企业官网建设流程全解析

告警只会告诉你"已知的攻击"——真正的高级威胁，常常根本不触发告警：

• 攻击者早已潜伏数月，行为"正常得像员工"
• 规则没写到的攻击，永远不会被规则发现
• 等告警 = 等被打，主动狩猎才是进阶

威胁狩猎（Threat Hunting）：假设驱动、主动寻找潜伏威胁——安全运营的高阶能力。
这篇文章把狩猎方法论、数据源、ATT&CK驱动、Sigma规则、工具、学习路线一次讲透——看完你就懂"怎么主动揪出潜伏者"。

一、威胁狩猎是什么：从"被动"到"主动"

三阶段对比：

一句话认知：“告警是’报警器响了才动’，狩猎是’自己巡逻找异常’——‘响应找已知，狩猎找未知’。”

狩猎的定义：基于假设，主动在数据里搜索"潜伏威胁痕迹"的过程——即使没有告警。

二、方法论：假设驱动的"狩猎四步"

① 形成假设

• 从哪里来：威胁情报、ATT&CK手法、近期事件、异常观察
• 例：“攻击者可能通过PowerShell无文件攻击潜伏”

② 收集数据

• 确定需要哪些数据源（端点日志/网络流量/身份认证）
• 把假设转成查询/规则

③ 分析验证

• 跑查询 → 看命中 → 判断"真异常 or 正常基线"
• 可疑的：深入取证

④ 响应与沉淀

• 确认威胁：走应急响应
• 确认正常：更新基线/白名单
• 沉淀：把有效查询固化为检测规则（狩猎→检测闭环）

一句话：“狩猎四步：假设→数据→验证→沉淀——‘每次狩猎都是给检测体系’添砖’。”

三、数据源：狩猎的"线索库"

① 端点数据（最有价值）

• Sysmon 日志（进程/连接/文件/DNS）
• PowerShell 4104（脚本内容）
• 事件日志（登录/服务/计划任务）

② 网络数据

• 全流量镜像（NetFlow/pcap）
• DNS 日志（隧道/异常域名）
• 代理日志（外连）

③ 身份数据

• 认证日志（异常登录时间/来源）
• AD 域控日志（Kerberos/权限变更）

一句话：“三类数据源：端点看’机器干了什么’、网络看’流量去哪了’、身份看’谁在什么时间登录’——合起来就是完整故事。”

四、ATT&CK 驱动的狩猎：按"战术"找线索

用 ATT&CK 当"狩猎地图"——每个战术都有对应"异常信号"：

一句话：“狩猎地图=ATT&CK：‘执行查PowerShell、持久化查Run键、C2查新域名’——按战术逐格排查，潜伏者无处可藏。”

五、Sigma 规则：把狩猎经验"固化成规则"

Sigma：一种通用检测规则描述语言——把狩猎中发现的手法写成机器可读规则，跨平台转换到 Splunk/Elastic 等。

Sigma 规则示例（PowerShell隐藏执行）：

title:PowerShell Hidden Window Executionlogsource:product:windowscategory:ps_scriptdetection:selection:ScriptBlockText|contains:-'-w hidden'-'-windowstyle hidden'-'-enc 'condition:selectionlevel:high

使用流程：写规则 → 用sigmac转成目标平台查询 → 部署检测 → 持续监控。

一句话：“Sigma=把’狩猎发现’变成’自动检测’——‘一次狩猎，固化成规则，之后全天候自动盯’。”

六、狩猎工具链

一句话：“工具链五件：SIEM搜、Sysmon采、Velociraptor查、Sigma固规则、HELK做平台——‘开源工具已够用，缺的是狩猎思路’。”

七、威胁狩猎学习路线：从响应到狩猎（新手版）

阶段1：运营基础（2-3周）

• 学日志分析（Windows/Linux）
• 学 ATT&CK 战术框架
• 学 SIEM 基础查询

阶段2：狩猎方法（2-3周）

• 学假设驱动四步
• 练"PowerShell/持久化/C2"三类假设查询
• 自建环境制造痕迹再狩猎（合规）

阶段3：规则与沉淀（2-3周）

• 学写 Sigma 规则
• 把一次狩猎固化成检测规则
• 输出一份"狩猎报告模板"

检验标准：给定一个假设，能写出查询并验证结果，输出一份狩猎小结。

🎉恭喜你！威胁狩猎"入门"达成

学到这里，你已经掌握威胁狩猎体系，可以从事：

• 安全运营/威胁分析师（进阶）
• 蓝队/SOC（主动防御方向）
• 威胁情报

薪资区间：12k-28k，威胁狩猎是安全运营"进阶能力"，懂的人少、需求大。

这条路，大概需要 2-3 个月的系统投入。

学习与交流

威胁狩猎的方法论讲完了。
学到这里，你已经知道"怎么主动找潜伏威胁、怎么把经验固化成规则"——但狩猎是"越做越深"的方向，后面还有内存取证、流量深度分析、对抗性狩猎，一环扣一环。

如果你想继续系统学习威胁狩猎方向：

• 方法论课：假设驱动四步+ATT&CK狩猎地图
• 数据源实操：Sysmon/SIEM/网络流量分析
• 规则实战：Sigma 规则编写+部署

想继续学网络安全、或想要Sigma规则示例库的，评论区扣"1"，或私信老师咨询课程详情。

特别声明

此教程为纯技术分享！本文目的绝不是为怀有不良动机的人提供技术支持！也不承担因为技术被滥用所产生的连带责任！本文所有实验与狩猎练习，只允许在自建环境、授权范围内进行，严禁对未授权目标实施任何攻击（属违法行为），目的是唤醒大家对网络安全的重视，采取相应的安全措施，减少因网络安全带来的经济损失！

【深度附录】威胁狩猎·规则与检查速查

附录一：常用狩猎查询思路（Splunk/Elastic 语法示例）

# 找出PowerShell隐藏执行（执行阶段）index=windowssource="WinEventLog:Microsoft-Windows-PowerShell/Operational"ScriptBlockText="*-w hidden*"ORScriptBlockText="*-enc *"# 找出新增自启动项（持久化）index=windowsEventID=13(RegistryKey="*CurrentVersion*Run*")# 找出异常登录（横向/入口）index=windowsEventID=4624LogonType=10NOT(user="*$")# 找出审计日志被清（防御规避）index=windowsEventID=1102

一句话：“四条查询=四个战术的’标准动作’——执行、持久化、登录、规避，先跑起来再调优。”

附录二：狩猎检查清单

• 假设明确（来源：情报/ATT&CK/观察）
• 数据源覆盖（端点/网络/身份至少两类）
• 查询已执行（明确时间范围）
• 命中已分类（真异常/基线/误报）
• 可疑项已取证（时间线+证据链）
• 结论已沉淀（规则固化/基线更新）

一句话：“六项走一遍，狩猎就’闭环’了——假设、数据、查询、分类、取证、沉淀。”

附录三：威胁狩猎·面试技术题

1. 狩猎和响应的区别？——主动找未知 vs 被动应已知
2. 假设从哪里来？——威胁情报/ATT&CK/近期事件/异常观察
3. 最有价值的数据源？——端点数据（Sysmon/PowerShell日志）
4. ATT&CC怎么用？——按战术找异常信号（执行/持久化/C2）
5. Sigma 是什么？——通用检测规则语言，跨平台转换
6. 狩猎结果怎么沉淀？——固化为检测规则，形成闭环

答题要点：每个问题给"方法论+工具/命令"，面试才显"硬"。

附录四：一周实验清单（全部自建/授权环境）

• 第1天：学 ATT&CK 执行/持久化/C2 战术细节
• 第2天：自建环境制造 PowerShell 隐藏执行痕迹（合规）
• 第3天：用 SIEM 查询把痕迹找出来
• 第4天：写一条 Sigma 规则并转换验证
• 第5天：练"新增Run键"持久化狩猎
• 第6天：输出一份"狩猎报告模板"

一句话：“六天走完，狩猎就’上手’了——战术、造痕、查询、规则、持久化、报告。”

附录五：

浓缩成三句硬话：

1. 响应找已知、狩猎找未知——主动防御的分水岭
2. 假设驱动四步：假设→数据→验证→沉淀，每次狩猎都是给检测添砖
3. ATT&CK是地图、Sigma是固化器——狩猎发现变成全天候自动检测

附录六：威胁狩猎·常见误区提醒

一句话：“五个误区，就是狩猎最常见的’想当然’——想当然，最容易白跑。”

附录七：威胁狩猎·学习资源导航

一句话：“框架立方法、规则做参考、平台练实操、案例学思路、课程做系统——‘五条线齐了，狩猎就学全了’。”

附录八：威胁狩猎·每日复盘三问

睡前问自己三句：

1. 今天跑过假设驱动的查询吗？
2. 能讲清响应和狩猎的区别吗？
3. 上一次狩猎沉淀成规则了吗？

一句话：“三问复盘，狩猎就’天天进步’——查询、区别、沉淀，三样都要熟。”

附录九：最后的最后

再送一份"行动清单"：

• 今天：写一个"PowerShell隐藏执行"查询（自建）
• 本周：自建环境造痕再狩猎（合规）
• 本月：写一条 Sigma 规则并转换部署
• 本季：输出一份"狩猎报告模板"

想系统学习网络安全、拿下威胁狩猎的——评论区扣"1"，或私信老师咨询课程详情。