用途
该技能用于构建系统化的威胁狩猎工作流，将威胁情报和 ATT&CK 覆盖差距分析转化为可测试的假设，然后通过查询、分析和验证来执行这些假设。其核心目标是在环境中主动寻找与特定技术相关的入侵指标，而非被动等待告警。
何时使用
- 主动在环境中狩猎相关技术的指标时
- 威胁情报显示攻击者正在使用这些技术的活跃活动后
- 事件响应期间，用于界定与这些技术相关的入侵范围
- EDR 或 SIEM 告警触发相关指标时
- 定期安全评估和紫队演练期间
前置条件
- 具备进程和网络遥测能力的 EDR 平台（如 CrowdStrike、MDE、SentinelOne）
- 已摄取相关日志数据的 SIEM（如 Splunk、Elastic、Sentinel）
- 部署了完整配置的 Sysmon
- 启用了 Windows 安全事件日志转发
- 用于 IOC 关联的威胁情报源
工作流
- 制定假设：基于威胁情报或 ATT&CK 差距分析定义可测试的假设。
- 识别数据源：确定验证或反驳假设所需的日志和遥测数据。
- 执行查询：对 SIEM 和 EDR 平台运行检测查询，收集相关事件。
- 分析结果：检查查询结果中的异常，跨多个数据源进行关联。
- 验证发现：通过上下文分析区分真阳性与假阳性。
- 关联活动：将发现链接到更广泛的攻击链和威胁行为者 TTP。
- 记录与报告：记录发现、更新检测规则并建议响应措施。
关键概念
- TA0001 初始访问
- TA0003 持久化
- TA0008 横向移动
- TA0010 数据外泄
工具与系统
- CrowdStrike Falcon：EDR 遥测与威胁检测
- Microsoft Defender for Endpoint：使用 KQL 进行高级狩猎
- Splunk Enterprise：使用 SPL 查询进行 SIEM 日志分析
- Elastic Security：检测规则与调查时间线
- Sysmon：详细的 Windows 事件监控
- Velociraptor：端点工件收集与狩猎
- Sigma Rules：跨平台检测规则格式
常见场景
- 场景 1：基于 APT 活动报告的威胁情报驱动狩猎
- 场景 2：ATT&CK 覆盖差距分析驱动假设创建
- 场景 3：基于 UEBA 告警调查的异常驱动假设
- 场景 4：基于行业部门威胁的态势感知狩猎
输出格式
- Hunt ID: TH-BUILDI-[DATE]-[SEQ]
- Technique: TA0001
- Host: [主机名]
- User: [账户上下文]
- Evidence: [日志条目、进程树、网络数据]
- Risk Level: [严重/高/中/低]
- Confidence: [高/中/低]
- Recommended Action: [遏制、调查、监控]