行为基线、度量体系与工程落地

01 · 行为基线与UEBA方法

假设驱动狩猎追问"攻击者会做什么"，行为分析驱动追问"什么人/设备偏离了自己"。UEBA（User and Entity Behavior Analytics，用户与实体行为分析）通过对历史行为建模形成基线，以统计偏离识别不触发任何规则的异常。它与假设驱动不是替代关系：基线负责"不知道该搜什么"的盲区，假设负责"知道该搜什么"的精度，两者互补构成完整狩猎体系。

1.1 基线建模三要素

• 实体分层：用户、主机、应用账号、服务账号分别建模——服务账号的行为方差天然小于人类账号，偏离阈值应差异化设置。
• 对照组（Peer Group）：偏离度必须与"同类实体"比较（财务组对财务组、域控制器对域控制器），跨角色的全局阈值必然误报泛滥。
• 多周期基线：同时维护小时级、日级、周级、月级基线，兼容业务脉冲（月末结账、发布窗口）与慢速潜伏两种时间尺度。

1.2 典型狩猎场景

1.3 基线算法层：方法定位与选型

行为基线背后是统计与机器学习方法的选择问题。本课题对各主流方法的定位如下（均为无监督/半监督异常检测的成熟方法，具体实现细节以算法文献与各平台文档为准）：

02 · 狩猎度量体系

不能度量的能力无法持续投入。狩猎度量须坚持一个原则：度量"产出与转化"，不度量"忙碌"。本课题推荐的核心指标与Sqrrl白皮书（Hunt Evil）中收录的狩猎度量思想一脉相承——该白皮书收录了Jack Crook提出的狩猎度量框架（覆盖假设产出、调查质量、检测转化与组织影响等维度），本课题以下表将其工程化为可操作的六项：

注：各指标阈值因组织规模与威胁画像而异，表中"健康区间"为方向性判断而非行业标准；52%自主发现率来自M-Trends 2026全局样本，仅作宏观参照，不应直接作为考核指标。

2.1 组织级结果指标（面向管理层的对标视图）

团队产出指标（上表）之外，管理层更关心组织层面的结果变化。建议按季度追踪以下组织级指标，并明确与行业数据的边界：

注：行业数值均为全局样本口径，直接用作单组织考核目标属于统计误用；本表"行业参照"列仅用于向管理层解释狩猎价值的量级逻辑。

2.2 狩猎价值的商业量化参考

面向管理层汇报时，可引入数据泄露成本的行业基准作为"狩猎缩短驻留时间"的商业价值换算参照。IBM《2025年数据泄露成本报告》（基于2024年3月至2025年2月全球604家组织、17个国家/地区的调研）显示：数据泄露平均识别与遏制时间为204天；广泛使用AI与自动化的组织泄露生命周期比未使用者缩短约80天，平均泄露成本相应低约190万美元。该数据虽非狩猎专属统计，但为"自主发现能力直接压缩驻留时间、从而降低泄露成本"提供了量级参照——狩猎体系正是组织"自主发现能力"的核心引擎。

注：IBM Cost of a Data Breach 2025为年度商业调研报告，样本与方法学以IBM官方发布为准；此处仅作商业价值量级参照，不构成狩猎ROI的精确计算公式（狩猎价值还包含避免勒索损失、合规风险、品牌损害等难以货币化的维度）。

03 · 成熟度演进路线（HM0 → HM4）

演进路线的每一级都有明确的前置条件与核心动作，跳过前置直接追求高级别是狩猎项目失败的最常见原因：

04 · AI辅助狩猎的趋势与边界

M-Trends 2026记录了攻防两侧围绕AI的鲜明不对称：攻击者在攻击生命周期早期越来越多地利用AI能力，而防御侧AI产品的部署受制于采购、法务与实施周期；同时该报告亦明确指出，2025年成功入侵的绝大多数仍源于人的与系统性的失误，而非AI直接造成突破。对狩猎团队，AI的现实价值与边界如下：

• 现实价值（辅助层）：情报报告TTP自动提取与假设草稿生成、查询语句生成与方言转换（KQL↔SPL）、狩猎命中的上下文聚合摘要、基线偏离的解释性排序——这些环节可显著压缩狩猎准备时间。
• 能力边界（判断层）：假设的价值排序、命中的业务语境研判、证据链的独立复核，目前仍依赖猎人的领域判断。HMM3所要求的"创造新分析程序"能力无法通过采购AI工具获得——成熟度是人和流程的属性。
• 风险提示：AI生成的查询与规则必须经人工评审与回放测试后方可入库（见第3页§05三道关），防止"看似合理但语义偏差"的检测逻辑污染规则库。

4.1 AI对抗的最新观测（M-Trends 2026 / CrowdStrike 2026 GTR）

两份2026年旗舰报告为AI狩猎边界提供了新观测，供假设库更新时参考：

• 恶意软件亦在"AI化"：M-Trends 2026披露了直接调用大模型接口的恶意软件家族（如PROMPTFLUX、PROMPTSTEALER），通过生成式AI动态生成攻击载荷以规避静态检测——静态签名狩猎对此类家族的效用递减，行为级狩猎（API调用序列、异常进程行为）价值上升。
• 提示注入成为真实入侵面：CrowdStrike 2026 GTR记录2025年针对AI工具的恶意提示注入事件显著增长，数十个组织受到影响；针对AI智能体与RPA工作流的攻击假设应进入狩猎视野（对应MITRE ATLAS知识库的AI对抗战术梳理，详见第7页§04）。
• 防御侧AI落地仍有摩擦：M-Trends 2026指出防御侧AI产品部署受制于采购、法务与实施周期，短期内"AI辅助猎人"而非"AI替代猎人"仍是现实形态——这正是本课题将AI定位为辅助层的方法论依据。

05 · 反钓鱼场景落地：迪妙业务结合

威胁狩猎方法可直接迁移至钓鱼对抗场景，形成本学院特色的"钓鱼基础设施狩猎"管道：

• 仿冒基础设施狩猎：将证书透明度日志、被动DNS、域名注册数据纳入假设库（如"与目标品牌相似度高的新注册域名在N日内申请证书并解析"），在仿冒站点投放早期发现同源基础设施，服务公共互联网反网络钓鱼工作组的处置协同。
• 钓鱼演练复盘狩猎：演练后按"假设—验证—固化"复盘：哪些岗位、哪个时段、哪类话术失守率最高？复盘中产生的检测线索（如演练载荷触发的进程链特征）固化为EDR检测规则。
• 培训内容资产化：本子课题的手册、剧本与SIGMA规则库转化为课程实战模块，支撑企业员工安全意识培训从"知道"到"会做"的进阶。

06 · 90天落地计划（建议模板）

6.1 前置依赖与风险登记

90天计划的执行质量取决于三类前置条件；任何一项缺失都应在计划启动前显式登记风险与应对：

07 · 全课题回顾

本子课题七页构成一个完整闭环：第1页确立狩猎的定位（情报消费与反馈的交汇点）、数据证据（驻留时间与发现渠道的剪刀差）与方法论谱系（Sqrrl循环、HMM、ATT&CK）；第2页落地操作规范（假设工程、六类数据源、留存基线、查询语言对照）；第3页完成检测资产化（战术优先级、狩猎剧本、SIGMA规范与三道关部署）；第4页解决可持续运营（行为基线、度量体系、成熟度演进、AI辅助边界与90天计划）；第5页补齐组织维度（团队形态、角色能力、协作RACI、知识资产与托管狩猎边界）；第6页展开工具链与真实案例（开源/商业工具选型、SolarWinds、3CX、Scattered Spider、XZ Utils四次公开事件的狩猎视角复盘）；第7页收束于反模式清单与前沿专题（云与SaaS狩猎、AI演进、FAQ）。

贯穿全课题的一条主线是：狩猎的终极目标不是发现威胁，而是让组织不再需要同一个人去第二次发现同一类威胁。每一次假设的提出、验证与固化，都应让自动化检测体系更聪明一分——这正是HMM4所描述的复利飞轮，也是威胁情报价值兑现的最后一公里。

本节参考来源（第4页）

以下均为真实可查的权威来源，用于支撑本页事实性表述；全部链接经2026年9月终审核验可访问。