2.6 KiB
2.6 KiB
狩猎方法论坑与边界
假设与认知偏差坑
- 确认偏误：先有了「某活动存在」的结论，检索时只收集支持证据——每个假设强制列「若为假应看到什么」，反证与支持证据同等记录
- 假设过窄/过宽：只查一个技术漏掉家族；或假设太泛（「攻击者可能做了坏事」）无法检索——按 ATT&CK 技术族展开，每假设限定到可观测痕迹
- 先狩猎后假设：没有假设直接翻日志找「奇怪的」，结果被噪声淹没、无法判定——狩猎是验证不是观光，假设先行
- 结论外推：把「未发现 X」说成「环境安全」——未发现 ≠ 不存在（遥测盲区、规则逃逸、样本不落地）
基线构建坑
- 基线污染：环境早已被攻陷时，恶意活动混入「正常」分布——基线窗口选已知干净时段；标注基线假设；新环境先声明「无基线」
- 窗口代表性：只取工作日或只取白天，节假日/夜间行为成异常——基线覆盖业务周期（周/月/季节），标注采样窗口
- 噪声与阈值：阈值过低 → 误报疲劳；过高 → 漏报——按基线分布（百分位）校准，先宽后严两轮
遥测与数据坑
- 盲区沉默：没有采集的数据源不会报异常——交付时显式列出「已采集」与「未采集」，结论限定在已采集范围
- 时钟偏差/时区：端侧时钟未校准导致事件序列错位（先归一 UTC）；NTP 不可达的隔离网段尤其常见
- 日志截断/轮转：日志保留期短导致回溯窗口有限——标注可查窗口；对长期狩猎需求提出采集留存建议
- 规则逃逸 ≠ 干净：攻击者会针对监控规则变体绕过——规则命中率低时要补充基线异常检测，不能只信规则
- 告警系统被关闭/降级：先验证遥测管道本身健康（收一条已知测试事件），再信「无告警」
结论表述边界
- 概率化表述：确认/可疑/未证实/未命中，禁用「肯定/绝对干净」类断言（措辞规范见 decision-tree 分级表）
- 限定语必备：「在已采集遥测内」「截至查询时间」「基于当前基线」
- 反证同样归档：支持证据与反证都进报告，未决项列出原因
使用注意
- 授权与范围确认先行（环境、数据源、时间窗）
- 产物存档（查询、证据、结论，路径 + 时间 + sha256，见 re-triage）；结论按 re-analyze/analysis-contract 交付
- 命中样本深挖转 re-behavior；指标沉淀转 re-ioc