威胁狩猎

何时使用 / 何时不用

• 用：主动狩猎请求（「环境里有没有 X 的活动」）、假设驱动的环境排查、威胁情报落地（情报线索转环境内搜索）
• 用：基线驱动的异常发现（无特定情报时先建基线再找偏离）
• 用：事件后扩大排查（一次确认命中 → 同 TTP/同基础设施再查一遍，找漏网）
• 用：告警驱动追溯（一次告警 → 反向狩猎同类未告警行为，找漏网）
• 不用：纯合规巡检（无假设的定期报表是运营不是狩猎，两者流程不同）
• 不用：已知样本分析（[[re-behavior]]）；IOC 查询（[[re-ti]]）；单点证据深挖（各域技能）
• 不用：应急响应单点处置（狩猎是主动面，应急是被动触发，结论可互哺但流程不同）
• 不用：无遥测来源时（数据源缺失无法支撑假设验证，先补齐采集再狩猎，见 [[gotchas]]）
• 不用：设备/主机级单点排查（那是各域技能的事，狩猎面向环境整体）

工具准备

日志分析工具（通用）

• 多平台: jq / grep / awk（各发行版自带或 apt install jq / brew install jq）
• 验证: jq --version
• python3（基线统计/聚类脚本）：安装见 [[re-python]] 工具准备
• 快速频次统计：grep -E + sort | uniq -c（基线初版可用）

遥测查询（按环境）

• SIEM/EDR 查询接口（按部署环境给查询指引，工具不绑定）
• 本地日志: journalctl（Linux，结构化过滤：journalctl -o json --since "24 hours ago" | jq ...）；PowerShell Get-WinEvent（Windows，如 Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 100）
• 网络遥测: 流量/防火墙日志（深挖见 [[re-netcap]]）
• Windows 常用事件 ID（按环境实际启用情况核对）：4624/4625 登录成功/失败、4688 进程创建、Sysmon 1 进程创建、Sysmon 11 文件创建

ATT&CK 导航（假设对齐参考）

• 网页工具（公开访问）；本地可下载 Navigator 层文件；规则匹配格式可参考 Sigma（公开规则格式，按环境适配）
• 覆盖对照：结束后用 Navigator 层标记已覆盖技术，产出覆盖率声明（与盲区对照）

操作步骤

按顺序执行；假设明确再动手（坑 5）。每步产物存档（路径 + sha256，见 [[re-triage]]）。

1. 狩猎假设生成：

   • 输入：威胁情报（[[re-ti]]）、已知攻击模式（[[re-behavior]] 经验）、环境特征（暴露面/业务/历史事件）、红队/演练报告（已知成功路径优先查）
   • 假设句式：「攻击者可能通过 X 技术在环境内做了 Y」——X 对齐 ATT&CK 技术，Y 是可观测的遥测痕迹
   • 可证伪性检查：每个假设写得出「若为假应看到什么」（反证形态），写不出的不查
   • 情报可检测性映射：情报的每条 IOC/TTP 都要回答「在环境里对应哪个遥测痕迹」；对不上的列为盲区假设
   • 优先级：影响 × 可能性 × 可检测性（三者都低的不值得查）
   • 假设数量控制：单轮 3-5 个高优先级假设（过多则无法深入验证）
   • 假设卡片：编号/句式/来源情报/遥测痕迹/反证形态/优先级
   • 产出：假设列表（每个假设 = 可证伪的搜索目标；按技术族覆盖多假设，避免单点）

2. 遥测源选择：

   • 按假设选数据源：进程行为 → EDR/进程日志（Windows 4688/Sysmon 1）；网络 → 流量/防火墙日志；登录 → 认证日志（4624/4625）；文件 → 文件系统监控（Sysmon 11）

   • 数据源缺失 → 标注盲区（结论的有效性边界，见 [[gotchas]] 盲区坑）

   • 同一假设有多个数据源时先查覆盖最全的，再交叉验证

   • 先验证遥测管道健康（收一条已知测试事件），再信「无告警」

   • 时间归一：各数据源时间戳统一为 UTC 与同格式（ISO8601），跨源比较前先做

   • 数据源映射示例（按环境核对实际事件 ID）：

     假设侧重	数据源	事件/日志	缺失时
     进程/执行	EDR、进程日志	4688、Sysmon 1	无法验证执行链
     网络外联	流量/防火墙/代理	连接日志/NetFlow	无法验证外联行为
     登录/凭据	认证日志	4624/4625	无法验证撞库/横向
     文件落地	文件系统审计	Sysmon 11	无法验证投放

3. 基线 vs 异常：

   • 基线：正常窗口的统计分布（频率/来源/目标特征）——窗口选已知干净时段且覆盖业务周期（见坑 1）
   • 统计方法：频率分布/百分位基线/环比突变（与上一窗口对比）；用 python3 脚本做分布统计
   • 异常检测：偏离基线的行为（新进程链、非常规时段、异常目标）、规则匹配（已知模式）
   • 启发式异常示例：首次出现的进程/域名、非工作时间登录、罕见端口外联
   • 聚类：异常条目按特征聚类（进程名/路径/目标域名/时间窗），减少人工逐个审查
   • 聚类产出：异常组清单（每组：特征/数量/时间范围/关联假设编号）
   • 基线产物：按实体的频率分布表（top N 进程/域名/登录源）+ 阈值建议

4. 验证闭环：

   • 命中确认：异常 → 深挖（[[re-behavior]] 行为分析、[[re-variant]] 样本关联、[[re-netcap]] 网络侧核对）
   • 误报排除：白名单核对、环境解释（合法变更/维护窗口）、与业务方确认
   • 排除后留档：误报判定记录（为什么排除），复查不重复分析
   • 白名单是动态资产：确认合法后入白名单（附原因），环境变化定期复查
   • 证据存档：按 [[re-analyze/analysis-contract]] 复核格式（结论/证据/置信度）
   • 闭环输出：确认命中 → 事件报告（含 IOC 沉淀，可转 [[re-ioc]]）；未命中 → 假设归档（可复跑，标注盲区）
   • 命中后扩大复查：同 TTP/同源再扫一遍（狩猎是迭代不是一次性）
   • 复盘产出：假设命中率统计（下轮优先级依据）
   • 交付结构：假设清单（含盲区）→ 命中列表（分级）→ 证据包路径 → 建议（规则/采集补强）
   • 判定分级与终止条件见 [[decision-tree]]（确认/可疑/未证实/未命中四级）

跨域联合

• [[re-forensics]] 网关：本技能归属
• [[re-ti]]：情报输入（假设来源）
• [[re-behavior]]：命中深挖（行为证据）
• [[re-variant]]：样本关联
• [[re-netcap]]：网络遥测深挖
• [[re-ioc]]：命中指标沉淀（YARA/规则）
• [[re-triage]]：产物存档规范（路径 + sha256）
• [[re-analyze/analysis-contract]]：结论按复核格式交付

常见坑与陷阱

• 基线污染：现象——异常被视为正常；原因——环境本身已被攻陷（基线含恶意活动）；对策——基线窗口选择在已知干净时段，标注基线假设
• 遥测缺失盲区：现象——无异常结论但环境有活动；原因——关键数据源未采集；对策——步骤 2 显式标注盲区，结论限定「在已采集遥测内」
• 误报疲劳：现象——大量命中无人深挖；原因——规则过宽/阈值过低；对策——先聚类再审查，阈值按基线校准
• 假设过窄：现象——只查了一个技术；原因——假设单一；对策——按 ATT&CK 技术族生成多假设（覆盖率声明）
• 结论过强：现象——「环境干净」声明；原因——未标注盲区与假设边界；对策——结论带限定（见坑 2）
• 确认偏误：现象——只找支持假设的证据，忽略反证；原因——先有结论再找证据；对策——每个假设列「若为假应看到什么」，反证同样记录
• 时钟偏差/时区：现象——事件序列对不上；原因——端侧时钟未校准；对策——先归一 UTC，标注时间源
• 无告警 ≠ 无活动：现象——规则匹配全空即宣布安全；原因——监控盲区/规则逃逸/告警系统降级；对策——「已采集+已覆盖技术」与「未覆盖」分开陈述
• 只查一遍不复查：现象——命中处理后不再扩大范围；原因——把狩猎当一次性任务；对策——命中后按同 TTP/同基础设施再查，迭代两轮
• 查询权限不足：现象——结论带盲区但未标注；原因——只拿到部分数据源权限；对策——列出未授权数据源，结论限定在已授权范围
• 基线窗口含维护期：现象——维护窗口的合法大动作被当异常/污染基线；原因——窗口选择粗糙；对策——基线窗口排除维护期并标注
• 命中即定性：现象——单条日志命中即报事件；原因——未做环境解释；对策——过「环境解释」关再定性（决策树分级表）
• 任务类型选择、命中分级与归档规则见 [[decision-tree]] / [[gotchas]]