什麼是威脅狩獵？完整指南
威脅狩獵可主動識別安全威脅。了解在您的組織中執行威脅狩獵的有效策略。
威脅狩獵是一種主動式方法，可在網路威脅造成損害之前識別並減輕這些威脅。本指南將探討威脅狩獵的原則、其優勢，以及安全專業人員所使用的技術。
了解威脅情報與持續監控在有效威脅狩獵中的重要性。對於希望強化其網路安全態勢的組織而言，理解威脅狩獵至關重要。
什麼是網路威脅狩獵？
網路威脅獵捕是在組織的網路或系統中，主動且有系統地搜尋潛在網路威脅跡象的過程。這可以透過手動與自動化技術來執行，例如分析日誌資料、進行網路掃描，以及使用威脅情報來源。網路威脅獵捕的目的是識別可能已規避傳統安全控制措施的潛在威脅，例如防火牆或入侵偵測系統。透過及早偵測並回應這些威脅，組織可以降低遭受網路攻擊影響的風險，並維持其系統與網路的安全性與可用性。
威脅狩獵可定義為一種實務，旨在協助您於對手埋伏在您的網路中時，在其執行攻擊或達成目標之前將其找出。不同於大多數安全策略，威脅狩獵是一種主動式技術，結合了 進階安全解決方案 的資料與能力，以及個人或威脅狩獵專業團隊強大的分析與技術技能。
威脅狩獵與 事件回應 或數位鑑識是截然不同的活動。DF/IR 方法論的目的是在資料外洩事件已經曝光後，判定發生了什麼事。相較之下，當威脅狩獵團隊執行威脅狩獵時，其目標是搜尋可能已經穿透您防禦層的攻擊。
威脅狩獵也不同於 滲透測試 和弱點評估。這些作法試圖從外部模擬攻擊，而威脅獵手則是基於攻擊者已經在網路中的前提展開工作，接著嘗試尋找 入侵指標、橫向移動及其他可提供攻擊行為證據的明顯跡象。
開始威脅狩獵需要什麼？
如我們所見，網路威脅狩獵流程的核心在於，先假設已發生入侵，再積極尋找隱藏的 IOC 與隱匿行為，並搜尋異常活動。為此，安全分析師必須從尋常中辨識不尋常，過濾日常網路流量中的雜訊，以找出尚未知曉的活動。
要有效做到這一點，首先必須對您的網路具備全面可視性，並從端點取得豐富資料。裝置遙測應包含加密流量、檔案雜湊、系統與事件記錄、使用者行為資料、遭 防火牆控制 攔截的拒絕連線，以及 周邊裝置 活動。理想情況下，您會需要像 SIEM（安全資訊與事件管理）這類工具，讓您能清楚總覽所有這些資料，並具備強大的搜尋能力，可將您所見內容脈絡化，以減少手動篩查原始記錄的工作量。
能夠 回報未受管理的端點、IoT 裝置與行動裝置，並探索您網路上執行中服務的功能，是一大助益；同樣有幫助的還有可整合至瀏覽器中的 公用程式，可加速威脅偵測與研究。
威脅狩獵計畫需要適當的報告工具，為分析師提供高品質資料，但這也預設他們對保護其網路的 安全解決方案 具有充分信心。威脅狩獵相當耗時，而您的 SOC（安全營運中心） 分析師無法浪費時間，手動捕捉本應由您的 EDR 解決方案 自主發現的威脅。偵測進階威脅是安全團隊面臨最困難的挑戰，尤其當組織受限於網路安全技能 人員短缺，或受困於會以大量警示或高比例誤判淹沒他們的資訊安全（Information Security）解決方案時，更是如此。
對分析師而言，另一項關鍵安全工具是良好的 威脅情報。有數個公開或 OSINT（開放原始碼情報）來源可讓獵手掌握最新 IOC，例如惡意 IP 位址、新公布的 CVE，以及最新惡意軟體的樣本雜湊。例如，SANS institute 維護了一份彙整的 可疑網域 清單。 MITRE ATT&CK framework 也是一項強大的工具，可協助網路威脅獵手了解進階 威脅行為者。例如，您可以搜尋 MITRE ATT&CK 資料庫，查找已知會鎖定您所屬領域或產業的群組，並了解他們曾使用過的技術。有了這些情報，您就可以開始在整個網路中進行威脅狩獵，尋找該群組 TTPs 的證據。若要進一步了解 Threat Hunting 所需的步驟，請閱讀 我們的白皮書。
您如何知道該尋找什麼？
使用 OSINT 工具和像 MITRE ATT&CK 這樣的框架，只有在您知道自己要找什麼時才能有效運作，而這也帶出了有效威脅狩獵的其中一個關鍵組成：假設的建立與驗證。
威脅獵捕人員需要對組織的概況、可能吸引威脅行為者的業務活動（例如招募新員工或取得新資產、新公司等），以及基準使用情況有扎實的理解。
攻擊者通常會想要與一般使用者混在一起，並嘗試取得使用者憑證，例如透過 phishing 或 spear phishing campaign，因此了解使用者的典型行為，對於調查異常檔案存取或登入事件而言，是很有用的基準。再結合對哪些公司資料對攻擊者有價值以及其所在位置的理解，就能形成像是「攻擊者是否正試圖竊取位於 xyz 的資料？」這樣的假設。進而可促使蒐集資料，以回答如下問題：
「哪些使用者在過去 n 天內首次存取 XYZ 位置？」
進階威脅獵捕技術將嘗試使用統計分析與機器學習，盡可能自動化更多工作。例如，監控使用者行為並將該行為與其自身進行比較以搜尋異常，遠比執行個別查詢更有效，儘管在實務上這兩種技術都可能是必要的。如果您擁有像 SentinelOne 這樣的工具，並具備豐富的原生 API 集，可在整個安全軟體堆疊中實現完整整合，這兩者都會更容易達成。
您應該多久進行一次威脅狩獵？
有些企業只會在臨時情況下搜尋新威脅。這可能是在某個特定事件發生時觸發（例如，對特別敏感的服務或檔案位置發起存取嘗試），或是在員工從其他職務中有空閒時間時進行。雖然臨時性的狩獵讓人力與預算受限的組織仍能採取這層額外防禦，但其缺點是只能針對有限的一組行為進行最低限度的狩獵，也是採用此策略最沒有效果的方式。
排程式威脅狩獵，也就是安排固定時間讓員工定期執行狩獵，是一種改進，並可讓組織在不同時間優先處理不同搜尋項目並提升效率。然而，排程式威脅狩獵的缺點是，會為進階攻擊提供一定的 dwell time，使其可嘗試在這些間隔之間活動，因此間隔越短越好。
理想情況下，擁有足夠人力與預算的組織應進行持續、即時的威脅狩獵，主動針對網路與端點展開作業，作為持續性工作的一部分，以揭露網路中的攻擊。
誰應該執行您的威脅狩獵？
到現在應該很清楚了，威脅狩獵是一項專業工作。它需要能使用各種工具、理解並分析組織所面臨風險，且熟悉進階攻擊者所使用方法與工具的安全分析師。
雖然聘用內部威脅獵捕人員可能是很好的做法，但組織需要具備相應預算，並能接觸到具備相關技能的人才。對許多企業而言，更實際的做法可能是委託 MSSPs（受管安全服務供應商，Managed Security Service Providers）來承接部分或全部的威脅狩獵工作。
Enhance Your Threat Intelligence
See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.
結論
威脅狩獵可讓您透過主動搜尋惡意活動，搶先因應最新威脅。像行為式 AI 這樣的進階解決方案能在大多數網路攻擊造成影響前加以阻止，並且是提供威脅狩獵所需可視性的先決條件，但惡意行為者總是不斷創新並尋找繞過企業網路安全的方法。組織必須保持警覺，以防範如 內部威脅 和高度針對性的攻擊等向量。加入人工分析師的專業能力，能為您的組織提供額外一層安全防護。
喜歡這篇文章嗎？歡迎在 LinkedIn、Twitter、YouTube 或 Facebook 追蹤我們，查看我們發布的內容。
閱讀更多關於 Cyber Security 的內容
Threat Hunting 常見問題
Threat hunting 是主動搜尋隱藏在您網路中的網路威脅的實務。威脅獵捕人員不會等待警示告訴您出了問題，而是假設攻擊者已經在內部，並尋找惡意活動的跡象。他們會深入挖掘安全資料，以找出自動化工具可能遺漏的威脅。
這就像有一位資安專家持續巡查您的網路，尋找任何可疑或異常的事物。
威脅獵捕人員可能會注意到異常的網路流量模式，顯示資料可能正在遭到竊取。他們可能會調查為什麼某個使用者帳戶會在凌晨 3 點存取檔案，或為什麼會有來自不同國家的可疑登入嘗試。另一個範例是根據新的威脅情報報告，尋找特定的惡意軟體特徵。
他們也可能搜尋與已知攻擊方法相符的指標，例如檢查系統是否顯示出駭客橫向移動的跡象。
Threat Hunting 很重要，因為複雜的攻擊者可能會避開您的自動化安全工具，並在您的網路中隱藏數個月。偵測到入侵的平均時間為 194 天，這讓攻擊者有充足的時間竊取資料。Threat Hunting 可協助您更快找出隱藏的威脅，降低其可能造成的損害。
威脅獵捕人員會先根據威脅情報或異常活動，建立有關潛在威脅的假設。接著，他們會搜尋網路日誌、端點資料和安全警示，以找出可證明或推翻其理論的證據。
如果他們發現可疑情況，便會進一步調查，以判定這是否為真實威脅。此流程是持續且反覆進行的，獵捕人員會根據他們的發現不斷精進技術。
網路安全威脅的四大主要類型包括惡意軟體，其中包含可能損害您系統的病毒和勒索軟體。網路釣魚攻擊會誘騙人們交出密碼或點擊惡意連結。分散式阻斷服務攻擊會以大量流量癱瘓您的系統，使其無法使用。
進階持續性威脅是複雜且長期的攻擊，駭客會在您的網路中長時間潛伏。每種類型都需要不同的偵測與回應策略。
常見的 Threat Hunting 技術包括分群，也就是將相似的資料點分組以發現異常。堆疊則是將資料整理成不同類別，並尋找看似可疑的離群值。建立基準則是了解正常的網路活動樣貌，然後搜尋偏離基準的情況。
分析是指檢視日誌和安全資料，以識別可能顯示威脅的模式。分組則是結合多個指標，查看它們是否以可疑的方式同時出現。
Threat Hunting 是主動且持續進行的，而 incident response 則是被動的，並由警示觸發。威脅獵捕人員會在威脅造成損害之前主動搜尋威脅，但 incident response 團隊則是在攻擊被偵測到之後才做出反應。
Threat Hunting 就像持續巡邏，而 incident response 則像是消防單位回應火災。Forensics 發生在事件之後，用於了解發生了什麼事，而 Threat Hunting 則是試圖防止事件發生。
Threat Hunting 流程有三個主要步驟：觸發、調查和解決。
- 在觸發階段，獵捕人員會根據威脅情報、異常情況或特定假設，識別他們想要調查的內容。
- 在調查期間，他們會搜尋資料，以找出支持或推翻其理論的證據。
- 在解決階段，他們會記錄調查結果，並將真實威脅升級交由 incident response 團隊處理，或更新其知識以供未來獵捕使用。
深入了解 威脅情報
準備好徹底革新您的安全營運了嗎？
了解 SentinelOne AI SIEM 如何將您的 SOC 轉型為自主化的強大中樞。立即聯絡我們以取得個人化示範，親眼見證安全防護的未來如何實現。
