威脅狩獵是指主動搜索已繞過現有防禦的威脅。它並非被動等待警報，而是假設攻擊者已經入侵並正在尋找證據。狩獵者會提出假設，例如攻擊者可能正在使用 PowerShell 進行橫向移動，或透過 DNS 竊取資料。然後，他們會查詢日誌和終端資料來驗證或推翻假設。大多數狩獵活動都一無所獲，但這並非失敗，而是防禦措施有效運作的證明。

威脅狩獵需要數據和技能。狩獵者需要存取端點遙測資料、網路日誌和身份驗證事件。他們需要了解正常情況，才能發現異常。他們需要理解攻擊者的技術，這些技術通常來自 MITRE ATT&CK 等框架。威脅狩獵與事件回應不同。事件回應是對已確認事件做出反應，而威脅狩獵則尋找從未被確認的事件。它填補了自動化檢測和人工調查之間的空白。一次成功的威脅狩獵會產生新的偵測規則。即使沒有發現任何事件，假設也能讓我們對環境有所了解。隨著時間的推移，威脅狩獵可以提高偵測覆蓋率並縮短攻擊者潛伏的時間。攻擊者指望防禦者被動應對，而威脅狩獵打破了這個假設。

威脅狩獵過程

• 根據威脅情報或攻擊者行為形成假設
• 從相關來源收集數據
• 查詢和分析證據
• 調查異常狀況
• 記錄調查結果並建立新的檢測方法

威脅狩獵就像偵探工作。犯罪行為可能根本沒有發生。我們的任務是證明它是否發生過。