主机威胁狩猎流程<\/strong><\/p>

定义与目标<\/strong>：主机威胁狩猎是一种主动的、以假设驱动的安全活动，它不依赖于已知告警，而是由安全专家主动、迭代地在主机环境中搜索潜伏的、逃避了传统检测手段（如入侵检测系统、防病毒软件）的威胁。其核心目标是“发现未知的恶意活动”，缩短威胁的驻留时间。<\/p> <\/li>

核心理念与前提<\/strong>：威胁狩猎建立在三个核心前提之上。首先，必须承认攻击者已经突破了外围防御的“假设”；其次，狩猎活动需要高质量的数据源<\/strong>（如已讲流程中的全面日志、进程创建网络连接、文件系统更改记录等）；最后，它依赖于狩猎人员对攻击者战术、技术和程序<\/strong> 的深入了解以及环境正常行为基线<\/strong>的掌握。<\/p> <\/li>

关键输入与准备<\/strong>：<\/p>

数据源准备<\/strong>：确保关键主机日志（如安全事件日志、Sysmon日志、进程树、网络连接、DNS查询、注册表更改）被集中采集并可高效查询（依赖于“主机安全日志采集与分析流程”的成果）。<\/li>
假设生成<\/strong>：这是狩猎的起点。基于威胁情报、攻击模式、内部风险评估或异常指标，提出具体的、可调查的假设。例如：“假设存在使用无文件 PowerShell 脚本进行横向移动的攻击者”或“假设存在滥用计划任务进行持久化的后门”。<\/li> <\/ul> <\/li>

标准狩猎流程（假设驱动）<\/strong>：<\/p>

步骤一：假设触发<\/strong>：明确本次狩猎要验证的具体攻击技术或行为模式。<\/li>
步骤二：工具与数据采集<\/strong>：根据假设，选择对应的查询工具（如SIEM、EDR平台、自定义脚本）和数据字段。例如，针对“无文件攻击”，需重点查询PowerShell日志的脚本块内容、父进程关系等。<\/li>
步骤三：执行分析<\/strong>：在目标主机或数据集上执行预定义的查询或分析脚本，寻找与假设行为模式匹配的证据。这通常涉及统计分析、异常值检测和模式匹配。<\/li>
步骤四：识别模式\/异常<\/strong>：分析查询结果，区分正常行为与潜在恶意模式。这需要结合环境基线进行判断。<\/li>
步骤五：丰富与关联上下文<\/strong>：对发现的疑似异常，关联其他数据源进行深入调查。例如，将一个可疑进程与它的网络连接、文件创建行为、用户身份进行关联分析。<\/li>
步骤六：生成结论与响应<\/strong>：如果假设被证实，立即转入“主机入侵检测与应急响应流程”，遏制和清除威胁。如果未证实，则记录结果，并可能催生新的假设。<\/li> <\/ul> <\/li>

主要狩猎技术<\/strong>：<\/p>

基于指标的狩猎<\/strong>：围绕具体的入侵指标（如恶意IP、哈希值、域名）进行搜索。这是最直接的方法，但仅能发现已知威胁。<\/li>
基于战术、技术和程序的狩猎<\/strong>：围绕攻击者使用的特定TTP（如MITRE ATT&CK框架中的技术）进行搜索。例如，专门狩猎“凭证转储”或“横向移动”相关行为，可发现使用新工具但技术相同的未知威胁。<\/li>
异常行为狩猎<\/strong>：利用统计学或机器学习建立行为基线，寻找显著偏离基线的异常主机、用户或进程行为。这需要深厚的环境知识来降低误报。<\/li> <\/ul> <\/li>

产出与闭环<\/strong>：<\/p>

发现威胁<\/strong>：流程的核心产出，包括新的恶意指标、攻击模式或已失陷主机。<\/li>
丰富威胁情报<\/strong>：将狩猎中发现的新TTP和指标反馈到威胁情报库，增强未来的检测能力。<\/li>
优化检测规则<\/strong>：将成功的狩猎查询，转化为自动化的检测规则，部署到SIEM或EDR中，实现从“主动狩猎”到“被动检测”的能力转化。<\/li>
改进安全控制<\/strong>：根据发现的攻击路径，建议并实施新的安全加固措施（联系“主机安全加固与配置管理流程”），弥补防御缺口。<\/li> <\/ul> <\/li>

成熟度模型<\/strong>：一个成熟的威胁狩猎流程应从临时、手动的“初始狩猎”，发展为有计划的、基于假设的“标准化狩猎”，并最终进化为高度自动化、与威胁情报深度集成、能持续进行假设验证的“制度化狩猎”项目，成为安全运维的核心能力之一。<\/p> <\/li> <\/ol>