第二章：威胁狩猎基础
各位同学，今天我们来聊聊威胁狩猎的基础。说实话，这个领域我摸爬滚打了快十年，踩过的坑比走过的路还多。但正是这些经历，让我对威胁狩猎有了更深的体会。
2.1 威胁狩猎到底是什么？
威胁狩猎，说白了就是主动去网络里找那些藏起来的坏蛋。不是等报警响了再去看，而是自己拿着手电筒去照。
我经常跟团队说一句话：「别等敌人开枪了才还击」。威胁狩猎就是这种思路——在攻击者还没造成实质性破坏之前，就把他们揪出来。
核心定义：威胁狩猎是一种主动的、假设驱动的网络安全分析方法。它通过持续搜索网络环境中的异常行为，发现那些绕过了现有安全防御措施的威胁。
我个人习惯把威胁狩猎比作侦探工作。你想想看，侦探不会等案件发生了才去现场，而是主动寻找线索。威胁狩猎也一样，我们主动去寻找那些「不对劲」的东西。
2.2 威胁狩猎 vs MDR vs SOC
很多新手容易把这三者搞混。我刚开始带团队时，也花了不少时间给大家讲清楚。咱们直接看对比：
| 维度 | 威胁狩猎 | MDR（托管检测与响应） | SOC（安全运营中心） |
|---|---|---|---|
| 核心模式 | 主动搜索 | 被动+主动结合 | 被动响应为主 |
| 驱动方式 | 假设驱动 | 告警驱动 | 事件驱动 |
| 时间维度 | 前瞻性 | 实时性 | 事后性 |
| 技能要求 | 高（需要深度分析能力） | 中高 | 中 |
| 工具依赖 | 灵活组合 | 标准化平台 | SIEM为主 |
我记得有一次，一个客户问我：「我们已经有SOC了，为什么还要做威胁狩猎？」
我的回答是：「SOC是守门员，威胁狩猎是侦察兵。」守门员等球来了再扑，侦察兵是主动去找敌人在哪。两者缺一不可。
我的经验：最理想的状态是SOC做日常监控，MDR做深度分析，威胁狩猎做前瞻探索。三者形成互补，而不是互相替代。
2.3 狩猎假设驱动模型
这是威胁狩猎的核心方法论。没有假设的狩猎，就像没头苍蝇乱撞。我见过太多团队，拿着工具到处扫，扫完一脸懵——「然后呢？」
为什么会这样？因为没有假设。
狩猎假设驱动模型分为四个步骤：
- 形成假设——基于威胁情报、历史事件、业务特点提出「可能发生了什么」
- 设计狩猎方案——确定要查哪些数据源、用什么分析方法
- 执行狩猎——实际去查，收集证据
- 验证与迭代——确认发现是否真实，更新假设
举个例子。假设你是一家金融公司，最近有情报说APT组织在针对金融行业使用新的后门。你的假设可以是：「我们的网络里可能已经存在这个后门，只是还没被发现。」
然后你设计狩猎方案：查DNS日志、查进程创建记录、查异常出站连接。执行完发现几个可疑IP，进一步分析确认是误报还是真有问题。
关键点：假设不是瞎猜。它必须基于可验证的数据和合理的推理。我见过有人假设「外星人入侵了我们的网络」，这种假设没法验证，也没意义。
2.4 狩猎成熟度模型
不是所有团队都适合直接做高级威胁狩猎。我刚开始做的时候，也犯过「一口吃成胖子」的错误。后来我总结了一个成熟度模型，帮团队一步步提升。
| 成熟度等级 | 特征 | 典型表现 | 我的建议 |
|---|---|---|---|
| Level 0：初始级 | 完全被动 | 只等告警，没有主动搜索 | 先建立基础日志采集 |
| Level 1：反应级 | 事件驱动 | 出事后才去查 | 开始做简单的IOC匹配 |
| Level 2：标准化 | 有固定流程 | 定期做已知威胁的搜索 | 建立狩猎假设库 |
| Level 3：主动级 | 假设驱动 | 基于情报主动提出假设 | 培养分析师的深度能力 |
| Level 4：领先级 | 预测驱动 | 能预测攻击者的下一步 | 自动化+人工结合 |
避坑指南：我曾经带过一个团队，一上来就想做Level 4的预测性狩猎。结果连基础日志都没采全，折腾了三个月什么也没发现。后来我让他们先回到Level 1，把基础打牢。半年后，他们反而做出了Level 3的成果。
记住：成熟度是爬楼梯，不是坐电梯。
2.5 如何评估你的团队处于哪个级别？
我一般用三个问题来判断：
- 你们有没有主动搜索过威胁？（不是等告警）
- 搜索之前有没有明确的假设？（不是瞎扫）
- 发现的东西有没有形成知识沉淀？（不是查完就忘）
如果三个答案都是「否」，那你还在Level 0。别灰心，我刚开始也是从Level 0起步的。
如果第一个是「是」，后两个是「否」，那你在Level 1-2之间。恭喜你，已经迈出了第一步。
如果三个都是「是」，那你至少是Level 3了。嗯，可以开始考虑自动化的事了。
我的小技巧：每季度做一次成熟度自评。别光看技术，还要看流程和人。我见过技术很强的团队，因为流程混乱，一直卡在Level 2上不去。
2.6 本章小结
威胁狩猎不是高不可攀的技术活。它更像是一种思维方式——主动、假设驱动、持续迭代。
记住三个核心点：
- 别等告警——主动去找
- 别瞎找——要有假设
- 别停步——持续提升成熟度
下一章，我们会深入讲如何构建有效的狩猎假设。到时候我会分享一些我实际用过的案例，包括那些「差点翻车」的经历。嗯，敬请期待。