SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场threat-detection

threat-detection

安全与审计

查看项目

更新于 10-14 09:22

技能介绍

Threat Detection 是一个面向主动威胁发现的技能，目标是在自动化控制之外找到已经渗透或持续活动的攻击者。它不是事件响应（incident-response），也不是红队操作（red-team），而是通过结构化搜寻假设、IOC 分析和统计异常检测在警报触发前发现威胁。

一、用途 该技能用于在环境中搜寻威胁、分析 IOC、检测遥测中的行为异常。它提供威胁搜寻方法论和配套工具，帮助安全分析人员从被动等待告警转向主动发现隐藏的攻击活动。

与其他安全技能的区别：

  • threat-detection（本技能）：寻找隐藏威胁，主动方式，在告警前进行搜寻。
  • incident-response：处理已确认的活跃事件，被动方式，对已声明事件进行遏制和调查。
  • red-team：攻击性模拟，从攻击者视角测试防御。
  • cloud-security：云配置错误，针对 IAM、S3、网络暴露进行态势管理。

前置条件：需要具备 SIEM/EDR 遥测、终端日志和网络流数据的读取权限。IOC 数据源需要在 30 天内保持新鲜度，以避免误报。搜寻假设在执行前必须限定到具体环境范围。

二、威胁信号分析器 threat_signal_analyzer.py 工具支持三种模式：

  1. hunt 模式：针对 MITRE ATT&CK 覆盖度对假设进行评分。
  2. ioc 模式：从 IOC 数据源文件生成扫描目标。
  3. anomaly 模式：检测遥测事件中的统计异常值。

IOC 文件格式支持 ips、domains、hashes 三类字段。遥测事件文件格式包含 timestamp、entity、action、volume 字段。工具退出码含义：0 表示无高优先级发现，1 表示检测到中优先级信号，2 表示存在高优先级确认发现。

三、威胁搜寻方法论 结构化威胁搜寻遵循五步循环：假设 → 数据源识别 → 查询执行 → 发现分类 → 反馈到检测工程。

假设评分因素与权重：

  • 攻击者相关性（×3）：该 TTP 与所在行业已知威胁行为者的匹配程度。
  • 控制缺口（×2）：现有控制措施中有多少会遗漏该行为。
  • 数据可用性（×1）：是否具备测试该假设所需的遥测数据。

优先级分数 =（攻击者相关性 × 3）+（控制缺口 × 2）+（数据可用性 × 1）。

资料中列出了若干高价值搜寻假设，例如 WMI 横向移动（T1047）、LOLBin 执行规避防御（T1218）、带抖动的 C2 信标（T1071.001）、Pass-the-Hash 横向移动（T1550.002）、LSASS 内存访问（T1003.001）、Kerberoasting（T1558.003）、计划任务持久化（T1053.005）等，并给出对应数据源和优先级信号。

四、IOC 分析 IOC 分析用于判断指标是否新鲜、映射所需扫描目标，并过滤过时数据以减少误报。

IOC 类型、过期阈值与扫描目标：

  • IP 地址：30 天；扫描防火墙日志、NetFlow、代理日志；覆盖 T1071、T1105。
  • 域名：30 天；扫描 DNS 解析器日志、代理日志；覆盖 T1568、T1583。
  • 文件哈希：90 天；扫描 EDR 文件创建、AV 扫描日志；覆盖 T1105、T1027。
  • URL：14 天；扫描代理访问日志、浏览器历史；覆盖 T1566.002。
  • Mutex 名称：180 天；扫描 EDR 运行时工件；覆盖 T1055。

超过阈值的 IOC 会被标记为过时，并从扫描目标生成中排除。建议在每个搜寻周期前从威胁情报平台（如 MISP、OpenCTI、商业 TI）刷新 IOC 数据源。

五、异常检测 统计异常检测用于发现偏离已建立基线的行为，而不依赖已知恶意签名。

Z 分数阈值与响应：

  • < 2.0：正常，无需操作。
  • 2.0–2.9：软异常，记录并监控，增加采样。
  • ≥ 3.0：硬异常，升级给搜寻分析师，调查实体。

基线要求：有效的异常检测需要至少 14 天的历史遥测数据来建立有效基线。在安全事件后、重大基础设施变更后（云迁移、新 SaaS 部署）、季节性使用模式变化后（季度末、假期）需要重新计算基线。

资料还列出了高价值异常检测目标，包括 DNS 解析器、终端、服务账户、邮件网关、云 IAM 等实体类型及对应指标和异常指标。

六、MITRE ATT&CK 信号优先级 每个搜寻假设映射到一个或多个 ATT&CK 技术。在环境中具有多个确认信号的技术优先级更高。资料提供了战术覆盖矩阵，涵盖初始访问、执行、持久化、防御规避、凭据访问、横向移动、收集、外泄、命令与控制等战术，及其关键技术、主要数据源。

七、欺骗与蜜罐集成 欺骗资产产生高保真告警，任何与蜜罐的交互都是需要调查的明确信号。资料列出了欺骗资产类型与放置位置，包括密码库中的蜜罐凭据、蜜签（伪造 AWS 访问密钥）、蜜文件（如 passwords.xlsx）、蜜账户（休眠 AD 用户）、蜜罐网络服务等，并对应 ATT&CK 技术和信号。蜜罐告警绕过标准评分流程，任何命中自动视为 SEV2，直至被证明并非如此。

八、工作流 资料给出三种工作流：

  1. 快速搜寻（30 分钟）：用于响应新的威胁情报报告或 CVE 告警。步骤包括对假设评分、构建 IOC 扫描列表、检查过去 24 小时 Web 服务器遥测异常。决策：如果搜寻优先级 ≥ 7 或任何 IOC 扫描命中，则升级为完整搜寻。
  2. 完整威胁搜寻（多日）：第一天生成假设，审查行业相关 TTP，映射过去 30 天安全告警到 ATT&CK 战术以识别缺口，对前 5 个假设评分并排序。第二天收集数据并执行查询，从 SIEM 拉取相关遥测（过去 14 天），运行异常检测，执行 30 天内新鲜 IOC 的扫描，查看 references/hunt-playbooks.md 中的搜寻手册。第三天分类和报告，对所有异常发现进行确认或排除，将确认活动升级到 incident-response，根据搜寻发现记录新检测规则，将误报 IOC 反馈给 TI 提供者。
  3. 持续监控（自动化）：以 6 小时为周期配置针对关键实体基线的重复异常检测，可通过 cron 作业运行，并在退出码为 2（硬异常）时发送告警。

九、反模式 资料列出了需要避免的反模式：

  • 没有假设的搜寻：在所有遥测上运行宽泛查询会产生噪声而非信号。每次搜寻必须从可测试的、限定到一两个 ATT&CK 技术的假设开始。
  • 使用过时 IOC：超过 30 天的 IOC 会产生误报，使分析师忽视告警。扫描前应检查 IOC 新鲜度，从自动扫描中排除过时指标。
  • 跳过基线建立：没有有效基线的异常检测会在正常高流量日产生告警。在任何实体类型上启用统计告警前，需要 14 天以上基线数据。
  • 仅搜寻已知技术：仅针对已记录的 ATT&CK 技术进行搜寻会遗漏新型攻击者行为。应定期加入开放式异常分析，以发现未知 TTP。
  • 未闭环反馈到检测工程：确认恶意行为的搜寻发现必须产生新检测规则。不改善检测覆盖的搜寻没有持久价值。
  • 将每个异常视为已确认威胁：高 z 分数表示偏离基线，而非确认恶意。所有异常都需要人工分类确认或排除后才能升级。
  • 忽视蜜罐告警：任何与欺骗资产的交互都是高保真信号。将蜜罐告警视为噪声会使整个欺骗投入失效。

十、交叉引用 资料列出与其他技能的关系：

  • incident-response：搜寻确认的威胁升级到 incident-response 进行分诊和遏制。
  • red-team：红队演练生成真实 TTP，为搜寻假设优先级提供信息。
  • cloud-security：云态势发现（开放 S3、IAM 通配符）创建针对数据外泄 TTP 的搜寻目标。
  • security-pen-testing：渗透测试发现识别出威胁搜寻应在修复后监控的攻击面。

以上为该技能资料中的全部主要内容。具体安装命令、价格、收费、平台支持等信息资料中暂未提供。