网络安全的世界类似于乔治·RR·马丁的史诗奇幻系列《权力的游戏》中的激烈战斗和政治阴谋。在网络领域，组织必须在危险的环境中穿行，由警惕的看门狗——网络安全专业人员——守护。威胁搜寻是这场持续战争中的关键做法，类似于派遣侦察兵越过长城，寻找敌人的行动和战术情报。这是一种主动战略，是一种改变游戏规则的策略，它使防御者能够先发制人，破坏对手精心策划的计划。通过接受威胁搜寻，安全团队从仅仅对攻击做出反应的哨兵转变为强大的战士，始终领先一步，保卫他们的数字王国。 在不断发展的网络环境中，威胁搜寻是我们的学士链——知识和准备的象征。威胁搜寻者搜索广阔的网络、日志和行为模式，寻找可能表明存在潜在威胁的线索和异常。他们利用分析和情报的力量，打造龙晶武器，以刺穿攻击者隐藏的阴影面纱。  每次狩猎，他们都会收集见解，加强防御，为下一波攻击做好准备，确保他们的组织保持弹性和安全，无论黑暗中潜伏着什么危险。所以，让我们踏上这段旅程，探索威胁狩猎的制胜策略，用知识武装自己，以征服未来的网络威胁。 了解威胁搜寻的基础知识 威胁搜寻是一种主动且反复的网络安全方法，旨在在威胁对组织造成重大损害之前识别并缓解威胁。与依赖基于签名的检测或事件响应等被动技术的传统安全措施不同，威胁搜寻涉及在组织的网络、系统和环境中主动搜索恶意活动的迹象。 ，即尽管存在现有安全控制措施，但攻击者可能已经在组织基础设施中站稳脚跟。这种思维方式鼓励安全专业人员采取更主动、更持续的监控方法，寻找可能逃避传统防御的威胁证据。 威胁搜寻的核心原则是假设受到攻击 威胁搜寻过程通常涉及四个关键阶段： 此阶段涉及从各种来源（例如行业报告、威胁源和信息共享平台）收集和分析相关威胁情报。这些情报可深入了解威胁行为者使用的策略、技术和程序 (TTP)，以及与已知威胁相关的入侵指标 (IoC)。 情报收集： 根据收集到的情报，威胁猎手会针对组织内的潜在威胁或对手行为提出假设。这些假设是重点调查的起点，并指导猎手活动。 假设形成： 威胁猎手利用各种数据源（例如日志文件、网络流量捕获和端点遥测）来收集相关信息。然后，他们采用一系列分析技术（包括数据挖掘、统计分析和机器学习）来识别可能表示潜在威胁的模式、异常或指标。 数据收集和分析： 当发现潜在威胁时，威胁猎手会进行进一步调查，以验证调查结果并评估威胁的范围和影响。如果确认存在合法威胁，则会采取适当的响应措施，其中可能包括遏制、补救和预防措施。 调查与响应： 威胁搜寻是一个反复的过程，每个周期都会提供宝贵的见解和经验教训，为未来的搜寻活动提供参考和改进。通过不断搜寻威胁，组织可以领先于对手，更快地检测和应对潜在事件，并最终增强其整体网络安全态势。  7 种流行的威胁搜寻策略 现在我们已经掌握了基础知识，是时候深入探讨问题的核心了。以下部分将作为您的指南针，引导您完成威胁搜寻的各种途径。每种方法都是一个独特的策略，为如何在复杂的网络威胁世界中导航提供了独特的视角。 尽管 （示例、实际应用等将留到其他帖子中），了解这些方法及其细微差别将使您能够选择适合您组织需求的工具，增强您的检测能力并加强您的防御能力。安顿下来，喝一杯……这需要您的注意力。  每个部分都会对具体策略进行简要介绍 假设驱动的搜寻：照亮道路 假设驱动的威胁追踪类似于侦探的工作，通过细致的调查制定理论并进行测试。在这种方法中，威胁追踪者利用他们对对手行为的了解，通常使用 框架作为指南。该框架阐明了攻击者使用的策略、技术和程序，从而为他们的潜在行动提供了结构化的理解。通过根据该框架和威胁情报制定假设，威胁追踪者在其网络中设计有针对性的搜索，寻求证实或反驳特定威胁的存在。 MITRE ATT&CK 假设驱动型追踪的强大之处在于它能够有效地引导行动，专注于特定的对手行为和已知技术。它提供了一种结构化和主动的方法，使追踪者能够领先于潜在威胁并相应地调整防御措施。通过不断完善假设并整合新情报，追踪者可以有效地预测和对抗网络对手的策略。 基于异常的搜寻：发现异常 转移我们的关注点，基于异常的追踪通过强调识别网络内的异常行为而走上了一条独特的道路。与针对特定对手行为的假设驱动型追踪不同，异常追踪完全是关于建立正常活动的基线并识别偏离基线的情况。这种方法利用分析和机器学习的力量来检测可能表明存在潜在威胁的异常模式或异常。 基于异常的追踪的优势在于它能够发现以前从未见过的未知或零日威胁。通过了解网络内的常规模式和行为，可以迅速识别和调查任何偏差。这种方法在检测内部威胁或采用隐秘、前所未见技术的复杂攻击时特别有用。 然而，值得注意的是，异常搜寻也带来了挑战。区分真正的异常和良性异常或误报可能是一项复杂的任务。安全团队必须投入时间和精力来微调他们的检测机制，以最大限度地减少误报，确保他们的注意力仍然集中在真正的威胁上。 不依赖签名的搜寻：超越表面 在我们寻求威胁检测的过程中，与签名无关的搜寻方法让我们走出了常规道路，超越了传统基于签名的方法。这种方法挑战了预定义规则和签名的局限性，力求发现动态且难以捉摸的威胁。与签名无关的搜寻方法会仔细检查各种指标，包括可疑行为模式、恶意代码片段和异常网络工件。 这种方法的优势在于它能够检测未知或高度针对性的威胁。对手经常使用自定义恶意软件、零日漏洞或混淆技术来逃避基于签名的防御。通过超越签名，猎人可以识别与任何已知模式都不匹配的恶意活动。这种方法对高级持续性威胁 (APT) 和不断调整工具和战术的复杂攻击者特别有效。 为了说明这一点，请考虑这样一种情况：威胁行为者使用 恶意软件，将恶意代码直接注入合法进程的内存中。基于签名的防御措施很难检测到此类攻击。但是，即使没有预定义的签名，不依赖签名的追踪者也可以通过分析行为模式和代码片段来识别恶意活动的存在。 无文件 不依赖特征的追踪需要更深入地了解攻击者的技术，并具备分析多种指标的能力。它要求追踪者像对手一样思考，预测他们的行动，并根据他们的潜在行为和意图检测威胁。 情报主导的狩猎：深入了解武器 情报主导型追踪利用集体知识的力量，将威胁情报转化为主动防御机制。在这种方法中，追踪者利用各种情报来源，包括威胁情报源、安全研究和信息共享社区。通过收集和分析入侵指标 (IOC)，例如恶意 IP 地址、域或文件哈希，追踪者可以主动搜索其组织内特定威胁的存在或影响。 设想这样一个场景：威胁情报源提醒追踪者，一种新的恶意软件正在被用于有针对性的攻击。情报主导的追踪将涉及分析这种恶意软件的特征，例如其命令和控制基础设施或独特的网络签名。然后，追踪者将在其环境中主动寻找这些指标，旨在检测任何被入侵或正在进行的攻击的迹象。 情报主导型追踪的优势在于它能够提供背景信息和重点。通过了解特定威胁行为者的策略、目标和工具，追踪者可以设计更有效的检测策略。这种方法还可以促进安全社区内的协作和信息共享，共同加强防御并破坏对手的活动。 基于战役的狩猎：揭开对手的故事 基于活动的追踪将我们的重点转移到威胁行为者团体编织的更广泛的叙事上。在这种方法中，追踪者研究和分析特定对手团体或活动所采用的战术、技术和程序 (TTP)。通过了解这些活动中使用的行为、工具和基础设施，追踪者可以设计有针对性的检测策略。 例如，以网络钓鱼攻击和使用自定义恶意软件而闻名的威胁行为者团体可能成为基于活动的追踪对象。追踪者将深入研究该团体以前的攻击，剖析他们的 TTP，并识别与其活动相关的独特模式或基础设施。然后，这些知识将用于设计追踪，旨在检测该团体在组织网络中的存在或类似的攻击模式。 基于活动的追踪使追踪者能够领先于持续性和有针对性的威胁。通过了解对手的行为和动机，追踪者可以相应地调整其检测策略，加强对特定威胁行为者或对组织构成重大风险的活动的防御。 自动狩猎：效率的力量 自动搜寻简化了威胁检测过程，利用了安全编排、自动化和响应 (SOAR) 工具以及安全分析平台的功能。这种方法利用技术有效地分析大量数据、识别模式并检测潜在威胁。自动搜寻规则和机器学习模型用于持续监控环境，并在检测到可疑活动时触发警报。 例如，可以配置安全分析平台来检测异常网络行为，例如不寻常的数据泄露模式或横向移动尝试。同样，SOAR 工具可以自动将威胁情报与内部日志关联起来，在发现匹配项时触发警报并启动响应工作流。 自动追踪的优势在于速度和可扩展性。它减少了手动分析所需的时间和精力，使安全团队能够专注于更高级别的任务和战略决策。 合作狩猎：团结就是力量 协作式追踪强调社区和信息共享的力量。在这种方法中，追踪者认识到没有哪个组织是一座孤岛，通过联合起来，他们可以共同加强防御。通过与同行合作、参与信息共享社区以及利用威胁情报平台，追踪者可以获得更广泛的知识和见解。 例如，追踪者可以与可信赖的同伴分享攻击指标 (IOC) 和对抗策略细节，从而更有效地检测和应对威胁。同样，通过贡献和受益于集体智慧，追踪者可以随时了解新出现的威胁，洞悉对手行为，并提高检测能力。 协作式攻击追踪有助于形成统一战线，共同对抗网络威胁。它使组织能够利用安全社区的集体经验和专业知识，增强其检测、响应和预防各种攻击的能力。通过齐心协力，攻击追踪者可以增强组织的整体弹性和安全态势。 比较方法 方法 描述 主要特点 优势 用例 假设驱动 根据对手行为和 MITRE ATT&CK 框架进行主动攻击 结构化、情报驱动、重点突出 高效利用资源，主动防御 检测已知的对手策略，调整防御措施 基于异常 检测行为偏离基线的情况 发现未知威胁，利用分析和机器学习 检测零日威胁和内部威胁 增强检测能力，识别隐秘攻击 签名无关 超越特征的搜寻，关注行为和文物 有效抵御自定义和混淆的恶意软件 检测 APT、规避威胁 加强对复杂攻击者的防御 情报主导 利用威胁情报进行主动搜寻 情境化、协作化、针对性 提供重点关注和预警 检测特定威胁，破坏对手活动 基于活动 根据对手团体 TTP 进行狩猎 全面、适应性强、叙事驱动 检测有针对性的和持续性的威胁 加强对特定行为者群体的防御 自动化 利用技术简化检测 高效、可扩展、快速响应 减少人工，提高速度 检测模式，关联情报 协作 通过社区信息共享进行狩猎 集体知识、共享见解 加强防御，获取多样化情报 检测新兴威胁，利用共享经验 每种方法都有其独特的优势，并能应对特定的挑战。通过结合多种策略，组织可以建立强大的威胁搜寻程序，能够检测各种威胁。方法的选择取决于组织的风险状况、可用资源以及所面临的威胁的性质等因素。 总结 当我们读完战略指南时，很明显威胁搜寻是一门多方面的艺术，类似于掌握《权力的游戏》中的复杂策略。我们探索的每种方法都是我们武器库中的独特武器，使我们能够打击网络威胁的核心。通过了解这些方法并根据组织需求进行调整，我们可以打造一道坚韧的盾牌，抵御不断变化的网络攻击形势。威胁搜寻的本质在于这种积极主动的心态，使我们能够掌握控制权并成为我们数字命运的建筑师。 在这个充满活力的领域，我们必须秉持合作精神，与其他防御者分享我们的见解和胜利。我们齐心协力，加强网络城堡的城墙，保护我们组织的领域。让本指南成为您的指南针，照亮通往更安全未来的道路。愿您能够运用这些狩猎策略，技巧娴熟、富有远见，在惊心动魄的网络威胁游戏中取得胜利。接受挑战，因为您的数字领域的安全和繁荣取决于此。 

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

2022 - HackerNoon Contributor of the Year - Cybersecurity

See what I am up to on YouTube

Nominated for 2022 - HackerNoon Contributor of the Year - Cybersecurity

該音頻是用故事的原始語言製作的！

太長; 讀書

Boost your HackerNoon story @ $159.99! 🚀

威胁游戏：主动网络防御的制胜策略

About Author

註釋

標籤

这篇文章刊登在

Related Stories

HackerNoon Decoded: The Top 10 Countries Where HackerNoon Is the Most Active

Floki 的 Valhalla 成为印度环斯里兰卡赛事联合赞助商

数字游民请注意：您需要了解泰国新推出的 DTV 签证

成功云迁移的完整指南：策略和最佳实践

HackerNoon Decoded: The Top 10 Countries Where HackerNoon Is the Most Active

Floki 的 Valhalla 成为印度环斯里兰卡赛事联合赞助商

数字游民请注意：您需要了解泰国新推出的 DTV 签证

成功云迁移的完整指南：策略和最佳实践

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps