威胁狩猎是指主动搜索已绕过现有防御的威胁。它并非被动等待警报，而是假设攻击者已经入侵并正在寻找证据。狩猎者会提出假设，例如攻击者可能正在使用 PowerShell 进行横向移动，或者通过 DNS 窃取数据。然后，他们会查询日志和终端数据来验证或推翻假设。大多数狩猎活动都一无所获，但这并非失败，而是防御措施有效运作的证明。

威胁狩猎需要数据和技能。狩猎者需要访问端点遥测数据、网络日志和身份验证事件。他们需要了解正常情况，才能发现异常。他们需要理解攻击者的技术，这些技术通常来自 MITRE ATT&CK 等框架。威胁狩猎与事件响应不同。事件响应是对已确认事件做出反应，而威胁狩猎则寻找从未被确认的事件。它填补了自动化检测和人工调查之间的空白。一次成功的威胁狩猎会产生新的检测规则。即使没有发现任何事件，假设也能让我们对环境有所了解。随着时间的推移，威胁狩猎可以提高检测覆盖率并缩短攻击者潜伏的时间。攻击者指望防御者被动应对，而威胁狩猎打破了这种假设。

威胁狩猎过程

• 根据威胁情报或攻击者行为形成假设
• 从相关来源收集数据
• 查询和分析证据
• 调查异常情况
• 记录调查结果并创建新的检测方法

威胁狩猎就像侦探工作。犯罪行为可能根本没有发生。我们的任务是证明它是否发生过。