2.9 KiB
2.9 KiB
狩猎决策树与证据分级
狩猎是「假设 → 验证 → 归档」的闭环，不是日志翻找。本文档与 SKILL.md 步骤 1-4 配套使用。
任务类型决策树
狩猎请求
├─ 有具体情报线索（新威胁/新技术）→ 假设驱动（情报 → 技术 → 遥测 → 验证）
├─ 无线索，想找未知 → 基线驱动（先建基线 → 找偏离 → 解释偏离）
└─ 已知环境 + 已知技术清单 → 模型辅助（规则匹配 / ATT&CK 覆盖审查）
假设生成分支
假设输入源
├─ 外部情报（[[re-ti]]）→ 提取技术 X → 映射环境内遥测痕迹 Y
├─ 内部事件复盘 → 找同类未发现（假设「还有更多」）
└─ 环境特征（暴露面/新技术上线）→ 针对新增攻击面生成
假设句式必须可证伪：X 技术 → Y 痕迹 → 验证方法 → 反证形态
（写不出反证形态的假设不查，见 [[gotchas]] 认知偏差坑）
遥测可用性分支
遥测盘点
├─ EDR/进程日志 → 进程链/命令行假设（4688、Sysmon 1）
├─ 认证日志 → 登录假设（4624/4625、域认证）
├─ 网络流量 → 外联/协议假设（[[re-netcap]] 深挖）
├─ 文件系统监控 → 文件落地假设（Sysmon 11）
└─ 都缺 → 不进入狩猎，输出「采集缺口」清单（见 [[gotchas]] 盲区坑）
命中判定分级表
| 级别 | 判据 | 处置 |
|---|---|---|
| 确认命中 | 多源证据一致 + 恶意特征明确（行为链完整） | 事件报告 + IOC 沉淀（re-ioc） |
| 可疑 | 单源异常 + 无法用环境解释 | 深挖（re-behavior）后复判；记录但不下结论 |
| 未证实 | 异常但可被合法场景解释 | 白名单标注，保留记录（环境变化后可能转可疑） |
| 未命中 | 无偏离或偏离全解释 | 假设归档（可复跑），标注盲区 |
验证闭环流程（组合套路）
- 命中 → 拉原始证据（时间窗口前后 ±24h 上下文）
- 环境解释：问业务方/查变更记录/对照维护窗口
- 恶意特征核对（行为链、TTP 对齐）
- 定级（上表）→ 处置
- 存档：证据路径 + 结论 + 置信度（re-analyze/analysis-contract 格式）
- 复盘：假设是否可复用（转规则 / 转 re-ioc 沉淀）
实现教训（内化）
- 假设的可证伪性是第一质量指标：写不出「若为假应看到什么」的假设不查
- 盲区与结论绑定：交付时永远带「在已采集遥测内」限定
- 异常先解释再定性：多数异常是环境噪声，确认命中要过「环境解释」关
- 归档假设是资产：未命中的假设+查询保留可复跑，下轮狩猎直接复用
使用注意
- 全部在授权范围内执行（环境/数据源/范围确认先行）
- 结论按 re-analyze/analysis-contract 交付；结论带置信度与盲区
- 涉及样本处置转 re-behavior / re-malware 流程，本技能不展开样本分析