01 · 概述与研究背景
1.1 什么是威胁狩猎：定义、特征与判定标准
威胁狩猎（Threat Hunting）是网络安全运营体系中"主动性"维度的集大成者。SANS研究所将其定义为："主动且迭代地在网络中搜寻，以检测并隔离那些绕过既有安全防护体系的高级威胁的过程"（a proactive and iterative process of searching for threats that evade existing security measures）。与依赖告警触发、规则匹配的被动防御不同，威胁狩猎以人的分析能力为核心、以数据为燃料、以假设为导航，去主动寻找那些"没有告警、没有命中规则、但确实潜伏在环境中"的对手。
在工程实践中，判定一项工作是否属于真正意义上的"威胁狩猎"，通常考察五个特征：
- 主动性（Proactive）：狩猎不是等待SIEM/EDR告警后的处置，而是分析人员带着明确目标主动发起调查，"去寻找不知道是否存在的问题"；
- 假设驱动（Hypothesis-driven）：每一次狩猎都以一个可证伪的假设为起点——"如果攻击者采用某TTP，那么我们的环境中应该能观察到某类证据"；
- 人机协同（Human-led, Machine-assisted）：狩猎的主体是分析师的推理、经验与创造力，平台与工具负责放大其数据处理与检索能力；
- 迭代性（Iterative）：狩猎是一个循环——假设被证实或证伪后，产出又会沉淀为新的假设、新的检测规则与新的情报，进入下一轮；
- 面向未知（Unknown-oriented）：狩猎的对象是绕过既有防御的未知威胁（Unknown Unknowns），这正是它区别于告警分诊（Triage）的本质。
| 维度 | 威胁狩猎（Threat Hunting） | SOC监控/告警分诊 | 事件响应（IR） | 渗透测试/红队 |
|---|---|---|---|---|
| 触发方式 | 分析师主动发起，假设驱动 | 告警/规则自动触发 | 安全事件发生后启动 | 按计划授权启动 |
| 核心问题 | "环境里可能潜伏着什么我们不知道的？" | "这条告警是不是误报？" | "事件是怎么发生的、影响多大？" | "防御体系扛不扛得住模拟攻击？" |
| 时间定位 | 攻击进行中的主动发现 | 攻击触警后的实时/准实时 | 攻击造成后果后的复盘处置 | 事前/周期性的能力验证 |
| 分析主体 | 人（分析师）主导，工具辅助 | 平台主导，人做研判 | 应急响应团队 | 红队/渗透测试人员 |
| 主要产出 | 新检测规则、Playbook、对手画像、假设库 | 告警处置结论、工单 | 事件报告、修复建议 | 渗透报告、防御改进项 |
| 典型工具 | EDR/NDR检索、SIEM查询、OSQuery、Jupyter | SIEM、SOAR、IDS/IPS | 取证工具、隔离与清除工具 | 漏洞利用框架、C2框架 |
注：四者并非替代关系，而是纵深协同——红队发现防御盲区，狩猎在日常运营中主动探测盲区，SOC提供基础告警面，IR负责最后的兜底处置。成熟的组织将四者纳入统一的"检测与响应"体系。
1.2 为什么组织需要威胁狩猎：被动体系的结构性盲区
威胁狩猎兴起的根本动因，是"平均水平的改善掩盖了结构性的分化"。Mandiant M-Trends 2026显示，全球入侵的中位驻留时间（攻击者从立足到被发现的间隔）已压缩至14天，自主检出率提升至52%——但这些平均数字的背后，是两类"长驻留专业户"：网络间谍行动与朝鲜IT工作者内部渗透的中位驻留高达122天（约4个月）。换言之：对手只要能保持足够"低慢"，依然可以穿透绝大多数组织的被动防线。告警驱动的防御体系存在三个结构性盲区：
- 盲区一：未触警 ≠ 未失陷。绕过AV/EDR特征、混迹于合法流量中的"离地攻击"（Living-off-the-Land）、合法凭证滥用，都不会产生任何告警；
- 盲区二：新TTP无规则可命。漏洞利用已成首要初始入侵向量（M-Trends 2026：32%），零日利用普遍化（GTIG追踪的TTE均值——即平均利用时间——已降至-7天，攻击者平均在补丁发布前7天即已开始武器化利用），针对新技术的检测规则天然滞后；
- 盲区三：边缘与虚拟化层无代理覆盖。防火墙、VPN网关、VMware ESXi/vCenter等设备往往既无EDR代理、日志又缺失，成为"低慢"潜伏的理想温床。
对防御者而言，狩猎具有三重直接工程价值：缩短驻留时间（主动发现将"被发现"的时间点大幅前移）、检验防御有效性（用对手的视角反向验证监控盲区）、反哺检测工程（每次狩猎的产出固化为检测规则与Playbook，持续提升自动化覆盖度）。对迪妙网络空间安全学院而言，狩猎研究的一手素材——真实攻击者的隐蔽手法、社工剧本、横向移动路径——正是企业员工安全意识培训与攻防演练剧本库最鲜活的教材；而其"大胆假设、小心求证、证据分级"的思维方式，又是青少年网络安全启蒙教育中批判性思维训练的绝佳载体。
1.3 狩猎成熟度模型（Hunting Maturity Model, HMM）
2015年，威胁狩猎先驱David Bianco（时任Sqrrl首席安全数据科学家）在SANS白皮书《A Practical Model for Conducting Cyber Threat Hunting》中提出了著名的狩猎成熟度模型（HMM），将组织的狩猎能力划分为HM0—HM4五个等级。该模型至今仍是业界评估狩猎能力的事实标准：
| 等级 | 名称 | 能力特征 | 典型日常 |
|---|---|---|---|
| HM0 | 初始型（Initial） | 仅依赖自动化告警，几乎没有主动搜索；对遥测数据的收集也不系统。 | 告警来了处置告警，无事可做时无动作。 |
| HM1 | 最小化（Minimal） | 具备一定的威胁情报与IOC检索能力，能基于外部情报在环境中检索已知恶意指标。 | 拿到威胁情报通报后在SIEM中"对一下IOCs"。 |
| HM2 | 程序化（Procedural） | 能够遵循他人编写的狩猎程序（Playbook）执行结构化狩猎，掌握常用分析工具与数据查询。 | 按社区Playbook周期性执行狩猎，如"查找可疑PowerShell"。 |
| HM3 | 创新型（Innovative） | 能够自主创建新的狩猎程序与分析方法，基于ATT&CK等新情报独立设计假设并验证。 | 结合本行业威胁特点自研假设与检测逻辑。 |
| HM4 | 引领型（Leading） | 将成熟的狩猎程序高度自动化，机器执行大规模例行狩猎，人专注于新假设与深度调查。 | 狩猎即代码：假设入库、自动执行、自动度量。 |
行业实践与多项SANS威胁狩猎调查均表明：绝大多数企业组织目前仍处于HM1—HM2区间——拥有情报检索与程序化狩猎的能力，但缺乏自主假设创新与自动化运营。本专题第4页给出的能力建设路线图，即以"从HM1/2向HM3/4演进"为主线，分四个阶段给出可落地的路径。
1.4 威胁狩猎的历史脉络与知识谱系
威胁狩猎并非凭空产生，而是检测对抗演进与情报分析方法沉淀的共同产物。其知识谱系中几条关键脉络均可溯源，理解这一谱系有助于把握各方法论构件的原始语境：
- 2011年——入侵杀伤链（Intrusion Kill Chain）。洛克希德·马丁公司的Hutchins等人发表情报驱动防御奠基之作，将入侵划分为侦察、武器化、投递、利用、安装、C2、目标达成七个阶段，为"基于情报的防御"提供了第一个结构化分析框架（见第4页参考文献[3]）；
- 2013年——痛苦金字塔与钻石模型。Bianco提出痛苦金字塔（详见第2页5.1节）；Caltagirone等人发布钻石模型（Diamond Model），将单次入侵事件解构为对手、能力、基础设施、受害者四要素及其关系，为狩猎中的假设构建与事件分析提供了统一语言（见第4页参考文献[4][5]）；
- 2014—2015年——狩猎方法论的成形。Bianco提出狩猎成熟度模型（HMM）与威胁狩猎循环，SANS等机构开始系统出版威胁狩猎白皮书与年度调查，"威胁狩猎"从少数先锋团队的实践经验升级为可教授、可评估的独立学科；
- 2019—2020年——公共方法论的国际化。荷兰国家网络安全中心发布TaHiTI方法论（见本页3节）；MITRE ATT&CK与CAR知识库成为假设生成与检测设计的公共基础设施；
- 2020年至今——从手艺到工程。SUNBURST供应链事件（第3页案例一）使"主动狩猎发现国家级APT"成为行业共识；Sigma、Atomic Red Team等开源工具链成熟，"检测即代码"与MDR托管狩猎服务推动狩猎能力规模化复制。
这一谱系对教研的意义在于：狩猎的每个方法论构件都有明确的原始文献可溯，学习狩猎应当"回到原文"而非依赖二手解读——这也是本专题坚持为每张图表标注一手来源的原因。
1.5 中国语境下的威胁狩猎实践环境
威胁狩猎概念虽源自欧美安全社区，但其在中国本土的落地有明确的制度与实践土壤，国内组织建设狩猎能力时应同步考量：
- 法规与标准基线。《中华人民共和国网络安全法》自2017年6月1日起施行，确立了网络运营者的安全保护义务；《数据安全法》《关键信息基础设施安全保护条例》均自2021年9月1日起施行；《个人信息保护法》自2021年11月1日起施行。等级保护2.0核心标准GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》于2019年12月1日起实施，其"安全审计、入侵防范"等控制项与狩猎数据底座建设天然互补；
- 关基保护的主动防御要求。《关键信息基础设施安全保护条例》要求关基运营者开展监测、防御、处置安全风险并保障"业务连续性"——假设驱动的主动狩猎正是落实"常态化监测、主动防御"要求的高阶形态，也是关基运营者在重大保障时期前置排查失陷风险的成熟做法；
- 重保与攻防演练的催化。国内重大活动保障与攻防演练已常态化，防守方在演练中积累的"溯源反制"经验与威胁狩猎在方法论上同构——都是以攻击者视角在自有环境中主动寻找失陷证据；将演练中的一次性排查固化为常态化狩猎机制，是演练价值最大化的关键路径；
- 数据合规边界。狩猎涉及员工终端与账号的遥测分析，在国内法域下应遵循《个人信息保护法》的最小必要原则，狩猎数据的采集范围、留存期限与访问权限应有明确的制度依据（详见第4页第13节）。
02 · 全球态势与数据洞察
威胁狩猎不是抽象的方法论空谈，其必要性由全球攻防对抗的硬数据所决定。2026年3月23日，Mandiant发布年度入侵响应报告《M-Trends 2026》，数据来自其2025年全球一线入侵调查累计50万+小时。以下指标既是"为什么必须狩猎"的论据，也是狩猎效果的度量坐标系。全部数据直接摘自该报告及Google Threat Intelligence Group（GTIG）公开追踪。
2.1 关键指标速览
来源：Mandiant M-Trends 2026（2026-03-23发布）；GTIG威胁情报追踪。详见第4页参考文献[1][2]。
2.2 驻留时间十五年趋势：狩猎存在的意义
M-Trends系列自2011年起持续追踪"中位驻留时间"，它是衡量全球检测能力最经典的单一指标。2011年全球中位驻留时间高达416天——意味着攻击者可以在环境中潜伏一年以上而不被发现；经过检测技术的持续演进（EDR普及、威胁情报成熟、狩猎兴起），2023年压缩至10天。但2024—2025年连续回升（11天→14天），Mandiant将主因归于网络间谍行动与朝鲜IT工作者内部渗透两类"长驻留专业户"（中位驻留均达122天）。这一趋势传递出明确信号：当攻击者转向"低慢"与内部渗透时，依赖自动化告警的被动体系再度失灵，假设驱动的主动狩猎成为缩短驻留时间的决定性手段。
2.3 初始入侵向量与目标行业
M-Trends 2026确认：漏洞利用（32%）连续第六年成为最主要初始入侵向量，语音钓鱼（vishing，约11%）与Web入侵分列其后；其余向量包括窃取凭证、钓鱼邮件、供应链与合作伙伴入侵等。对于狩猎而言，入侵向量的构成决定了假设的优先级——漏洞利用与凭证滥用意味着狩猎必须覆盖"边界设备→身份系统→内部横向"全链路；vishing的显著增长则意味着面向帮助台与身份基础设施的行为基线假设必须进入常态化狩猎清单。
行业分布方面，高科技行业首次超过金融成为最受攻击目标（占17%），金融（14.6%）、商业与专业服务（13.3%）、医疗健康（11.9%）紧随其后。2025年GTIG与Mandiant共识别83个恶意网络行动与8个全球性网络事件，波及73个国家。狩猎假设的设计应当与自身行业的高发TTP强绑定——本专题第3页的案例复盘即按此逻辑选取了科技/供应链、关基、电信与金融四个典型行业。
教研提示：以上数据可直接转化为企业培训话术——"为什么自主检出如此重要"（25天 vs 9天）、"为什么要常态化狩猎"（122天的间谍驻留）、"为什么边缘设备要纳入狩猎范围"（32%入口）。数据驱动的安全教育比口号更有说服力。
03 · 威胁狩猎三大方法论
荷兰国家网络安全中心（NCSC-NL）在公开威胁狩猎方法论TaHiTI（Tactics, Techniques & Anomalies in Hypotheses for Investigation）中，将狩猎活动的起点归纳为三类：IOC驱动型、TTP驱动型与异常驱动型。这与SANS、Sqrrl等机构的分类在本质上一致，构成本专题的方法论骨架。三类方法并非互斥，而是互补——成熟狩猎团队会以假设驱动为纲，兼收情报线索与分析异常。
3.1 假设驱动狩猎（Hypothesis-driven Hunting）
假设驱动狩猎是三类方法中"智力密度"最高、也最体现狩猎本质的一类。其逻辑链条为：基于对攻击者TTP的理解（如MITRE ATT&CK矩阵、Diamond模型）→ 推导"如果对手采用该技术，环境中应出现什么痕迹" → 设计查询去验证或证伪。假设的来源可以是新的威胁情报、新的ATT&CK技术、行业事件复盘，甚至纯粹的分析直觉。示例假设：
- "APT组织常滥用PowerShell进行无文件落地执行（ATT&CK T1059.001）——本环境中是否存在编码命令、混淆脚本或异常父进程链的PowerShell记录？"
- "攻击者窃取域管理员凭证后通常会进行Kerberoasting或DCSync（T1558.003 / T1003.006）——域控的安全日志中是否出现异常数量的TGS票据请求或目录复制行为？"
3.2 情报/IOC驱动狩猎（Intelligence-driven / IOC-driven Hunting）
情报驱动狩猎以威胁情报为起点：当安全厂商、ISAC或政府机构发布新的IOC（文件哈希、C2域名、IP、恶意证书）或TTP报告时，狩猎团队回溯检索自身环境的历史与实时数据，确认是否曾遭同类攻击。这是成本最低、最易起步的狩猎形态（对应HM1成熟度），其价值取决于两个前提：情报的质量与时效，以及组织数据的保留周期（日志留存不足则回溯无从谈起）。M-Trends 2026揭示的"22秒交接"意味着IOC的生命周期以小时计——情报驱动狩猎必须配合自动化流水线才能跟上对手节奏。
3.3 分析/异常驱动狩猎（Analytics / Anomaly-driven Hunting）
分析驱动狩猎不预设具体对手，而是从数据出发：为正常行为建立统计基线，然后主动搜寻偏离基线的异常。典型手法包括UEBA（用户与实体行为分析）中的"首次出现"检测（某账户首次在非常规地点/时间登录）、低频罕见行为聚类、长周期慢速外传（DNS隧道、低频beacon）检测等。它的优势是能发现"没有任何情报线索"的未知威胁，代价是噪音较高、需要分析师具备较强的甄别能力，通常与机器学习辅助结合使用。
3.4 三大方法论对比
| 维度 | 假设驱动型 | 情报/IOC驱动型 | 分析/异常驱动型 |
|---|---|---|---|
| 起点 | 分析师对TTP的理解与假设 | 外部威胁情报/IOC通报 | 数据基线与统计异常 |
| 核心能力 | ATT&CK知识、领域经验、推理能力 | 情报运营、数据检索、自动化 | 数据分析、统计学/ML、降噪 |
| 典型产出 | 新TTP检测逻辑、对手画像 | IOC命中清单、回溯结论 | 异常实体清单、行为基线 |
| 优势 | 能发现无情报、无告警的未知威胁；能力沉淀性强 | 门槛低、见效快；可流水线化 | 覆盖面广；不依赖先验情报 |
| 局限 | 依赖分析师水平；假设可能落空 | 只能发现"已知"；情报滞后 | 噪音高、误报多；解释成本高 |
| 对应成熟度 | HM3—HM4（自研与自动化假设） | HM1—HM2（情报检索） | HM2—HM4（分析工程化） |
| 权威参照 | SANS狩猎模型、TaHiTI TTP型 | TaHiTI IOC型、各厂商IOC通报 | TaHiTI异常型、UEBA实践 |
来源：NCSC-NL TaHiTI威胁狩猎方法论；SANS威胁狩猎白皮书系列。详见第4页参考文献[5][6][7]。
3.5 威胁狩猎循环：从假设到沉淀
无论采用哪类起点，一次完整的狩猎都遵循Sqrrl提出的威胁狩猎循环（Threat Hunting Loop）：以假设出发，用工具进行调查，在数据中挖掘出模式与TTP，再将发现转化为检测手段与组织知识，反哺下一轮假设。这个循环把"一次性的人肉排查"升级为"可复用、可度量、可积累"的体系化能力。