆解

第1页给出了狩猎循环的五步轮廓，本节将其拆解为可执行、可检查、可度量的工程步骤。一个成熟的狩猎团队应当为每一步定义明确的输入、动作、工具与产出物（Definition of Done）：

方法论来源：Bianco《A Practical Model for Conducting Cyber Threat Hunting》（SANS, 2015）中的狩猎循环模型与Sqrrl威胁狩猎参考模型。

4.2 假设从哪里来：五大来源

高质量假设的可持续供给，是狩猎体系区别于"运动式排查"的关键。实践中假设主要来源于五个渠道：

4.3 假设书写规范：五要素

一个合格的狩猎假设必须具备五个要素，缺一不可：

• ① 技术锚点：绑定MITRE ATT&CK技术编号（如T1059.001），保证假设可检索、可对照、可积累；
• ② 明确命题：用"如果……那么……"的可证伪句式书写，拒绝"查查有没有异常"这类开放式任务；
• ③ 数据可得性：明确回答该假设需要哪些数据源，并事先确认采集状态（不可得即转入可见性建设）；
• ④ 预期证据：事先定义"发现攻击时应观察到什么痕迹"，避免确认偏误（只看支持自己假设的证据）；
• ⑤ 双向结论：预先约定"证实"与"证伪"两种结果各自的后续动作——证伪同样是有价值的产出（排除一个风险面、或暴露一处可见性缺口）。

4.4 完整示例：三个实战级狩猎假设

4.5 狩猎团队的角色配置

狩猎是团队运动。业界实践（SANS威胁狩猎调查与大型安全运营组织的通行做法）表明，一个可持续运转的狩猎职能通常需要五类角色协同——在中小组织中可由一人兼数职，但职责必须清晰：

提示：角色划分的意义在于防止"狩猎即个人英雄主义"——假设、数据、规则、情报四条线都必须有人负责，狩猎成果才能脱离对个人经验的依赖而组织化沉淀。

4.6 狩猎调查的迭代漏斗：从广域检索到证据定锚

假设确定、数据可用之后，真正消耗工时的是"怎么查"。业界成熟的狩猎调查遵循一个五层迭代漏斗——每一层都有明确的"放窄动作"与"放行标准"，防止分析师在单一广域查询上空转：

Jupyter分析工程实践：社区通行的做法是把每次狩猎固化为一份结构化Notebook——固定章节为"假设卡→数据可用性确认→逐层漏斗查询→中间结论→误报排除记录→沉淀动作"。其工程价值有三：查询过程可复现、可审计（替代口口相传的个人经验）；无效假设同样留下完整探索轨迹（组织资产）；借助papermill等参数化执行工具，成熟Notebook可批量套用到不同资产组/时间窗，成为HM4"狩猎即代码"的起点。The Threat Hunter Playbook（第4页工具清单）即以Jupyter Book形态提供了数百份可交互参考实现。

05 · TTP狩猎与"痛苦金字塔"

5.1 Pyramid of Pain：检测对象的层级经济学

2013年，威胁狩猎先驱David Bianco在《The Pyramid of Pain》一文中提出了安全行业最具影响力的检测设计框架——"痛苦金字塔"（Pyramid of Pain）。其核心洞察是：不同检测对象给攻击者造成的"变更痛苦"截然不同——你封堵一个文件哈希，攻击者重新编译一次即可（痛苦度：琐碎）；而你识别并封堵了对手的战术、技术与过程（TTP），对手必须改变其作战方式、重训人员、重构工具链（痛苦度：非常困难）。狩猎与检测工程的目标，就是把检测重心从金字塔底部不断推向顶部。

5.2 面向TTP的行为检测设计原则

面向TTP的检测本质上是行为检测——不问"这个文件是不是恶意的"，而问"这个行为是否符合攻击者达成某战术目标的典型路径"。其设计原则包括：

• 绑定ATT&CK技术语义：每条检测规则都应能标注其覆盖的ATT&CK技术/子技术编号，使检测能力可以被度量、对标与补缺；
• 组合低信噪原子事件：单个行为（如运行whoami）完全合法，TTP检测依赖"进程链+命令行+上下文+时序"的多因子组合来提高信噪比；
• 预设误报预算：行为检测天然存在噪音，应在上线前用Atomic Red Team等对抗模拟工具实测误报率，并设定每规则的每日告警预算；
• 参考公开分析工程：MITRE CAR（Cyber Analytics Repository）收录了数百条带伪代码实现的可复用行为分析，是TTP检测设计最重要的公共参照系之一。

参考：MITRE Cyber Analytics Repository（car.mitre.org）；MITRE ATT&CK（attack.mitre.org）。详见第4页参考文献[8][9]。

5.3 从CAR到Sigma：一条可落地的TTP检测规则示例

行为检测规则的工程范式是"低信噪原子行为 + 上下文过滤"。以下以ATT&CK技术T1047（Windows Management Instrumentation，WMI滥用）为例，给出参照MITRE CAR分析思路编写的行为规则（Sigma格式节选）：

title: Suspicious Remote WMI Command Execution
status: experimental
logsource:
  category: process_creation
  product: windows
detection:
  selection_img:
    Image|endswith: '\WMIC.exe'
  selection_cli:
    CommandLine|contains: 'process call create'
  filter_admin:
    ParentImage|endswith:
      - '\sccmclient.exe'      # IT运维自动化工具白名单
      - '\configmgr.exe'
    User|contains: 'IT-AUTO-'   # 服务账户白名单
  condition: selection_img and selection_cli and not filter_admin
level: high
tags:
  - attack.execution
  - attack.t1047

规则设计要点与第2页5.2节原则一一对应：①绑定ATT&CK语义（tags标注attack.t1047）；②组合多因子（映像路径+命令行关键字+父进程/账户上下文）；③预设误报预算——上线前应使用Atomic Red Team的T1047原子测试实测检出率与误报率，灰度观察不少于14天；④参考CAR——类似分析可在MITRE CAR（如CAR-2016-03-002《Create Remote Process via WMIC》、CAR-2014-12-001《Remotely Launched Executables via WMI》）中找到带伪代码与单元测试的完整实现。规则验证通过后编译为目标SIEM语法正式启用，并纳入版本库做"检测即代码"管理（见7.4节）。

06 · 狩猎数据底座与可见性

6.1 狩猎的数据源全景

"没有数据，就没有狩猎。"假设的质量再高，缺少对应的遥测数据也只能停留在纸面。狩猎团队的数据底座应覆盖六个层次：

6.2 可见性盲区清单：攻击者的藏身之处

M-Trends 2026揭示的边缘设备困境（漏洞利用占初始入侵32%、边缘设备是重灾区）在可见性层面有直接的对应——攻击者正在系统性地迁往防御者"看不见"的层面。狩猎可见性建设应优先排查以下盲区：

• 边界与边缘设备：防火墙、VPN网关、邮件安全网关、路由器——常处于"无EDR代理、日志不外送、版本老旧"的三重困境，是Salt Typhoon类组织的最爱（见第3页案例三）；
• 虚拟化与基础设施层：ESXi/vCenter、Hyper-V——M-Trends 2026记录的BRICKSTORM行动（Mandiant追踪编号UNC6201，平均驻留时间393天）即通过克隆虚拟机、在关机克隆体中翻找数据来规避监控；
• 身份层：IdP、MFA系统、帮助台流程——Scattered Spider类组织通过社工帮助台完成MFA重置，整个过程中"技术上的一切都是合法的"（见第3页案例四）；
• 非Windows终端：macOS与Linux服务器的EDR覆盖率在许多组织中显著低于Windows桌面，而针对Linux的挖矿与后门早已产业化；
• 日志保留周期：回溯狩猎的深度等于日志保留的深度——"长驻留"对手（122天中位驻留）意味着低于180天的关键日志保留策略将使回溯几乎失效。M-Trends 2026给出了一组残酷对照：典型组织仅保留约90天日志，而BRICKSTORM行动平均驻留约390天——对这类入侵而言，其活动周期的大部分窗口内根本不存在可用的日志证据。

6.3 日志保留与数据分层：回溯狩猎的物理上限

回溯狩猎的深度等于日志保留的深度（第2页7.2节）。鉴于长驻留威胁已成为常态（间谍行动与DPRK IT工作者中位驻留122天、BRICKSTORM平均驻留393天），建议按数据价值分层制定保留策略。下表为工程实践参考值，组织应结合合规要求与存储成本调整：

工程要点：热—温—冷分层存储（热层≤30天供交互狩猎；温层列式存储供批量回溯；冷层归档供取证）；关键日志应异地冗余并防单点篡改，以对抗"先清日志再行动"类反取证手法。

6.4 云与SaaS环境的狩猎要点

M-Trends 2026用专门章节量化了云环境入侵的差异化特征，其中两组数据直接改写云狩猎的假设优先级：在云端入侵中，语音钓鱼（vishing）以23%的占比成为首要初始入侵向量（全部入侵中的占比为11%）——云端账户本身成为比端点更脆弱的门；同时，攻击者正系统性收割长寿命OAuth令牌与会话Cookie、攻陷第三方SaaS供应商并盗用其硬编码密钥与个人访问令牌（PAT），以此"合法身份"大规模横向进入下游客户环境。这意味着云狩猎的对象不是恶意文件，而是"合法的令牌、合法的API调用、合法的应用授权"。

• 数据源优先级：云审计日志（CloudTrail / Azure Activity Log / Google Cloud Audit Logs）、IdP登录与MFA事件日志、SaaS应用统一审计日志（如Microsoft 365统一审计日志）、密钥/KMS使用日志——四者缺一不可，且均需独立于生产账号的留存域；
• 云假设示例一："若攻击者滥用被盗OAuth令牌，则环境中应出现：令牌所属应用注册时间新、授权范围异常宽泛（如Mail.ReadWrite+全租户）、调用源IP/ASN与历史基线偏离的组合记录"；
• 云假设示例二："若供应商凭证被用于横向进入下游租户，则客户侧应能观察到：来自供应商服务主体、但访问模式偏离其历史功能画像的API调用激增"；
• 会话级而非账户级 hunting：云端凭证复用普遍，账户白名单失效快——应以"令牌+设备+IP+会话"四元组为最小分析单元。

07 · 检测工程与回溯狩猎

7.1 从狩猎到检测工程：让成果持续生效

狩猎的最大浪费，是"查完即止"。成熟的狩猎体系要求每一次有效狩猎都完成向检测工程的转化：查询语句 → 分析逻辑 → 检测规则 → 对抗验证 → 上线运营。业界已形成成熟的工具链与方法论：

• 规则层：以Sigma（通用检测签名格式）编写平台无关的行为规则，编译为SIEM/EDR专用语法；YARA用于样本层面的特征匹配；Snort/Suricata覆盖网络侧；
• 分析层：借鉴MITRE CAR的分析范式——每条分析标注ATT&CK技术、所需数据、伪代码实现与测试用例，保证可移植、可复现；
• 验证层：用Atomic Red Team（Red Canary开源）原子化执行攻击技术、用MITRE CALDERA做对抗模拟，实测规则的检出率与误报率；
• 工程层："检测即代码"（Detection as Code）——规则入版本库、CI流水线自动测试、变更可审计，使检测能力像软件一样持续演进。

7.2 回溯狩猎：三大触发场景

回溯狩猎（Retro Hunting）指利用新获得的威胁情报，对历史留存数据进行的再检索。它是情报价值最大化、弥补"发现时滞"的关键手段：

回溯狩猎的有效性受两个硬约束：数据保留周期（如6.2节所述，建议关键日志≥180天）与检索性能（PB级日志需要分层存储与列式检索架构）。组织应把"回溯能力"本身作为狩猎成熟度的度量项之一。

7.3 狩猎成效度量：让投入可被证明

狩猎是"难以直接证明价值"的投入——"没发现问题"既可能是环境安全，也可能是能力不足。因此需要一组诚实的度量指标：

7.4 检测规则的全生命周期管理

狩猎产出的查询语句要长期有效，必须纳入版本化的生命周期管理（检测即代码的落地形态）。建议采用如下流水线：

误报治理的三个配套机制：告警预算制（每条规则设定每日告警上限，超限自动降级的）；误报归因分类（IT行为/业务行为/规则缺陷三类标签，反哺白名单与阈值调优）；季度规则健康度审计（检出率、误报率、覆盖率三维打分，低分规则进入重检队列）。

7.5 威胁狩猎方法体系框架