Threat Hunting Engagement：限時獵捕涵蓋

服務簡介

此工作圍繞一小組約定的假設進行。在獵捕之前，雙方會確認遙測來源、保存期限、存取方式、敏感性邊界、指定聯絡人、必要時的供應商核准，以及發現事項應協助做出的決策。分析師會檢視可疑模式及相關的 IOC 或 IOA 跡證，接著在可用證據範圍內將資料分類為參考資訊、可疑，或已確認值得關注。報告會記錄偵測與遙測缺口，以及發現事項、優先事項與限制。這是一項聚焦且有時間限制的獵捕；監控、事件應變、深度事後調查與修補在需要時透過另行的安排處理。

適用對象

獵捕適合以下團隊：

• 有明確的疑慮或假設，而現有遙測資料可能足以回答
• 能在有限的檢視時段內提供約定的端點、身分、雲端、網路或應用程式證據
• 需要以結構化方式區分參考性訊號、可疑模式，以及需要指定負責人後續處理的項目
• 希望在選擇更廣泛的監控、應變或工程工作之前，先了解遙測與偵測缺口

有助釐清的問題

此獵捕有助於釐清：

• 哪些假設可以依據約定的來源、保存期限、存取權限與證據品質合理探討
• 在檢視邊界內，哪些模式或跡證屬於參考資訊、可疑，或已確認值得關注
• 缺少的日誌、過短的保存期限、權限、供應商限制或敏感性限制在哪些地方降低了可信度
• 接下來應由適當負責人處理哪個偵測、調查、營運或應變問題

包含內容

• 已確認的假設、遙測來源、保存期限、存取方式、敏感性限制、指定聯絡人、必要時的供應商協調，以及獵捕時段
• 檢視約定的端點、身分、雲端、網路或應用程式遙測資料，找出相關模式及 IOC 或 IOA 跡證
• 以證據為基礎，將資料分級為參考資訊、可疑與已確認值得關注
• 記錄偵測與遙測缺口、範圍限制、發現事項與優先排序的後續行動
• 與指定相關人員進行聯合檢討，討論證據、不確定性、通報與下一步問題

不包含內容

• 持續監控、MDR、全天候不間斷的 SOC 維運、待命告警回應，或自動部署代理程式與日誌記錄
• 即時事件應變、實際執行圍堵、復原執行、修補實作或完整的深度事後調查
• 擔保找出入侵、惡意程式、根本原因、威脅或可疑行為，或證明環境乾淨
• 認證、全面的偵測涵蓋，或檢視約定時間與證據邊界以外的來源

適用時機

當企業能提出聚焦的問題時，請選擇獵捕，例如：某個模式在既定的遙測資料集中是否可見、某個已知指標是否相關，或某個控制缺口是否需要更充分的證據。它適用於日誌記錄變更之後、相關人員提出疑慮時，或在決定營運模式是否需要擴大之前。遇到緊急情況時，緊急應變安排才是合適的途徑。若工作期間出現正在發生之事件的跡象，會通報給指定聯絡人，並可能需要另行界定範圍的應變支援。

我們的方法

獵捕從清楚的問題出發。我們會約定假設，並整理可用的證據地圖：來源、保存期限、存取途徑、敏感性限制、供應商條件、聯絡人與時段。接著分析師會依循核准的證據軌跡進行，並維持觀察結果與已確認結論之間的區別。缺少的資料來源會被記錄為缺口，而不會被視為否定性的結果。在檢討會議中，客戶會收到簡要的發現說明、相關跡證、偵測觀察、限制與優先排序的後續行動。這份紀錄可支援在調校、額外遙測、調查、應變或另行委託之間做出知情的選擇。報告也會記錄實際的檢視條件：證據何時可用、哪些系統不可見，以及保存期限或存取權限是否可能影響結果。這讓資安主管能將獵捕與日常營運相互比較，並了解它如何與監控計畫相輔相成。只有在出現新的問題、來源變更或決策時點而有正當理由時，才會考慮後續的獵捕。

常見問題

相關文章