威脅捕獵是搜尋能躲避現有保安工具的威脅的積極過程，它涉及分析數據、開發假設及調查模式，以識別可疑活動，以免造成危害。
目錄
什麼是威脅捕獵？
威脅捕獵是一個主動的網絡保安做法，專注於識別會躲避自動化偵測工具的威脅。威脅捕獵無須等待警示，而是積極尋找可能顯示攻擊者已在環境中的可疑行為、微弱信號或異常情況。
威脅捕獵會假設入侵是可以、甚至是會發生在防禦良好的環境中。捕獵團隊分析用戶端、網絡、身份及雲端服務的遙測數據，發掘融合正常運作的惡意活動。這通常包括偵測憑證濫用、就地取材技巧、橫向移動及不觸發傳統警示的持續性機制。
與自動化偵測不同，威脅捕獵有賴數據、分析及威脅情報支援的人為導向行動。隨著時間推移，有效的威脅捕獵可以減少攻擊者的逗留時間、改善偵測邏輯及強化整體保安狀態，並將分析資訊回饋保安運作中心及偵測工程。
為何威脅捕獵在網絡保安中很重要
攻擊者躲避偵測的能力越來越強，他們採用無檔案惡意程式、遙距存取工具及憑證濫用等技巧來融入合法活動。這些方法往往會繞過傳統的保安系統。
僅依賴警示就可能造成落差。威脅捕獵會及早識別威脅來解決此問題，通常在清晰指標出現之前。有別於依賴警示的被動方法，威脅捕獵聚焦於可能不會觸發自動化防禦的隱秘及持續性技術。
因此，威脅捕獵可以縮短留置時間、限制影響，並協助機構更快作出回應。根據 SAN 威脅捕獵調查，在 2024 年採用正式威脅捕獵方法的機構數量增長至 64%，正正反映威脅捕獵的效益。
威脅捕獵與事故回應
威脅捕獵及事故回應的目的各有不同：
威脅捕獵是主動的，它根據假設或微弱信號積極尋找潛在的入侵跡象。
事件回應是被動的。它在偵測到入侵後開始，並專注於遏制、調查及復原。
兩者可以一起運作，但遵循不同的時間表。例如，捕獵可能會在觸發警示之前發現事故，以便更早介入。當出現威脅捕獵的問題時，事故回應框架會在違規後介入。
威脅捕獵方法
威脅捕獵通常採用結構化方式。
以假設驅動的捕獵
在以假設為導向的捕獵中，分析師首先假設潛在的惡意活動。例如攻擊者可能利用竊取的憑證在金融系統內橫向移動。然後，捕獵者會查詢相關數據來源，以證明或推翻假設。這種方法具有結構性、可重複性，並非常適合擁有強大遙測數據及經驗豐富分析師的組織。
智能驅動的捕獵
情報導向的捕獵是由外部或內部威脅情報所引導。捕獵者利用主動攻擊、惡意程式活動或攻擊技巧來搜尋自己環境中的相關行為。此方法協助機構專注於相關的威脅，並將捕獵工作與實際的攻擊者活動保持一致。
分析驅動的捕獵
以分析為導向的捕獵有賴統計分析、基礎分析及行為分析來解決異常情況。捕獵者不會從特定假設開始，而是檢查與正常活動的偏差，例如異常登入時間、異常資料傳輸或罕見的執行流程。這種方法能有效發掘未知或新的威脅。
依據情況或被動捕獵
依據情況的搜尋是由新漏洞、公開入侵披露或威脅情勢轉變等事件所觸發。例如，捕獵者可在宣佈關鍵漏洞後主動搜尋入侵活動。與傳統的警示回應相比，這方法在性質上雖然是被動的，但仍然被視為主動行為。
攻擊指標與入侵指標
威脅捕獵通常集中於行為證據而非靜態指標。
- 入侵指標是已知攻擊相關的偽影，例如惡意檔案雜湊、IP 位址或網域名稱。雖然入侵指標對偵測非常有用，但它通常都很短，而且很容易被攻擊者改變。
- 攻擊指標集中於攻擊者的行為及技巧。例如可疑的 PowerShell 使用情況、異常的特權升級或異常的驗證模式。攻擊指標在威脅捕獵中尤其有價值，因為它們能識別攻擊者的運作方式，而非他們使用的特定工具。
有效的威脅捕獵是攻擊指標的優先次序，因為攻擊指標更能抵禦躲避，並與現代攻擊技巧更一致。
威脅捕獵技巧
威脅捕獵技巧描述了分析師如何調查資料來發掘威脅。
- TTP 分析
捕獵者使用 MITRE ATT&CK 等框架分析逆向策略、技巧及程序，讓團隊有系統地在環境內搜尋已知的攻擊行為。 - 異常值偵測
此技術專注於識別偏離既定基線的活動。例子包括罕見的指令執行、異常的資料存取或特定用戶或系統的異常登入模式。 - 時間為基關聯性
攻擊者通常會隨著時間採取行動來避免被發現。基於時間的關聯連繫用戶端、身份及網絡的相關事件，以揭示看似獨立及良性的攻擊鏈。 - 領域及業務環境分析
捕獵者運用業務營運知識來區分合法活動和可疑行為。而了解系統及用戶的正常運作方式，對準確捕獵威脅至為重要。
威脅捕獵工具
威脅捕獵工具提供支援調查所需的視野及分析能力。
SIEM 平台
SIEM 集中整個環境的記錄檔，並進行查詢、關聯及時間分析。它們通常是威脅捕獵活動的起點。
XDR 平台
XDR 方案關聯來自用戶端、電郵、雲端、身份及網絡層面的遙測數據。這種跨網域視野有助隱藏複雜的攻擊模式，並減少調查盲點。
威脅情報平台
這些工具提供了有關對手、惡意程式及攻擊活動的背景。捕獵者利用情報來引領假設並優先處理調查。
腳本及偵測工程工具
YARA 和 Sigma 等工具讓捕獵者可以根據自己的環境建立客製化偵測邏輯和可重用查詢。
威脅搜尋數據來源
有效的捕獵取決於對高品質資料的存取，包括用戶端遙測、網絡流量、身份記錄及雲端審計追蹤。資料的深度及保留度直接影響捕獵效果。
Trend Vision One 等平台提供這些數據源的整合存取，讓分析師能快速轉換及跨層面調查威脅。
現實世界威脅捕獵例子及個案研究
Microsoft 365 濫用憑證
一家全球物流公司注意到 Microsoft 365 的登入模式異常。威脅捕獵者利用定位過濾與稽核記錄來追溯遭入侵的合作夥伴帳號。該帳戶曾用於向內部發送網絡釣魚電郵。
企業環境中的就地取材攻擊技術
在近期的趨勢科技威脅捕獵研究案例文章中，威脅捕獵者調查了多個高權限端點的持續性指令活動。分析顯示，它們濫用了 PowerShell 及 WMI 等合法工具來建立後門程式，而不會影響檔案。
這種技術被稱為「就地取材」，旨在避免被保安軟件偵測。它仍然是企業威脅偵測最常見的挑戰之一。
供應鏈入侵
TrendAI Vision One™ 客戶發現異常的 DNS 請求與可靠的第三方供應商相關。更深入的檢查顯示，供應商的環境已經被入侵，並被用作橫向移動。
如何建立威脅捕獵框架
威脅捕獵框架提供了一套結構化的方案來主動識別會躲避自動化偵測的威脅。明確的威脅捕獵程序確保捕獵可重複、可衡量及配對機構風險，而非依賴臨時調查。
以下威脅捕獵生命週期概述保安團隊如何建立及操作有效的威脅捕獵框架。
步驟 1：定義威脅捕獵假設
每個威脅捕獵都從一個清晰的假設開始。這是基於威脅情報、已知的攻擊者技巧、環境風險或近期事故而對潛在惡意活動的可測試假設。
例如，假設聚焦於在雲端環境或橫向移動中使用內建管理工具的憑證濫用。有效的假設是具體可行的，並對應到 MITRE ATT&CK 等逆向行為框架。
步驟 2：範圍及準備相關資料
定義假設後，分析師會辨識該假設所需的數據來源並進行驗證。威脅搜尋資料可能包括用戶端遙測、認證記錄、網絡流量、DNS 活動或雲端審核追蹤。
範圍分析確保調查專注於相關系統和時間框架。分析師亦會驗證數據質素、覆蓋範圍及保留率，避免可能削弱結論的差距。
步驟 3：調查及跨遙測
在調查階段，捕獵者使用查詢、行為篩選器及關聯技巧分析數據。當發現可疑活動時，分析師會轉向相關訊號，例如相關帳戶、流程或網絡連接。
威脅捕獵本質上是重複的。初步發現通常會導致新的問題，而在出現新模式時更需要擴大範圍或修訂假設。
步驟 4：驗證發現並評估影響
捕獵者確定證據是否支持或反駁原始假設。如果確認為惡意活動，分析師會評估威脅範圍，識別受影響的資產，並評估攻擊者的持續性及行動。
如果沒有找到支持證據，則假設可能被修正或記錄為陰性結果，這仍然有助於組織理解和檢測成熟度。
步驟 5：升級及回應已確認的威脅
已確認的威脅會上報至事故回應團隊，提供全面環境。這包括時間表、受影響的系統、攻擊者技巧及建議的遏制行動。
清晰的升級路徑確保威脅捕獵能迅速過渡至整治，從而減少留置時間及限制潛在影響。
步驟 6：深入了解偵測及遙測
威脅捕獵框架中最關鍵的步驟之一是反饋。搜尋過程中識別的行為會轉化為 SIEM、XDR 或 EDR 平台內的新偵測邏輯、分析或警示規則。
捕獵亦強調視野落差，促使記錄、遙測收集或感應器部署的改善。
步驟 7：記錄結果並完善流程
應記錄每次狩獵，包括假設、數據來源、調查步驟、調查結果及所學知識。回顧性分析讓團隊得以將新的偵測邏輯應用於歷史數據，發掘錯過的活動或延長留置時間。
隨著時間的推移，這個持續不斷的改善循環可強化威脅捕獵框架、改善偵測覆蓋範圍，並與不斷演變的攻擊者技術更密切地協調主動式威脅捕獵。
如何開始網絡威脅捕獵
開始時，首先關注此處的可見性：
- 確定優先資產（例如財務、行政人員、關鍵基礎設施）
- 確保在用戶端、身份及雲端進行記錄
- 從每週一個假設開始
- 使用 ATT&CK 引導以技巧為基礎的搜尋
- 記錄調查結果並改進查詢
我可以在哪裡獲得威脅捕獵的協助？
TrendAI Vision One™ 為威脅捕獵提供進階功能：
- 從用戶端、電郵、雲端及網絡跨層面遙測
- 自動對應至 MITRE 技術
- 以風險為本的評分排序威脅
- 專為環境而設的整合式威脅情報
- 搜尋和轉動工具以進行主動調查
它支援保安團隊在升級前偵測隱匿攻擊、縮短逗留時間及發掘威脅。
常見問題
甚麼是網絡保安的威脅捕獵？
威脅捕獵是利用人工調查及假設測試來搜尋逃避自動化保安工具威脅的主動過程。
威脅捕獵者做甚麼？
威脅捕獵者主動偵測、調查及減低網絡內的網絡威脅，防止入侵及強化機構保安。
威脅捕獵與事故回應有何不同？
威脅捕獵是主動的，在事故確認前發生；事故回應是被動的，在偵測事故後開始。
威脅捕獵與威脅情報有何不同？
威脅情報提供了已知的威脅資料；威脅捕獵利用此情報來識別在即時環境中的可疑活動。
什麼是威脅捕獵的假設？
- 假設是用於引導調查的明智估算，例如偵測特定網絡區段的橫向移動。
什麼是攻擊指標與入侵指標？
攻擊指標專注於行為和策略；入侵指標是過往攻擊的法務證據，例如檔案雜湊碼或 IP 位址。
甚麼工具用於威脅捕獵？
工具包括 SIEM、XDR 平台、威脅情報來源及 YARA 或 Sigma 等腳本程式。
哪些數據來源支援有效的威脅捕獵？
- 實用數據包括用戶端遙測數據、網絡記錄、身份記錄及雲端審計追蹤。
您能否提供威脅捕獵的真實例子？
- 例如偵測已遭入侵的 Microsoft 365 帳戶、PowerShell 漏洞濫用及與廠商相關的供應鏈攻擊。
機構如何建立威脅捕獵框架？
- 建立角色、定義可重複的工作流程，並與 MITRE ATT&CK 及 NIST 等架構保持一致。
TrendAI Vision One™ 在威脅捕獵中扮演甚麼角色？
- 它提供跨層面遙測、自動化偵測、MITRE 對應及豐富環境的調查來支援威脅捕獵者。