Threat Hunting Engagement 限时狩猎详解

服务简介

这项工作围绕一小组约定的假设展开。狩猎开始前，双方会确定遥测数据源、保留窗口、访问方式、敏感性边界、指定联系人、所需的服务商批准，以及发现结果应为之提供依据的决策。分析师会评审可疑模式以及相关的 IOC 或 IOA 痕迹，然后在现有证据范围内将材料归类为信息性、可疑或确认值得关注。报告会在记录发现结果、优先事项和局限的同时，记录检测和遥测方面的缺口。这是一项聚焦、有时限的狩猎；监测、事件响应、深度调查和修复在需要时通过单独的安排处理。

适用对象

狩猎适合以下团队：

• 有一个明确的关切或假设，而现有遥测数据或许能够回答
• 能够在有限的评审时间窗口内提供约定的终端、身份、云、网络或应用证据
• 需要有条理地区分信息性信号、可疑模式以及需要指定负责人跟进的事项
• 希望在选择更广泛的监测、响应或工程工作之前，了解遥测和检测方面的缺口

帮助厘清的问题

狩猎有助于厘清：

• 基于约定的数据源、保留期限、访问权限和证据质量，可以合理探究哪些假设
• 在评审边界内，哪些模式或痕迹属于信息性、可疑或确认值得关注
• 缺失的日志、较短的保留期限、权限、服务商限制或敏感性约束在哪些地方降低了置信度
• 接下来应由合适的负责人处理哪个检测、调查、运营或响应问题

包含内容

• 已确认的假设、遥测数据源、保留窗口、访问方式、敏感性限制、指定联系人、所需的服务商协调以及狩猎时间窗口
• 评审约定的终端、身份、云、网络或应用遥测数据，查找相关模式以及 IOC 或 IOA 痕迹
• 以证据为依据，对信息性、可疑和确认值得关注的材料进行分诊
• 记录检测和遥测缺口、范围限制、发现结果以及按优先级排列的后续行动
• 与指定相关方进行联合复盘，讨论证据、不确定性、升级和下一步问题

不包含内容

• 持续监测、MDR、全天候 SOC 运营、值班告警响应，或自动部署代理和日志
• 实时事件响应、实际操作的遏制、恢复执行、修复实施或完整的深度调查
• 对一定会发现入侵、恶意软件、根本原因、威胁、可疑行为，或证明环境干净的任何承诺
• 认证、全面的检测覆盖，或对约定时间和证据边界之外的数据源进行评审

适用时机

当企业能够提出一个聚焦的问题时，可选择狩猎服务，例如：某种模式在一组明确的遥测数据中是否可见、某个已知指标是否相关，或某个控制缺口是否需要更充分的证据。它适用于日志记录发生变化之后、某位相关方提出关切之后，或在决定运营模式是否需要扩展之前。遇到紧急情况时，紧急响应安排才是合适的途径。如果在工作过程中出现正在发生的事件迹象，会将其升级给指定联系人，并可能需要另行界定范围的响应支持。

我们的方法

狩猎从清晰的问题出发。我们约定假设，并整理可用的证据图谱：数据源、保留期限、访问途径、敏感性限制、服务商条件、联系人和时间窗口。随后，分析师沿着经批准的证据线索推进，始终区分观察结果与已确认的结论。缺失的数据源会被记录为缺口，而不会被视为否定性结果。在复盘时，客户会获得一份简明的发现叙述、相关痕迹、检测观察结果、局限说明和按优先级排列的后续行动。这份记录有助于就调优、补充遥测、调查、响应或单独的服务作出知情选择。报告还会记录实际的评审条件：证据何时可用、哪些系统不可见，以及保留期限或访问权限是否可能影响了结果。这使安全负责人能够将狩猎与日常运营进行比较，并了解它如何与监测计划形成互补。只有当出现新的问题、数据源变化或决策节点有此需要时，才考虑再次开展狩猎。

常见问题

相关文章