Threat Hunting 威胁狩猎

不等告警,主动出去找。 假设”攻击者可能已经潜入了,只是没触发告警”,然后主动翻 日志、查 端点,把藏起来的威胁挖出来。

为什么需要主动找

被动检测(IDS/SIEM 告警)只能抓”已知的、会触发规则的”。但 APT、0-day、无文件攻击专门绕过告警——它们就是 漏报。威胁狩猎就是去捞这些漏网之鱼。

怎么狩猎

1. 提假设 —— 比如”如果有人在做横向移动,日志里会有什么 IoA?”
2. 查数据 —— 在 SIEM/EDR 里按假设搜
3. 验证 —— 找到可疑就深入 分析
4. 沉淀 —— 把发现变成新的检测规则

谁干这个

SOC 里经验最足的 Tier 3 分析师。常用 威胁情报和 MITRE ATT&CK 框架指导假设。

狩猎的价值不只是抓当前威胁,更是把”人脑发现的模式”固化成自动检测,让系统越来越聪明。