从理论到实战的完整指南
目录导读
- 威胁狩猎的核心概念与关键基础设施（关基）的特殊性
- 威胁狩猎的四大阶段与实施路径
- 关基环境中威胁狩猎的常用工具与技术
- 实战案例：一次针对关基的APT狩猎过程
- 威胁狩猎常见问答（FAQ）
威胁狩猎的核心概念与关基的特殊性
Q: 什么是威胁狩猎？它与传统安全监控有何不同？
A: 威胁狩猎（Threat Hunting）是一种主动、迭代的安全分析方法，旨在检测那些已绕过传统防御机制（如防火墙、IDS/IPS、端点防护）的隐蔽威胁，传统监控依赖已知签名与告警规则，本质是“被动等待”；而威胁狩猎基于假设驱动，分析师主动提出“攻击者可能已在内网”的假设,通过深度数据挖掘寻找异常。
对于关键基础设施（关基，如能源、交通、金融、水利、通信等）,威胁狩猎具有独特挑战：
- 资产异构性：关基常包含工业控制系统（ICS/SCADA）、物联网设备、老旧Windows XP/2003系统,这些系统无法部署标准安全Agent。
- 高可用性要求：关基系统通常不能因扫描或审计而中断，威胁狩猎必须在“无中断”前提下进行。
- 攻击目的特殊：针对关基的攻击以破坏、勒索、长期间谍活动（如APT）为主,而非单纯窃取数据。
威胁狩猎的四大阶段与实施路径
威胁狩猎并非无序排查，而是遵循闭环流程，以下是经过验证的四阶段模型：
阶段1：假设生成
- 方法：结合威胁情报（如MITRE ATT&CK框架）、历史告警、行业攻击趋势，提出具体假设。“攻击者可能利用Log4j漏洞在关基的日志管理服务器上建立持久化”。
- 输出：一份狩猎假设文档，明确目标系统、可疑行为模式、IOC（入侵指标）列表。
阶段2：数据收集与加载
- 关键数据源：
- 网络流量：NetFlow、全包捕获（PCAP），重点关注ICS专有协议（Modbus, DNP3, IEC 61850）。
- 端点日志：Sysmon、Windows Event Log、Linux Auditd（对于无法装Agent的设备，使用镜像流或网络嗅探）。
- 云与OT边界日志：如AWS CloudTrail、Azure Activity Log、工业防火墙日志。
- 工具：将数据导入SIEM（如Splunk、Elastic Stack）或专门狩猎平台（如Sqrrl、ThreatHunting）。
阶段3：行为分析
- 技术：使用统计异常检测（如时间序列分析基线的流量峰值）、图分析（构建实体关系图，寻找“孤立”节点）、机器学习（聚类用户行为，发现“离群”操作）。
- 关基特有方法：比对物理流程与数字日志，若SCADA系统记录“阀门开启”，但物理传感器未反馈变化，即“数字-物理不一致”,可能是虚假指令或中间人攻击。
阶段4：响应与闭环
- 确认：将发现的可疑行为与威胁情报交叉验证（如比对已知APT小组的TTPs）。
- 上报与处置：按关基应急响应流程（如NIST SP 800-82）隔离受控环境，同时保留证据链（因可能涉及司法取证）。
- 反馈：将新发现的IOC、行为模式更新至安全设备规则库，形成“狩猎-防御”闭环。
关基环境中威胁狩猎的常用工具与技术
以下工具经社区验证,适配关基场景：
| 工具类别 | 推荐工具 | 关基适配说明 |
|---|---|---|
| 流量分析 | Zeek / Bro | 支持Modbus、DNP3等协议深度解析，可导出到Elasticsearch |
| 端点响应 | Velociraptor | 轻量级，可对老旧Windows系统进行内存取证，无需永久Agent |
| SIEM扩展 | Elastic Security | 免费开源，支持自定义规则（如检测异常的SCADA写命令） |
| 工业协议检测 | Nozomi/Claroty | 专为OT环境设计，生成资产清单与行为基线 |
| 威胁情报 | MISP | 关基行业私有情报共享平台，可订阅sector-specific IOCs |
技术要点：在关基环境中，建议采用“被动式数据收集”——例如通过交换机端口镜像抓取流量，而非主动扫描——以避免触发现场设备保护机制（如PLC的“看门狗”超时）。
实战案例：一次针对关基的APT狩猎过程
场景：某电力公司“SCADA网络”检测到轻微延迟，传统告警未触发,安全团队启动狩猎。
-
假设生成：根据近期针对电力行业的APT攻击报告（如Dragos发布的“Xenotime”组织），假设攻击者可能通过供应链（如第三方远程维护软件）植入后门。
-
数据收集：镜像提取SCADA网络与企业管理网络（IT-OT边界）的全流量，重点分析远程桌面协议（RDP） 和WinRM 流量。
-
行为发现：使用Zeek分析后发现，某台工程站（非运维时段）凌晨3点向外部IP
0.113.50建立持续性HTTPS连接，异常点在于：该站从未配置过外连代理。 -
深度分析：磁盘取证该工程站，发现名为
svchost_legit.exe的恶意文件，运行在TrustedInstaller权限下,且修改了系统时间同步服务以隐藏流量。 -
响应：立即断开该工程站网络连接，提取内存镜像（未关机），并通知相关部门启动次级备份SCADA系统，后续追溯发现该恶意软件已潜伏132天,窃取了电网调度计划模板。
威胁狩猎常见问答（FAQ）
Q1: 小规模关基企业（如县级水厂）威胁狩猎怎么做？人手不足。 A: 采用“公共服务狩猎”模式：订阅国家级CERT（如CNCERT）的免费威胁情报，使用开源工具（如Elastic Security + Zeek）实现自动化基线检测，设置每周一次“手动验证时段”（2小时）,重点检查OT设备日志与物理参数一致性。
Q2: 威胁狩猎能不能用AI完全自动化？ A: 不能完全自动化，AI/ML可提升效率（如异常聚类），但关基环境需要专家判断“误报”与“真实攻击”，一次计划内停电会导致数据流量归零，AI可能误判为“C2通信切断”,而人类专家能结合业务计划排除。
Q3: 威胁狩猎的频率建议？ A: 基线狩猎（检查已知IOC模式）应每日/每周自动化运行；深度调查（针对新假设）建议每月一次，在可感知攻击风险上升期（如地缘政治紧张、行业漏洞频发期）,升级至每周深度狩猎。
Q4: 关基威胁狩猎与渗透测试有何区别？ A: 渗透测试是攻击性模拟，测试防御能否被突破；威胁狩猎是防御性假设，假设已被渗透，寻找潜伏痕迹，两者互补,建议关基单位每年至少完成一次红队渗透和两次威胁狩猎。
