威胁狩猎：主动出击找隐藏的敌人
导语：检测系统等你触发规则，威胁狩猎（Threat Hunting）主动假设"已被入侵"，去找那些没被规则发现的潜伏者。
一、为什么要关注
高级攻击者会刻意规避告警：用合法凭据横向移动、低速渗出数据、驻留数月不动作。纯被动检测容易漏掉这类"低调"的对手。政企高价值数据（如政务、档案）是重点目标，仅靠设备告警不够。威胁狩猎以分析师驱动，基于情报与异常假设主动搜寻，是把"已入侵"风险尽早暴露的关键能力。
二、核心原理
威胁狩猎是假设驱动的主动搜寻：先基于情报或异常建立假设（如"某账号非工作时间大量访问"），再在海量数据（日志、流量、终端行为）中寻找证据支持或否定假设。常用方法：IOC匹配、行为偏离、对手战术映射（如ATT&CK）。核心是"人+数据"——分析师的直觉加数据的可检索性，产出新的检测规则反哺SOC。
狩猎与SOC检测互补：SOC守"已知规则"，狩猎找"未知异常"。它的产出不仅在发现潜伏威胁，更在反哺检测——把狩猎中发现的新迹象写成规则，使SOC下次能自动识别。因此狩猎是"人驱动、数据验证、规则反哺"的循环。对高价值数据集中的政务与行业场景，定期狩猎能把"假设已被入侵"的警觉，变成可执行的检查清单。
三、落地做法/步骤
- 建假设：从情报、异常、业务变化出发。
- 取数据：汇聚终端、日志、网络行为。
- 搜证据：用查询与可视化验证假设。
- 判性质：区分误报、可疑、确认入侵。
- 驱处置：确认的走事件响应闭环。
- 反哺检测：把新迹象写成规则入SOC。
狩猎不必等到"出事"。可把狩猎设为周期性例行：每月围绕一个高价值假设（如"是否有凭据被异常重用"）做一次深度搜寻，既能保持团队手感，也能在攻击者蛰伏时主动暴露痕迹。狩猎报告沉淀进知识库（见68），经验可跨人、跨时间复用，让防御持续进化。
四、与群晖NAS/信创云盘的对应能力
狩猎所用的原始行为与审计报告需可回溯。群晖DS1525+、DS1825+可作为狩猎数据样本与证据包的集中备份；信创云盘（软件化部署、支持信创）可作为狩猎假设、过程与结论报告的共享空间，按角色授权、全程审计，满足等保2.0对安全事件调查记录与密评GB/T 39786对重要操作留痕的要求。
五、常见误区
- 把狩猎等同常规巡检，缺乏假设驱动。
- 数据不可检索，假设无法验证。
- 只搜不沉淀，经验无法复用。
六、小结与行动建议
从"一个高价值假设"起步，培养分析师+数据的狩猎文化。狩猎成果要可备份、可审计、可反哺检测。