01 · 研究背景与意义
1.1 自动化检测的结构性盲区
现代EDR与NDR设备已经在组织内部积累了海量遥测数据，但自动化检测规则本质上只能识别已知模式：签名匹配已有恶意样本、规则匹配已记录的行为特征、模型依赖已标注的训练数据。真正危险的攻击者恰恰擅长规避已知模式——使用合法凭据与原生工具（Living Off the Land）、拉长操作时间间隔、伪装成正常管理行为——潜伏在遥测数据的"盲区"之中。
业界对威胁狩猎的通行定义是：一种主动、迭代、以人为中心的搜索过程，在告警尚未触发时，于网络中寻找可能逃避既有检测手段的高级威胁（SANS等机构均持此表述）。威胁狩猎与事件响应的本质区别在于：事件响应回答"告警告诉我们发生了什么"，威胁狩猎回答"如果我们现在主动去找，能找到什么还没被告警的东西"。
1.1.1 演进简史：从指标检索到行为狩猎
威胁狩猎并非一夜之间的发明，而是沿着一条有文献可考的路径演进。理解这条路径，有助于辨析当前各类"狩猎"话语中哪些是成熟方法、哪些是营销包装：
| 时间 | 里程碑 | 对狩猎实践的影响 |
|---|---|---|
| 2013年 | David Bianco 发布《The Pyramid of Pain》 | 确立"检测应追求TTP层"的价值坐标，为假设驱动狩猎奠定理论基础 |
| 2014—2015年 | Sqrrl 发布《Hunt Evil》白皮书 | 首次系统提出狩猎循环（四阶段）与狩猎成熟度模型（HMM），狩猎从零散技巧变为可评估的能力体系 |
| 2015年 | MITRE ATT&CK 公开发布 | 提供基于真实攻击行为的TTP知识库，假设生成与覆盖度评估有了公共语言 |
| 2016年 | Sigma 项目发起（Florian Roth 等） | "检测界的通用签名格式"诞生，狩猎成果首次可以平台无关的方式沉淀与交换 |
| 2017年起 | SANS 开始年度威胁狩猎调研 | 狩猎实践的行业基线数据（团队形态、工具、成熟度分布）开始被持续测量；Sqrrl白皮书中引用的SANS调研显示91%的组织报告狩猎显著提升了响应速度与准确性 |
| 2019年 | 荷兰 NCSC 发布 TaHiTI 方法论 | 面向定向威胁的情报驱动狩猎流程规范化，强调假设文档化与成果回流 |
| 2020年 | SolarWinds 供应链事件披露 | "合法软件异常行为"成为狩猎核心议题，供应链假设进入主流狩猎假设库（详见第6页案例A） |
| 2023年 | Splunk SURGe 发布 PEAK 框架；Sigma 进入 pySigma/sigma-cli 新一代工具链 | 狩猎流程严谨性（准备—执行—固化）与检测工程工具链同步成熟 |
| 2024—2026年 | 身份/SaaS狩猎兴起；AI辅助假设生成与查询翻译进入实用阶段 | 狩猎主战场部分转向身份面与云控制面；AI定位为"辅助层"而非"替代判断"（详见第4页§04与第7页§04） |
| 2026年4月 | MITRE 发布 ATT&CK v19（2026年4月28日） | 原"防御规避（Defense Evasion）"战术拆分为隐匿（Stealth，沿用TA0005）与防御削弱（Defense Impairment，新增TA0112），Enterprise矩阵由14个战术扩展为15个——"躲藏"与"破坏防御"被正式区分为两种需要不同检测策略的对手行为（详见第3页§01与第7页§02） |
注：以上里程碑均为公开发表可查的文献与事件（原始出处见各页参考来源）；ATT&CK版本演进以MITRE官方更新日志为准，个别项目（如Sigma工具链）的具体版本演进以官方仓库记录为准。
1.2 研究意义：从"被动响应"到"主动验证"
威胁狩猎的研究意义在于为组织提供一种不依赖告警触发的威胁发现机制，并在三个方面产生复利效应：其一，狩猎假设直接来源于威胁情报与ATT&CK知识库，是情报"消费"环节的最高形态；其二，狩猎验证过的行为模式被固化为检测规则，持续反哺自动化检测体系；其三，狩猎过程中对遥测数据的深度使用，倒逼数据采集与治理质量的提升。这三重效应共同构成"狩猎—检测—数据"的正向飞轮。
核心科学问题：如何将威胁情报中关于攻击者战术、技术与过程（TTP）的知识，系统性地转化为可验证、可复现、可固化的狩猎假设与查询方案，使组织能够在告警触发之前主动发现隐蔽威胁？本课题围绕这一问题的工程化展开，覆盖假设工程、数据源体系、检测资产化与度量运营四大支柱。
02 · 研究目标与关键问题
- 假设工程化：将威胁情报与ATT&CK知识转化为可验证、可复现的狩猎假设与查询方案，形成标准化的假设模板库。
- 检测资产化：将狩猎发现固化为SIGMA规则等可移植、可复用的检测资产，反哺检测工程体系，形成闭环。
- 行为基线化：建立UEBA用户与实体行为基线模型，通过偏离度分析发现不触发任何规则的潜伏威胁。
- 能力成熟化：参照狩猎成熟度模型（HMM），规划组织从HM0到HM3/HM4的演进路径，并建立可量化的度量体系。
2.1 三个关键研究问题
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 假设从哪来、如何验证 | 如何将威胁情报报告、ATT&CK技术条目转化为可证伪的狩猎假设？假设被证伪（未发现威胁）如何沉淀价值？ | 第2页 §02—§03 |
| KQ-2 | 数据从哪来、如何够 | 哪些遥测数据源是狩猎的前提？采集粒度、留存周期与覆盖范围如何规划，才能支撑回溯式狩猎？ | 第2页 §04—§06 |
| KQ-3 | 成果如何固化与度量 | 狩猎发现如何转化为SIGMA规则等检测资产？狩猎团队产出如何量化并与驻留时间等结果指标关联？ | 第3—4页 |
03 · 课题在威胁情报生命周期中的定位
威胁情报生命周期通行划分为规划与指导 → 收集 → 处理与标准化 → 分析 → 发布 → 反馈六个阶段。威胁狩猎位于生命周期的消费端：它以分析阶段产出的战术情报（TTP级）为原料，又通过"假设—验证—固化"循环向反馈阶段输送新指标、新规则与新数据需求，是情报价值兑现的最后一公里。
04 · 数据证据：为什么必须狩猎
威胁狩猎不是理念主张，而是被一线事件响应数据反复验证的防御刚需。以下数据均来自公开发布的权威行业报告：
数据解读：M-Trends 2026同时传递两个信号：①攻击侧全面提速（22秒转手、29分钟突破），留给告警驱动响应的时间窗口已坍缩到分钟级；②防御侧出现分化——52%的组织能自主发现入侵，其余近半数仍依赖外部通知，而外部通知案例的驻留时间约为自主检测案例的2.8倍。威胁狩猎正是把组织从"被动等待通知"一侧推向"主动发现"一侧的关键机制：它不等待告警，而是带着假设主动求证。
4.0.1 攻击协作专业化：9%的入侵采用"分工模式"
M-Trends 2026的另一个结构性观察：9%的入侵事件呈现明确的分工模式（division of labor）——初始访问者与后续勒索部署者分属不同团伙（2022年该比例仅为4%）。攻击产业链的"初始访问经纪—勒索运营"分层意味着：即使组织在初始环节侥幸漏过，后端的访问转手可在中位22秒内完成，失陷凭据即刻进入地下流通。狩猎面对的不是"一个攻击者"而是"一条流水线"，任何环节的迟滞发现都会把主动权拱手让给下家。这一趋势亦解释了CrowdStrike 2026 GTR记录的访问经纪（access brokering）生态膨胀。
4.0.2 前沿证据：BRICKSTORM与"90天日志留存"的盲区实证
M-Trends 2026收录的边缘设备入侵案例（UNC6201/BRICKSTORM类行动）为狩猎留存基线提供了残酷的实证：Mandiant一线调查反复确认，多数组织仅保留90天以内的日志，而此类长驻留行动的平均活动周期远超该窗口——攻击者在"日志已删除"的时间带内自由活动，防御方既无法回溯确认入侵起点，也无法评估泄露范围。该发现与本课题第2页§05"关键遥测热留存≥90天、摘要级冷留存≥12个月"的工程基线互为印证：留存不足不是成本问题，而是把狩猎变成"瞎子摸象"的结构性失明。
4.1 历史纵深：驻留时间的十五年曲线
把2025年的14天放回十五年尺度观察，才能获得准确判断：驻留时间从2011年的逾400天降至2022年的16天，是遥测体系建设与检测工程普及的直接回报；2023年后的连续回升（10天→11天→14天），Mandiant归因于长驻留间谍行动与朝鲜IT工作者案件占比上升带来的结构性变化，而非单纯防御倒退。这意味着：驻留时间的竞争本质是"发现渠道"的竞争——狩猎体系的价值恰恰体现在把组织从"外部通知"一侧持续拉向"自主发现"一侧。
05 · 方法论体系全景
5.1 三类基本狩猎方法
| 方法类型 | 核心思路 | 典型输入 | 优势 | 局限 |
|---|---|---|---|---|
| 指标驱动 （IOC Hunt） | 将威胁情报中的哈希、IP、域名等失陷指标代入历史遥测数据检索 | 威胁情报Feed、公开IOC列表、行业通报 | 上手快、门槛低，适合HMM1级组织起步 | 指标易失效（Pyramid of Pain底层），只能发现"已知威胁" |
| 假设/TTP驱动 （Hypothesis Hunt） | 基于攻击者战术技术知识提出可证伪假设，主动搜索相应行为证据 | ATT&CK、威胁情报报告、红队复盘 | 能发现未知威胁与变体，产出可固化检测逻辑 | 对猎人能力要求高，假设质量决定产出 |
| 行为分析驱动 （Baseline/UEBA） | 建立用户与实体行为基线，以统计偏离识别不触发规则的异常 | UEBA平台、行为日志、基线模型 | 可发现慢速、低频、无已知特征的潜伏威胁 | 误报管理成本高，需要持续调优与领域知识 |
5.2 主流狩猎框架谱系
威胁狩猎的方法论不是凭空产生，而是沿着一条清晰的谱系演进。理解这些框架的源流，有助于组织按需选型而非盲目堆砌：
| 框架 / 模型 | 提出方与时间 | 定位 | 要点 |
|---|---|---|---|
| Pyramid of Pain 痛苦金字塔 | David Bianco，2013年 | 指标价值分层 | 将失陷指标分为哈希、IP、域名、网络/主机工件、工具、TTP六层，指出检测越靠近塔尖（TTP），给攻击者造成的改造成本越高——狩猎应追求TTP级检测 |
| Sqrrl狩猎循环 | Sqrrl（David Bianco等），2015年前后 | 操作流程 | 狩猎循环四阶段：提出假设 → 借助工具与数据调查 → 发现新模式与TTP → 将模式转化为自动化分析（检测规则）。第4阶段是每次狩猎的强制收尾 |
| 狩猎成熟度模型（HMM） | Sqrrl（David Bianco），2015年 | 能力评估 | HM0—HM4五级，从"完全依赖告警"到"成功狩猎流程全面自动化"，用于定位现状与规划投入（详见§06） |
| MITRE ATT&CK | MITRE，2015年公开发布 | 知识库/框架 | 基于真实攻击行为的TTP知识库，是假设生成与覆盖度评估（Navigator）的事实标准；2026年4月v19起Enterprise矩阵为15个战术 |
| TaHiTI | 荷兰国家网络安全中心（NCSC-NL），2019年 | 方法论 | Targeted Hunting integrating Threat Intelligence：面向高价值目标的情报驱动狩猎流程，强调假设文档化与成果回流 |
| PEAK | Splunk SURGe团队，2023年 | 方法论 | Prepare（准备）→ Execute（执行）→ Act with Knowledge（知识行动）三阶段框架，强调狩猎前的准备度评估与狩猎后的知识固化 |
本课题的框架选型：以Sqrrl狩猎循环为操作主线（假设→调查→发现→固化），以ATT&CK为假设生成与覆盖度评估的知识底座，以HMM为能力评估与投入规划工具，以TaHiTI/PEAK的流程严谨性要求为质量基线。本课题不新造框架，而是为上述成熟框架提供工程化落地规范（详见第2—4页）。
06 · 狩猎成熟度模型（HMM）：定位现状与规划演进
HMM（Hunting Maturity Model）由David Bianco在Sqrrl任职期间提出，从数据采集质量与分析程序能力两个维度，将组织狩猎能力划分为五级：
| 级别 | 名称 | 特征描述 | 是否算"会狩猎" |
|---|---|---|---|
| HM0 | 初始级 Initial | 完全依赖IDS/SIEM/杀软等自动化告警驱动响应；可能接入情报指标，但指标直接灌入监控系统，无人工主动搜索；数据收集很少 | 不具备狩猎能力 |
| HM1 | 最低级 Minimal | 开始例行采集IT数据并汇总至SIEM等平台；威胁情报报告发布后，分析师能提取指标对历史数据做检索 | 狩猎的最低形态（指标检索） |
| HM2 | 程序级 Procedural | 数据采集达到高覆盖度；能够遵循他人创建的狩猎程序与分析流程执行狩猎，可做小幅改进但尚不能自创新方法。多数具备SOC的组织处于此级 | 具备程序化狩猎能力 |
| HM3 | 创新级 Innovative | 拥有能够自创新的数据分析方法与狩猎程序、并向社区输出的高水平猎人；采集高质量数据，能针对本组织环境创造假设 | 具备原创狩猎能力 |
| HM4 | 领先级 Leading | 在HM3基础上将成功的狩猎程序自动化为常驻检测，释放猎人专注于新问题，形成"自动化越多→猎人越聚焦创新"的复利循环 | 狩猎成为运营模式 |
务实的目标定位：HMM是路线图而非排行榜。对多数组织，诚实的目标是HM2（程序化）到HM3（创新）：在高质量数据上例行狩猎、撰写原创假设、把赢单持续喂回自动化。HM4是飞轮效应的结果而非采购目标——成熟度由人和流程决定，无法靠购买工具直达。
07 · 与迪妙反钓鱼业务的关联
迪妙网络空间安全学院依托创办人在中国互联网络信息中心（CNNIC）与公共互联网反网络钓鱼工作组的长期实践，深耕反钓鱼、反诈骗与安全意识培训。威胁狩猎方法与本业务存在三重直接耦合：
- 钓鱼基础设施狩猎：仿冒域名的注册、证书申请、解析上线具有显著的时间聚集性。将证书透明度日志、被动DNS、域名注册数据纳入狩猎管道，可在仿冒站点投放后的早期窗口发现同源基础设施，支撑快速处置与封堵。
- 演练沙盘的狩猎视角：攻防演练与钓鱼演练的复盘产出（哪些员工点击、哪些环节失守、攻击路径如何推进）本质上是一次受控狩猎——把复盘发现固化为检测规则与培训重点，与狩猎"假设—验证—固化"循环同构。
- 课程与知识转化：狩猎方法论（假设工程、ATT&CK、SIGMA）是安全意识培训向能力培训进阶的核心内容，本子课题产出将直接转化为课程案例库与实战手册。
08 · 研究边界与合规声明
合规与伦理声明：本课题全部技术路线均以防御为目的，严格遵守《网络安全法》《数据安全法》《个人信息保护法》等法律法规。要点包括：①狩猎活动仅在本组织获得合法授权的范围内开展，不扫描、不探测无关第三方资产；②行为基线建模遵循最小必要原则，不采集与分析目标无关的个人信息，员工侧数据采集与使用须经告知并符合劳动用工合规要求；③狩猎中涉及的真实攻击者基础设施信息，共享时遵循相关交换规范与分级约束；④文中涉及的攻击技术与工具仅用于理解与检测防御，严禁用于任何未授权活动；⑤引用数据均标注公开来源，统计口径以原始报告为准。
法律层面，《网络安全法》确立了网络运营者安全保护与监测预警的基本义务框架，《数据安全法》与《个人信息保护法》对安全数据处理活动划定了合规红线。威胁狩猎作为主动安全运营活动，其数据采集、分析、留存全流程均须在上述框架内开展，并接受内部审计。
09 · 预期成果与交付物
- 《威胁狩猎方法论与实战手册》一份（覆盖假设工程、流程规范、度量体系）
- 覆盖ATT&CK高优先级战术的SIGMA规则库（含转换与部署指南，详见第3页）
- 狩猎假设模板与查询方案集（KQL/SPL/EQL三语言对照，详见第2页）
- 企业狩猎成熟度评估表与改进路线图（详见第4页）
10 · 术语表（本课题约定用法）
为消除跨文献阅读中的歧义，以下术语按本课题全文统一口径解释；如与外部文献表述不同，以原始来源定义为准。
| 术语 | 全称 / 来源 | 本课题约定释义 |
|---|---|---|
| TTP | Tactics, Techniques, and Procedures（MITRE ATT&CK） | 攻击者的战术意图、技术手段与操作过程三层知识；TTP级检测位于痛苦金字塔顶端 |
| IOC | Indicators of Compromise | 失陷指标（哈希、IP、域名等）；易失效、处于痛苦金字塔底层，仅适合指标驱动狩猎起步 |
| LOLBins / LOTL | Living Off the Land Binaries / Tactics | 滥用操作系统原生工具与合法凭据实施攻击的手法；无恶意软件入侵（CrowdStrike 2026 GTR记录2025年82%的检测为无恶意软件）使其成为狩猎核心对象 |
| UEBA | User and Entity Behavior Analytics | 用户与实体行为分析：以统计/机器学习方法建立行为基线、以偏离度发现异常（第4页§01） |
| SIEM / EDR / NDR / XDR | 安全信息与事件管理 / 端点检测响应 / 网络检测响应 / 扩展检测响应 | 狩猎的主要平台与遥测来源；XDR强调跨端点、身份、网络、云的原生关联 |
| 驻留时间 | Dwell Time（M-Trends口径） | 攻击者从初始入侵到被发现的时长；本课题以全局中位数值为行业参照 |
| SIGMA | 通用检测签名格式（SigmaHQ社区） | 以YAML描述、可转换至多平台的检测规则规范；本课题检测资产化的规范载体（第3页） |
| STIX / TAXII | 结构化威胁信息表达 / 情报交换协议（OASIS标准） | 威胁情报结构化表示与自动化交换的开放标准，是情报平台互联互通的事实基础 |
| AAR | After Action Review（战后复盘） | 对狩猎行动与真实事件的事后结构化复盘方法，四问框架见第5页§04 |
| RACI | Responsible / Accountable / Consulted / Informed | 协作职责矩阵，用于界定狩猎与SOC/IR/情报/运维的接口（第5页§03） |
| HMM | Hunting Maturity Model（David Bianco / Sqrrl） | 狩猎成熟度模型HM0—HM4，能力评估与投入规划工具（第1页§06） |
| MTTD / MTTR | 平均检测时间 / 平均响应时间 | 安全运营结果指标；狩猎对其贡献通过"自主发现率"与驻留时间间接体现（第4页§02） |
| Stealth （隐匿） | MITRE ATT&CK v19（2026年4月）新增/沿用战术，TA0005 | 原"防御规避"战术拆分后的两个战术之一，涵盖攻击者为避免被发现的纯隐藏类行为（如进程注入、混淆等）；战术编号沿用TA0005 |
| Defense Impairment （防御削弱） | MITRE ATT&CK v19新增战术，TA0112 | 原"防御规避"战术拆分后的两个战术之一，涵盖攻击者主动削弱、禁用、篡改防御机制的行为（原T1562 Impair Defenses一族技术迁入）；任何"让监控变瞎"的操作均属此类强信号 |
本节参考来源（第1页）
以下均为真实可查的权威来源（报告发布方官网、标准组织、项目官方仓库），用于支撑本页事实性表述；全部链接经2026年9月终审核验可访问。
Mandiant M-Trends 2026（Google Cloud，2026年3月23日发布；全球中位驻留时间14天、自主发现率52%、间谍类案件122天、初始访问转手22秒、Vishing占11%、分工模式9%、BRICKSTORM/UNC6201边缘设备案例与日志留存不足观察等）：cloud.google.com/blog/topics/threat-intelligence/m-trends-2026
MITRE ATT&CK官方站点：attack.mitre.org（战术与技术知识库）；ATT&CK v19版本更新说明（2026年4月，Defense Evasion拆分为Stealth与Defense Impairment）：attack.mitre.org/resources/updates/updates-april-2026
Sigma通用检测签名格式项目仓库（SigmaHQ）：github.com/SigmaHQ/sigma
David Bianco《The Pyramid of Pain》（2013）：detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html（原始Blogspot地址，另有多个社区镜像可查）
Sqrrl《Hunt Evil: Your Practical Guide to Threat Hunting》（狩猎循环与HMM原始出处，含Jack Crook十大狩猎度量指标）：threathunting.net/files/hunt-evil-practical-guide-threat-hunting.pdf
SANS阅读室威胁狩猎白皮书（编号38525）：sans.org/reading-room/whitepapers/threathunting/paper/38525
Splunk SURGe《PEAK Threat Hunting Framework》（2023）：splunk.com/en_us/blog/security/peak-threat-hunting-framework.html
荷兰国家网络安全中心（NCSC-NL，TaHiTI方法论发布方）：english.ncsc.nl；NIST SP 800-94入侵检测系统指南：csrc.nist.gov/pubs/sp/800/94/final