在數字化的世界里，每一個組織都必須具備在危險環境中航行的能力，這需要由他們的守護者——網絡安全專業團隊進行守護。在這場沒有終點的攻防博弈中，開展主動威脅狩獵活動是一項重要的安全實踐，它使防御者能夠先發制人，破壞對手精心布置的攻擊計劃，將安全團隊從被動應對攻擊的哨兵轉變為主動發起攻擊的網絡戰士。

威脅狩獵是一種主動和可持續的網絡安全方法，旨在識別和緩解威脅，避免其對組織造成重大危害。與依賴于反應性技術(如基于簽名的檢測或事件響應)的傳統安全措施不同，威脅狩獵的核心 是基于假設妥協的原則，鼓勵安全專業人員采取更主動和持續的監控方法，尋找到可能已經避開傳統防御措施的威脅痕跡和證據。

組織實施威脅狩獵計劃的核心目標就是要縮短出現危險和完成攻擊之間的時間差，即所謂的“停留時間”。當攻擊行為者在企業環境中停留的時間越長，他們可能造成的傷害后果就越大。更確切地說，威脅狩獵需要能夠發現傳統安全工具未檢測到的風險，并幫助企業分析和提高現有威脅檢測機制和流程的有效性，提出合理的安全性優化建議。此外，它們還需要能夠識別新的攻擊手法、戰術、技術和程序 (TTP)，從而發起全新的威脅處置任務。

為了幫助組織更有效地開展威脅狩獵工作，本文收集整理了目前應用較廣泛的7種威脅狩獵方法，并對其特點進行了分析：

1.基于假設的威脅狩獵

由假設驅動的威脅狩獵類似于偵探的工作，主要通過細致的調查發現威脅并檢驗它們。在這種方法中，威脅獵人(安全分析師)會運用所掌握的攻擊者行為知識，并利用 MITRE ATT &CK?框架作為他們的行動指南。這個框架詳細闡明了攻擊者所采用的戰術、技術和流程，幫助威脅獵人有針對性地搜索潛在的攻擊行為。

基于假設的威脅狩獵方法，其最大的價值在于它能夠有效地引導流程化的狩獵活動，專注于運用已知的技術，去發現特定的攻擊者行為。它提供了一個結構化和主動的方法，使獵人保持領先的潛在威脅搜索，并持續地調整優化組織的防御。通過不斷設定新的威脅假設和納入新的情報，威脅獵人可以更有效地預測和打擊他們的網絡對手。

2.基于異常行為的威脅狩獵

相比基于假設的威脅狩獵活動，以識別異常行為為基礎的威脅狩獵則采取了一個獨特的狩獵路徑，強調對網絡內的異常行為進行識別。其狩獵目標將會更加全面和廣泛。基于異常行為的威脅狩獵需要建立一個代表正常活動的行為基線，并在出現偏離時發出警報和提醒。這種方法需要大量利用機器學習的能力來檢測可能預示潛在威脅的異常行為模式。

基于異常行為分析的威脅狩獵的優勢在于它能夠發現一些未知的新威脅。通過對比網絡中的規律性模式和安全行為基線，可以迅速識別和調查出現的行為偏差。這種方法在檢測內部威脅或新型復雜網絡攻擊時特別有用。

不過需要說明的是，基于異常行為的威脅狩獵也存在很多挑戰，比如如何有效區分真異常和良性異常就是一項非常復雜的任務。威脅獵人也必須投入大量的時間和精力來不斷優化其檢測機制，以最大限度地減少誤報，確保他們的調查重點是那些真正的威脅。

3.與簽名無關的威脅狩獵

組織在尋求威脅檢測的過程中，一些與簽名無關的狩獵活動會讓安全分析師脫離了常規的監測路徑，此時需要大膽地超越傳統的基于簽名的威脅檢測方法。簽名不可知的威脅狩獵活動挑戰了預定義的檢測規則和簽名的局限性，能夠發現那些動態變化中的模糊威脅。在這種狩獵模式下，要求威脅獵人仔細檢查大量的安全指標，包括可疑的行為模式、惡意代碼片段以及出現異常的網絡設施。

這種方法的優點在于它能夠檢測出目標性很強的APT威脅。攻擊者通常采用自定義惡意軟件、零日漏洞或混淆技術來逃避基于簽名的防御措施。通過尋找簽名特征以外的特征，威脅獵人可以識別出與任何已知模式都不匹配的惡意攻擊，因此對發現APT攻擊以及一些不斷調整攻擊手段和戰術的復雜攻擊特別有效。

與簽名無關的威脅狩獵要求威脅獵人對攻擊者的技術有非常深入的了解，并有能力分析多種安全數據和指標。它要求威脅獵人能夠像攻擊者一樣思考，預測他們的行動，并根據他們的潛在行為和意圖檢測威脅。

4.以情報為導向的威脅狩獵

以情報為導向的威脅狩獵主要利用集體知識的力量，將海量的威脅情報轉化為組織的主動防御能力。在這種方法中，威脅獵人需要廣泛利用從各種來源所獲取的威脅情報，包括廠商通報、安全研究機構、安全社區，以及一些暗網監測平臺。通過收集和分析關鍵入侵指標(IOC)，如惡意IP地址、域或文件哈希，威脅獵人可以主動搜索組織內特定威脅的存在或潛在影響。

有一個典型的狩獵場景:威脅情報源向威脅獵人發出警報，提示攻擊者已經開始在針對性的攻擊中使用了一種新的惡意軟件。以情報為導向的威脅狩獵將全面分析這種惡意軟件的特征，例如它的命令和控制基礎設施或獨特的網絡簽名。然后，威脅獵人就會在企業的網絡環境中主動尋找這些指標，并檢測任何妥協或正在進行的攻擊跡象。

以情報為導向的威脅狩獵方法主要優勢在于它能夠提供狩獵活動的背景和重點。通過了解特定威脅者的戰術、目標和工具，獵人可以設計出更有針對性的檢測策略。這種方法還可以實現安全社區內的協作和信息共享，共同加強防御并破壞對手的活動。

5.基于攻擊者畫像的威脅狩獵

以攻擊者畫像為基礎的威脅狩獵將威脅獵人的工作重點聚焦到對主流威脅團體的廣泛特點研究上。在這種方法中，獵人研究和分析特定威脅團體或攻擊事件中所采用的方法、技術和流程(TTP)。通過了解這些活動中使用的行為、工具和基礎設施，威脅獵人可以設計有針對性的檢測策略。

例如，一個以網絡釣魚攻擊和使用自定義惡意軟件而聞名的威脅行動者團體可能會成為基于攻擊者畫像的追捕對象。獵人會深入研究該組織以前的攻擊，剖析他們的TTP，并確定與他們之前攻擊事件相關的獨特模式或基礎設施。然后，這些知識將被用來設計旨在檢測組織網絡內的類似攻擊模式的威脅搜索。

以攻擊者畫像為基礎的威脅狩獵可以讓威脅獵人在持續和有針對性的威脅面前保持領先地位。通過了解對手的攻擊行為和動機，威脅獵人可以相應地調整其檢測策略，加強對特定威脅行為體或活動的防御，降低組織的風險性。

6.自動化威脅狩獵

自動化的威脅狩獵活動可利用安全協調、自動化和響應(SOAR)工具以及安全分析平臺的功能，簡化威脅檢測流程。這種方法利用AI技術高效地分析大量數據、識別威脅模式并檢測潛在威脅。而自動搜索規則和機器學習模型可用于持續監控組織的網絡環境，并在檢測到可疑活動時觸發警報。

自動化威脅狩獵的優勢在于它的速度和可擴展性。由于大大減少了手動分析所需的時間和工作量，使安全團隊能夠專注于更高級別的任務和戰略決策。

7.協作式威脅狩獵

協作式威脅狩獵方法強調安全社區和情報信息共享的力量。在這種方法中，威脅獵人應該認識到，沒有一個組織是完全封閉的，而通過聯合力量，他們可以集體加強他們的防御。通過與同行合作，參與信息共享社區，并利用威脅情報平臺，威脅獵人可以獲得更廣泛的知識和建議。

協作式威脅狩獵能夠促進對抗網絡威脅的統一戰線。它使每個組織都能夠利用安全社區的集體經驗和專業知識，增強他們檢測、響應和防止各種攻擊的能力。通過團結一致，威脅獵人能夠加強了其組織的威脅監測能力和整體安全態勢。

參考鏈接：https://hackernoon.com/game-of-threats-winning-strategies-for-proactive-cyber-defense。