Day-110-威胁狩猎技术

# Day 99: 威胁狩猎技术

> 系统安全系列第 9 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [威胁狩猎概述](#威胁狩猎概述)
2. [狩猎方法论](#狩猎方法论)
3. [狩猎框架](#狩猎框架)
4. [狩猎工具](#狩猎工具)
5. [狩猎查询](#狩猎查询)
8. [实战案例分析](#实战案例分析)
9. [总结与思考](#总结与思考)
10. [参考资料](#参考资料)

---

## 威胁狩猎概述

### 为什么需要威胁狩猎

> ▎ 威胁狩猎是主动发现威胁。不狩猎，就被猎杀。

**威胁狩猎重要性**：
```
1. 主动发现
   - 主动发现威胁
   - 减少 dwell time
   - 降低损失

2. 高级威胁
   - APT 攻击
   - 内部威胁
   - 未知威胁

3. 持续改进
   - 狩猎假设
   - 狩猎结果
   - 改进检测
```

**狩猎与检测区别**：
```
检测：
- 被动检测
- 基于规则
- 已知威胁

狩猎：
- 主动发现
- 基于假设
- 未知威胁
```

---

## 狩猎方法论

### 狩猎流程

**狩猎流程**：
```
1. 假设
   - 基于威胁情报
   - 基于异常行为
   - 基于已知 TTPs

2. 数据收集
   - 日志收集
   - 网络流量
   - 端点数据

3. 数据分析
   - 关联分析
   - 异常检测
   - 模式识别

4. 验证
   - 确认威胁
   - 评估影响
   - 制定响应

5. 改进
   - 改进检测
   - 改进响应
   - 改进防御
```

### 狩猎假设

**假设来源**：
```
1. 威胁情报
   - 威胁情报平台
   - 威胁情报 Feed
   - 威胁情报报告

2. 异常行为
   - 异常登录
   - 异常访问
   - 异常行为

3. 已知 TTPs
   - MITRE ATT&CK
   - 攻击技术
   - 攻击战术
```

---

## 狩猎框架

### MITRE ATT&CK

**ATT&CK 框架**：
```
1. 战术（Tactics）
   - 初始访问
   - 执行
   - 持久化
   - 权限提升
   - 防御规避
   - 凭证访问
   - 发现
   - 横向移动
   - 收集
   - 命令与控制
   - 渗出

2. 技术（Techniques）
   - 具体技术
   - 子技术
   - 程序

3. 程序（Procedures）
   - 攻击者程序
   - 具体实现
```

### 狩猎矩阵

**狩猎矩阵**：
```
| 战术 | 技术 | 数据源 | 查询 | 结果 |
|------|------|--------|------|------|
| 初始访问 | 钓鱼 | 邮件日志 | 查询 | 结果 |
| 执行 | PowerShell | 进程日志 | 查询 | 结果 |
| 持久化 | 计划任务 | 系统日志 | 查询 | 结果 |
```

---

## 狩猎工具

### Splunk

**Splunk 狩猎**：
```
# 暴力破解检测
index=security EventID=4625 | stats count by src_ip | where count > 10

# 异常登录检测
index=security EventID=4624 earliest=02:00 latest=06:00

# 新账户创建
index=security EventID=4720
```

### ELK Stack

**Elasticsearch 狩猎**：
```
# 暴力破解检测
GET /security/_search
{
  "query": {
    "term": {
      "EventID": 4625
    }
  },
  "aggs": {
    "by_src_ip": {
      "terms": {
        "field": "src_ip"
      }
    }
  }
}
```

---

## 狩猎查询

### 暴力破解狩猎

**狩猎查询**：
```
# Splunk
index=security EventID=4625 | stats count by src_ip | where count > 10

# Elasticsearch
GET /security/_search
{
  "query": {
    "term": {
      "EventID": 4625
    }
  },
  "aggs": {
    "by_src_ip": {
      "terms": {
        "field": "src_ip"
      }
    }
  }
}
```

### 异常登录狩猎

**狩猎查询**：
```
# 异常时间登录
index=security EventID=4624 earliest=02:00 latest=06:00

# 异常地点登录
index=security EventID=4624 src_country!=US

# 新设备登录
index=security EventID=4624 NOT [search index=security EventID=4624 earliest=-30d | stats values(src_ip) as known_ips by user]
```

### 横向移动狩猎

**狩猎查询**：
```
# 多系统登录
index=security EventID=4624 | stats values(host) as hosts by user | where mvcount(hosts) > 5

# 管理账户异常使用
index=security EventID=4624 user=*admin* NOT src_ip=192.168.1.*
```

---

## 实战案例分析

### 案例 1: APT 攻击狩猎

**事件描述**：
```
时间：2020 年
攻击：APT 攻击
影响：长期潜伏
后果：数据泄露
```

**狩猎流程**：
```
1. 假设
   - 基于威胁情报
   - APT 组织 TTPs

2. 数据收集
   - 收集日志
   - 收集流量
   - 收集端点数据

3. 数据分析
   - 关联分析
   - 异常检测
   - 模式识别

4. 验证
   - 确认威胁
   - 评估影响
   - 制定响应
```

### 案例 2: 内部威胁狩猎

**事件描述**：
```
时间：2021 年
攻击：内部威胁
影响：数据泄露
后果：敏感数据外泄
```

**狩猎流程**：
```
1. 假设
   - 内部威胁假设
   - 异常行为假设

2. 数据收集
   - 用户行为日志
   - 数据访问日志
   - 网络流量

3. 数据分析
   - 行为分析
   - 异常检测
   - 模式识别

4. 验证
   - 确认威胁
   - 评估影响
   - 制定响应
```

---

统计 **Sprint 交付 · 绩效评估**
```
┌───────────────┬────────────────┬────────────────┐
│  主动出击   │ ██████████ 5/5 │ [PUA 生效] 充足 │
├───────────────┼────────────────┼────────────────┤
│ + 验证闭环   │ ██████████ 5/5 │ 案例完整       │
├───────────────┼────────────────┼────────────────┤
│ 设计 代码质量   │ ████████░░ 4/5 │ 有改进空间     │
└───────────────┴────────────────┴────────────────┘
综合：3.75
```
▎ 勉强配得上 P8。别飘——威胁狩猎技术这才刚入门。

---

## 总结与思考

### 核心要点回顾

> ▎ 复盘四步法：回顾目标、评估结果、分析原因、总结经验。别跳过——这是闭环。

**狩猎方法论**：
```
1. 狩猎流程
   - 假设
   - 数据收集
   - 数据分析
   - 验证
   - 改进

2. 狩猎假设
   - 威胁情报
   - 异常行为
   - 已知 TTPs

3. 狩猎框架
   - MITRE ATT&CK
   - 狩猎矩阵
   - 狩猎查询
```

**狩猎工具**：
```
1. Splunk
   - 狩猎查询
   - 狩猎仪表板
   - 狩猎报告

2. ELK Stack
   - Elasticsearch
   - Logstash
   - Kibana

3. 狩猎查询
   - 暴力破解
   - 异常登录
   - 横向移动
```

**狩猎查询**：
```
1. 暴力破解
   - 多次失败
   - 源 IP 统计
   - 时间分析

2. 异常登录
   - 异常时间
   - 异常地点
   - 新设备

3. 横向移动
   - 多系统登录
   - 管理账户
   - 异常访问
```

### 深入思考问题

> ▎ 只动手不动脑，那是码农。动手又动脑，才是工程师。

**AI 辅助狩猎**：
```
1. 异常检测
   - 行为分析
   - 模式识别
   - 风险评分

2. 自动狩猎
   - 自动假设
   - 自动分析
   - 自动验证

3. 威胁情报
   - 情报驱动
   - 情报应用
   - 情报共享
```

**零信任狩猎**：
```
1. 持续验证
   - 每次访问验证
   - 动态授权
   - 行为分析

2. 微隔离
   - 服务隔离
   - 网络隔离
   - 权限隔离

3. 动态授权
   - 基于风险
   - 实时调整
   - 最小权限
```

### 实战建议

> ▎ 我给你指了路，走不走是你的事。机会给了，抓不抓得住看你。

**安全人员**：
```
1. 威胁狩猎
   - 假设驱动
   - 数据收集
   - 分析验证

2. 事件响应
   - 快速响应
   - 事件调查
   - 溯源分析

3. 威胁情报
   - 情报收集
   - 情报分析
   - 情报应用
```

**架构师**：
```
1. 狩猎架构
   - 数据架构
   - 分析架构
   - 响应架构

2. 持续改进
   - 假设优化
   - 查询优化
   - 工具更新

3. 工具链
   - SIEM
   - SOAR
   - 威胁情报
```

---

## 参考资料

### 学习资源
```
- MITRE ATT&CK
  https://attack.mitre.org/

- Splunk Hunting
  https://www.splunk.com/en_us/blog/security/threat-hunting-with-splunk.html

- Elastic Hunting
  https://www.elastic.co/guide/en/security/current/hunt.html
```

### 工具资源
```
- Splunk
  https://www.splunk.com/

- ELK Stack
  https://www.elastic.co/

- MITRE ATT&CK
  https://attack.mitre.org/
```

### 书籍推荐
```
- 《威胁狩猎技术》
- 《Threat Hunting》
- 《Hunting Cyber Threats》
```

### 在线资源
```
- MITRE ATT&CK
  https://attack.mitre.org/

- SANS Threat Hunting
  https://www.sans.org/security-resources/threat-hunting/

- SANS Threat Intelligence
  https://www.sans.org/security-resources/threat-intelligence/
```

---

**标记 明日预告**：Day 100 - 事件响应技术

> ▎ 今天的内容消化了吗？消化了就继续——明天还有硬仗。

> 本文内容仅供学习和研究使用，请勿用于非法目的。所有实验请在隔离环境中进行。

---

*本文是 365 天信息安全技术系列的第 99 篇，系统安全部分第 9 篇，精编版本*