第2章 威胁狩猎生命周期与方法论归纳总结

做过几年安全运营的兄弟应该都有同感：每天告警堆成山，但真值得跟进的没几个。为什么会这样？说白了，我们缺的不是数据，而是把数据变成线索的方法。

威胁狩猎不是拍脑袋瞎转悠。它有一套成熟的套路。我个人习惯把这套套路拆成两个维度来看——生命周期管流程，方法论管思路。两个维度扣在一起，你才能从海量日志里捞出真正的威胁。

2.1 为什么要把生命周期和方法论分开讲

很多刚入行的朋友容易混淆这两件事。生命周期解决的是"什么时候干什么"，方法论解决的是"用什么思路干"。

我举个例子你就明白了。假设你怀疑内网有横向移动，这是方法论层面的假设驱动。但你得按生命周期来走：先提假设、再收数据、分析、验证、处置、最后把规则写进平台。没有生命周期，方法论就是没头的苍蝇。

反过来，光有流程没有思路，你就是在跑一个空壳。所以两个必须一起讲。

2.2 威胁狩猎生命周期：六大阶段

我在项目里沉淀下来一套六个阶段的框架。你可以把它理解成狩猎的"标准作业程序"。不管你是新手还是老兵，按这个节奏走，基本不会漏东西。

这六个阶段不是走一遍就完事。你想想看，你做完反馈闭环之后，新的规则又会触发新的告警，新的告警又会引出新的假设。它是一个螺旋上升的迭代过程。

2.3 六大阶段详解

每个阶段都有它的输入、输出和关键动作。我按顺序拆开讲。

阶段一：提出假设

这是最考验经验的一步。假设的质量直接决定了后面所有工作的价值。

• 基于威胁情报：比如看到某APT组织近期活跃，假设它可能用相同手法攻击我们。
• 基于攻击链：假设攻击者拿下web入口后会尝试横向移动。
• 基于异常：假设某台服务器凌晨三点对外发包不是正常行为。

阶段二：采集数据

假设有了，你得知道去哪找证据。别上来就全量拉日志，那是给自己添堵。

• 确定数据源：EDR日志、网络流、DNS日志、Windows Event Log等。
• 确定时间窗口：不是越长越好，一般取假设涉及的时段前后48小时。
• 确定字段：只拉需要的字段，减少噪音。

阶段三：分析挖掘

这个阶段是核心。你开始在海量数据里找那个"不对劲"的点。

• 异常检测：基线对比、离群值分析。
• 模式匹配：已知IOC、YARA规则、Sigma规则。
• 关联分析：把不同数据源的线索串起来。

阶段四：调查验证

发现可疑点之后，别急着下结论。验证环节是区分"老手"和"脚本小子"的分水岭。

• 溯源确认：进程树、文件时间线、网络会话还原。
• 排除误报：是不是白名单行为？是不是测试流量？
• 危害评估：影响范围、数据泄露风险。

阶段五：响应处置

确认是威胁之后，动手收尾。这一步需要跟应急响应团队配合。

• 隔离受影响资产。
• 阻断C2通信。
• 提取完整IOC供后续使用。

阶段六：反馈闭环

很多人做到第五步就觉得完事了。其实第六步才是让你持续变强的关键。

• 把新发现的IOC加入检测规则。
• 更新假设库，沉淀经验。
• 复盘整个狩猎过程，看看哪里可以优化。

2.4 三大核心方法论

生命周期给了你"流程骨架"，方法论才是"思考的灵魂"。我用一张表来对比最主流的三种方法论。

方法论	核心思路	适用场景	典型工具
假设驱动	基于威胁情报或攻击模型提出假设，验证是否存在	已知威胁家族、APT组织手法复现	YARA、Sigma、ATT&CK Navigator
异常驱动	建立基线，发现偏离基线的行为	内部威胁、未知恶意软件、0day	ES、ML模型、KQL异常检测
情报驱动	以IOC/IOA为起点，反向追溯攻击路径	已确认入侵、事件响应后扩大排查	MISP、威胁情报平台、VT

我在项目中遇到过好几次这样的情况：假设驱动和异常驱动一起用，效果最好。比如先用假设驱动锁定一个可疑进程，再用异常驱动看它在的出现频率，互相验证。

2.5 方法论选择矩阵

不同阶段的狩猎，适合不同的方法论。我整理了一个简易选择矩阵，你可以直接拿来参考。

生命周期阶段	推荐方法论	理由
提出假设	假设驱动 / 情报驱动	需要外部输入支撑假设方向
采集数据	（与阶段无关）	按假设确定数据源
分析挖掘	异常驱动 + 假设驱动	先宽后窄，减少漏报
调查验证	情报驱动	需要通过IOC/IoA交叉确认
响应处置	（与阶段无关）	按应急流程执行
反馈闭环	假设驱动	将新发现沉淀为新假设

2.6 避坑指南

做了这么多年的威胁狩猎，我踩过不少坑。挑几个最常见的跟你说说。

• 假设太宽泛：我曾经提过"检查内网有没有恶意软件"，这种假设说了等于没说。好的假设应该像"检查内网是否存在通过SMB横向传播的WannaCry变种"这样，具体到手法和路径。
• 数据没采全就开跑：有一次我急着分析，只拉了进程日志，没拉网络流，结果关键C2线索全在流日志里。返回去重采，白白浪费两天。
• 忽略反馈闭环：很多人挖到威胁就收工了，规则不更新、假设不沉淀。下个月同样的攻击手法换个IP又来，你又得从头查起。亏不亏？
• 过度依赖单一方法论：只用异常驱动容易陷入"全告警都是异常"的死循环。结合假设驱动，你才知道哪些异常值得追。