# 狩猎决策树与证据分级

狩猎是「假设 → 验证 → 归档」的闭环，不是日志翻找。本文档与 SKILL.md 步骤 1-4 配套使用。

## 任务类型决策树

```
狩猎请求
├─ 有具体情报线索（新威胁/新技术）→ 假设驱动（情报 → 技术 → 遥测 → 验证）
├─ 无线索，想找未知 → 基线驱动（先建基线 → 找偏离 → 解释偏离）
└─ 已知环境 + 已知技术清单 → 模型辅助（规则匹配 / ATT&CK 覆盖审查）
```

## 假设生成分支

```
假设输入源
├─ 外部情报（[[re-ti]]）→ 提取技术 X → 映射环境内遥测痕迹 Y
├─ 内部事件复盘 → 找同类未发现（假设「还有更多」）
└─ 环境特征（暴露面/新技术上线）→ 针对新增攻击面生成

假设句式必须可证伪：X 技术 → Y 痕迹 → 验证方法 → 反证形态
（写不出反证形态的假设不查，见 [[gotchas]] 认知偏差坑）
```

## 遥测可用性分支

```
遥测盘点
├─ EDR/进程日志 → 进程链/命令行假设（4688、Sysmon 1）
├─ 认证日志 → 登录假设（4624/4625、域认证）
├─ 网络流量 → 外联/协议假设（[[re-netcap]] 深挖）
├─ 文件系统监控 → 文件落地假设（Sysmon 11）
└─ 都缺 → 不进入狩猎，输出「采集缺口」清单（见 [[gotchas]] 盲区坑）
```

## 命中判定分级表

| 级别 | 判据 | 处置 |
|---|---|---|
| 确认命中 | 多源证据一致 + 恶意特征明确（行为链完整） | 事件报告 + IOC 沉淀（[[re-ioc]]） |
| 可疑 | 单源异常 + 无法用环境解释 | 深挖（[[re-behavior]]）后复判；记录但不下结论 |
| 未证实 | 异常但可被合法场景解释 | 白名单标注，保留记录（环境变化后可能转可疑） |
| 未命中 | 无偏离或偏离全解释 | 假设归档（可复跑），标注盲区 |

## 验证闭环流程（组合套路）

1. 命中 → 拉原始证据（时间窗口前后 ±24h 上下文）
2. 环境解释：问业务方/查变更记录/对照维护窗口
3. 恶意特征核对（行为链、TTP 对齐）
4. 定级（上表）→ 处置
5. 存档：证据路径 + 结论 + 置信度（[[re-analyze/analysis-contract]] 格式）
6. 复盘：假设是否可复用（转规则 / 转 [[re-ioc]] 沉淀）

## 实现教训（内化）

- 假设的可证伪性是第一质量指标：写不出「若为假应看到什么」的假设不查
- 盲区与结论绑定：交付时永远带「在已采集遥测内」限定
- 异常先解释再定性：多数异常是环境噪声，确认命中要过「环境解释」关
- 归档假设是资产：未命中的假设+查询保留可复跑，下轮狩猎直接复用

## 使用注意

- 全部在授权范围内执行（环境/数据源/范围确认先行）
- 结论按 [[re-analyze/analysis-contract]] 交付；结论带置信度与盲区
- 涉及样本处置转 [[re-behavior]] / [[re-malware]] 流程，本技能不展开样本分析