威胁狩猎

威胁狩猎的关键要素 

So, what exactly are the specific functions in a threat hunt? As discussed above, the goals of individual hunts will vary. Accordingly, so will the detailed aspects of each hunt.

让我们来看看经验丰富的安全专业人员在进行新的搜索时可能会遇到的一些更常见的元素.

数据收集和处理: Depending on the hypothesis to be tested or the overall goal, data collection will come from different types of network 日志 (DNS, 防火墙, 代理), 各种来源的 威胁检测 telemetry beyond the perimeter, 和/or specific endpoint data.

协作与沟通像Slack和Microsoft Teams这样的工具可以自动进入威胁搜索工作流程, 触发新的服务票证, kicking off new hunts 和 investigations, 和 – when necessary – querying individual endpoint or network users.

文件和报告: It's critical to document the outcomes of a hunt, whether considered successful or not. 不管结果如何, 此参考可以作为采取行动的基线，以便将来以类似的目标进行追捕，并帮助识别潜在的重复威胁参与者.

人类与科技: Even though a fair bit of automation is used in any given threat hunt, 在安全组织中工作的人员将对这些自动化进行校准. From endpoint telemetry, to alerts, to 网络流量分析, 技术提高了分析师更快地抓住洞察并更明确地关闭威胁的能力.

威胁搜索的类型 

In order to conduct a successful threat hunt, it’s critical to know – as discussed above – what the goal of the hunt is. 基于确定的目标, 搜索类型通常会分解为下面讨论的下列格式之一.

Developing a Hypothesis for a Threat Hunt 

这种威胁搜寻过程通常由观察到异常事件的安全组织成员启动, over time 和 with increasing frequency. 从那里, 团队可以开始对可能发生的事情形成一个假设，如果这个假设实际上是可测试的. This will help to confirm the validity of the presence of malicious activity – or not.

Types of Hypothesis-Driven Threat Hunts 

• 智力的这将利用 indicators-of-compromise(国际石油公司) 以及某些可以形成假设的策略、技术和程序(TTPs).
• 情境让渡: This is based on deep knowledge of internal infrastructure, 漏洞, 核心网络资产. It doesn’t take into account 威胁情报, 一定, but more so an “are we vulnerable if we take a certain action” scenario.
• 域基于专家经验的: This comes from a threat hunter's own knowledge of their assigned systems, 并假设猎人与网络保持一致，以至于他们知道是否有什么“不对劲”，并可以形成一个有效的假设来进行狩猎.

Key 威胁狩猎 Tools 和 Technologies 

现在让我们来看看一些特定的工具和过程，猎人可以通过这些工具和过程来测试一个假设，并确定威胁是否确实存在.

Security Information 和 Event Management (SIEM) 

A SIEM platform can detect security issues by centralizing, 关联, 和 analyzing data across a network. The core functionality of a SIEM includes 日志管理 和 centralization, security event detection 和 reporting, 和 search capabilities.

Endpoint Detection 和 Response (EDR)

分析将端点数据与复杂的用户分析和威胁情报相关联，以检测可疑的端点活动，以及特定用户是否意识到其系统上的活动.

网络流量分析工具 

This set of tools monitors network availability 和 activity to identify anomalies, including security 和 operational issues. 它们允许猎人收集网络上正在发生的实时和历史记录.

威胁情报馈送

By maintaining visibility of real-time threat feeds, 猎人将熟悉与他们的环境最相关的潜在威胁，因此知道如何更好地防御这些威胁.

云安全 Monitoring 和 Visibility Tools 

理想情况下，威胁猎人会使用云安全工具来监控特别容易受到风险影响的多云和混合云环境. By ingesting data such as user activity, 日志, 和端点, 分析师应该能够获得业务IT足迹和任何可疑活动的清晰快照.

User 和 Entity Behavior Analytics (UEBA)

分析用户行为的过程包括收集用户每天产生的网络事件的洞察力. Once collected 和 analyzed, those events can be used to detect the use of compromised credentials, lateral movement, 和 other malicious behavior.

威胁搜寻步骤

当利用正确的工具来测试一个精心制定的特定假设时，需要采取哪些特定的威胁搜索步骤? 

收集正确的数据识别并最终自动化收集数据的过程是至关重要的，这些数据将使行动成为可能. If a security team suspects malicious activity, they’ll want to collect 和 examine 法医工件 从整个网络. 这个过程的一部分是有效地分类和分析法医证据，以快速确定事件的根本原因.

自定义查询和规则:一些威胁搜索管理服务合作伙伴或解决方案将内置查询和规则-根据定义的标准自动显示警报-以快速帮助威胁猎人搜索众所周知的漏洞和/或威胁参与者. 然而, 它有助于维护安全团队自定义这些查询的能力，以便他们提出最符合商定假设的问题.

Stay Informed about Tactics, Techniques, 和 Procedures威胁搜索技术应根据威胁行为者目前使用的ttp不断发展. 虽然不总是那么容易发现, continuous research into adversarial behaviors will keep security defenders proactive, 锋利的, 并准备好.

当然, 不断掌握TTP研究和其他情报来源是一项艰巨的任务, 在哪些方面，管理威胁搜索合作伙伴可以帮助加快这一过程，并潜在地支持威胁情报计划的成功.

威胁搜索最佳实践

• Operationalize disparate data sets: The more data sets that can be analyzed, the more thorough the search for compromise. 
• Automate 和 orchestrate repeatable tasks通过自动化与威胁搜索相关的正在进行的任务(例如循环扫描)，团队将有更多时间做他们最擅长的事情:阻止威胁参与者.
• 尽可能进行协调:配合编排, 分析师可以很容易地为数据集添加额外的工具，而无需为搜索周期增加大量时间. 
• 通知和响应更快: Create designated response workflows based on type of threat. This ensures hunters follow protocol 和 everyone works from the same data set(s).

阅读更多 

威胁情报: Latest Rapid7 博客 Posts