技能介绍

当 SIEM 自动告警长时间没有响起，并不意味着环境里没有攻击者。自动化控制擅长拦截已知的、模式清晰的威胁；一旦攻击者使用合法工具、低频信标，或把活动分散到正常运维噪声里，传统规则就会失明。这个技能要解决的正是这类「已进入环境但尚未被标记」的活动。

核心能力

它把主动检测拆成三条可以执行的路径。一是假设驱动的威胁狩猎：先提出一个可验证的假设，例如 WMI 横向移动、Kerberoasting、Pass-the-Hash，再去寻找支持或否定该假设的遥测证据。二是 IOC 分析：读取 IP、域名、文件哈希、URL、互斥锁等指标，按新鲜度阈值判断是否值得扫描，并生成对应的 sweep 目标。三是统计异常检测：基于 Z-Score 对比实体基线，发现偏离正常模式的行为，而不依赖已知坏签名。

工作流程

完整狩猎通常按三天节奏推进：先从威胁情报中筛选与本行业相关的 TTP，映射到 MITRE ATT&CK 战术并找出覆盖盲区；再对前 5 个假设打分，得分越高说明攻击者相关性越强、现有控制越可能漏掉；接着拉取最近 14 天的 SIEM/EDR 遥测，执行异常检测和 IOC sweep；最后分诊结果，确认恶意活动则升级到事件响应，并把新发现的检测规则、误报 IOC 回传给情报源。对于新的 CVE 或威胁报告，也可以先跑一轮 30 分钟快速狩猎。

适用边界与注意点

它不是事件响应，也不负责红队模拟或云配置审计。使用时需要已有 SIEM/EDR、终端日志和网络流数据的读取权限；异常检测要求至少 14 天历史数据建立基线，并在安全事件、基础设施迁移或季节性流量变化后重新计算。不要无假设地全量扫日志，不要使用超过新鲜度阈值的陈旧 IOC，也不要把高 Z-Score 直接等同于确认恶意。蜜罐告警属于高置信信号，任何交互都应优先调查。