# 狩猎方法论坑与边界

## 假设与认知偏差坑

- **确认偏误**：先有了「某活动存在」的结论，检索时只收集支持证据——每个假设强制列「若为假应看到什么」，反证与支持证据同等记录
- **假设过窄/过宽**：只查一个技术漏掉家族；或假设太泛（「攻击者可能做了坏事」）无法检索——按 ATT&CK 技术族展开，每假设限定到可观测痕迹
- **先狩猎后假设**：没有假设直接翻日志找「奇怪的」，结果被噪声淹没、无法判定——狩猎是验证不是观光，假设先行
- **结论外推**：把「未发现 X」说成「环境安全」——未发现 ≠ 不存在（遥测盲区、规则逃逸、样本不落地）

## 基线构建坑

- **基线污染**：环境早已被攻陷时，恶意活动混入「正常」分布——基线窗口选已知干净时段；标注基线假设；新环境先声明「无基线」
- **窗口代表性**：只取工作日或只取白天，节假日/夜间行为成异常——基线覆盖业务周期（周/月/季节），标注采样窗口
- **噪声与阈值**：阈值过低 → 误报疲劳；过高 → 漏报——按基线分布（百分位）校准，先宽后严两轮

## 遥测与数据坑

- **盲区沉默**：没有采集的数据源不会报异常——交付时显式列出「已采集」与「未采集」，结论限定在已采集范围
- **时钟偏差/时区**：端侧时钟未校准导致事件序列错位（先归一 UTC）；NTP 不可达的隔离网段尤其常见
- **日志截断/轮转**：日志保留期短导致回溯窗口有限——标注可查窗口；对长期狩猎需求提出采集留存建议
- **规则逃逸 ≠ 干净**：攻击者会针对监控规则变体绕过——规则命中率低时要补充基线异常检测，不能只信规则
- **告警系统被关闭/降级**：先验证遥测管道本身健康（收一条已知测试事件），再信「无告警」

## 结论表述边界

- 概率化表述：确认/可疑/未证实/未命中，禁用「肯定/绝对干净」类断言（措辞规范见 [[decision-tree]] 分级表）
- 限定语必备：「在已采集遥测内」「截至查询时间」「基于当前基线」
- 反证同样归档：支持证据与反证都进报告，未决项列出原因

## 使用注意

- 授权与范围确认先行（环境、数据源、时间窗）
- 产物存档（查询、证据、结论，路径 + 时间 + sha256，见 [[re-triage]]）；结论按 [[re-analyze/analysis-contract]] 交付
- 命中样本深挖转 [[re-behavior]]；指标沉淀转 [[re-ioc]]