在网络安全领域，一句广泛流传的说法是：只要时间足够，任何系统都可能被攻破。 这句话听起来令人担忧，但它恰恰点明了网络安全的真实本质。
即使是最完善的安全措施，也并非绝对无懈可击。 威胁不断演变，新的攻击手段层出不穷。 我们有理由认为，系统遭受攻击是不可避免的。
因此，任何致力于保护系统安全的组织都必须在攻击发生之前，投入资源进行威胁识别。 通过及早发现威胁，组织可以迅速采取损害控制措施，最大限度地降低攻击的风险和影响，甚至在攻击者部署全面攻击之前将其阻止。
除了防御攻击，威胁检测还能清除那些可能窃取数据、收集信息以用于未来攻击，甚至留下潜在漏洞的恶意行为者。
一种在威胁和漏洞被恶意行为者利用之前检测它们的好方法，就是通过威胁搜寻。
威胁搜寻
每当发生网络攻击，例如数据泄露、恶意软件攻击，或者拒绝服务攻击，往往是网络攻击者在系统中潜伏一段时间的结果。 这个潜伏期可能长达几天、几周，甚至几个月。
攻击者在网络中未被发现的时间越长，他们造成的破坏就越大。 因此，有必要在攻击者实际发起攻击之前，将那些潜伏在网络中而不被发现的攻击者排除在外。 这正是威胁搜寻的用武之地。
威胁搜寻是一种主动的网络安全策略，安全专家在网络中进行彻底搜索，以发现并根除可能逃避现有安全措施的潜在威胁或漏洞。
与自动威胁检测等被动网络安全措施不同，威胁搜寻是一个主动的过程，涉及深入搜索网络端点和存储在网络中的数据，以发现可能预示网络中潜伏威胁的恶意或可疑活动。
威胁搜寻不仅仅是寻找已知的威胁，还可以清除网络中新的、未知的威胁，或者那些可能已经绕过网络防御，但尚未得到修复的威胁。
通过实施有效的威胁搜寻，组织可以在恶意行为者发动攻击之前发现并阻止他们，从而减少损失并保护其系统。
威胁搜寻的工作原理
为了保证成功和有效，威胁搜寻很大程度上依赖于网络安全专家的直觉、策略、道德、批判性思维和解决问题的能力。 这些独特的人类技能弥补了自动化安全系统所能完成的工作。
要进行威胁搜寻，安全专家首先需要定义和了解他们将执行威胁搜寻的网络和系统的范围。 然后，他们会收集和分析所有相关数据，例如日志文件和流量数据。
内部安全专家在这些初始步骤中至关重要，因为他们通常对现有的网络和系统有更深入的了解。
使用各种技术分析收集到的安全数据，以识别异常情况、隐藏的恶意软件或攻击者、可疑或高风险的活动，以及那些安全系统可能标记为已解决但实际上未解决的威胁。
如果检测到威胁，则会对其进行调查和修复，以防止被恶意行为者利用。 如果发现恶意行为者，他们将被从系统中清除，并采取措施进一步保护系统，防止其遭受损害。
威胁搜寻为组织提供了了解其安全措施，并改进系统以更好地保护它们和防止未来攻击的机会。
威胁搜寻的重要性
威胁搜寻的一些好处包括：
减少全面网络攻击造成的损害
威胁搜寻的优势在于，它能够在网络攻击者收集足够的敏感数据以进行更致命的攻击之前，检测并阻止破坏系统的网络攻击者。
阻止攻击者的行动，可以减少数据泄露造成的损失。 凭借威胁搜寻的主动性，组织可以更快地响应攻击，从而降低网络攻击的风险和影响。
减少误报
当使用自动网络安全工具时，这些工具被配置为使用一套规则来检测和识别威胁，可能会出现没有真实威胁却发出警报的情况。 这可能导致针对不存在的威胁部署反制措施。
人工驱动的威胁搜寻消除了误报，因为安全专家可以对感知到的威胁的真实性质进行深入分析，并做出专业的判断。 这就排除了误报的干扰。
帮助安全专家了解公司的系统
安装安全系统后，面临的一个挑战是验证它们是否有效。 威胁搜寻可以解答这个问题，因为安全专家会进行深入的调查和分析，以检测和消除那些可能逃避已安装安全措施的威胁。
这也有助于内部安全专家更好地了解现有的系统、它们的工作方式以及如何更好地保护它们。
使安全团队保持最新状态
进行威胁搜寻涉及使用最新的可用技术，在威胁和漏洞被利用之前检测和缓解它们。
这有助于组织的安全团队了解最新的威胁形势，并积极地让他们参与发现那些可能被利用的未知漏洞。
这种积极主动的活动可以让安全团队做好更充分的准备，了解新出现的威胁，从而避免他们被攻击者打个措手不及。
缩短调查时间
定期的威胁搜寻会创建一个知识库，当攻击发生时，可以使用该知识库来加速调查过程。
威胁搜寻涉及对已检测到的系统和漏洞进行深入研究和分析。 这反过来会导致对系统及其安全性的知识积累。
因此，当发生攻击时，调查可以利用从以前的威胁搜寻中收集的数据来加速调查过程，从而使组织能够更好地更快地响应攻击。
通过定期进行威胁搜寻，组织将从中受益良多。
威胁搜寻与威胁情报
尽管威胁情报和威胁搜寻相互关联，并且经常一起用于增强组织的网络安全，但它们是不同的概念。
威胁情报涉及收集和分析有关新出现和现有网络威胁的数据，以了解网络威胁和攻击背后的威胁参与者的策略、技术、程序、动机、目标和行为。
然后，这些信息会被分享给组织，以帮助他们检测、预防和减轻网络攻击。
另一方面，威胁搜寻是一个主动的过程，用于搜索系统中可能存在的潜在威胁和漏洞，以便在它们被威胁行为者利用之前解决它们。 这个过程由安全专家主导，他们会利用威胁情报信息进行威胁搜寻。
威胁搜寻的类型
威胁搜寻主要分为三种类型。 这些类型包括：
#1。 结构化搜寻
这是基于攻击指标（IoA）的威胁搜寻。 攻击指标证明系统当前正被未经授权的行为者访问。 IoA发生在数据泄露之前。
因此，结构化搜寻与攻击者采用的策略、技术和程序（TTP）保持一致，目的是识别攻击者、他们试图实现的目标，并在他们造成任何损害之前做出响应。
#2。 非结构化搜寻
这是一种基于妥协指标（IoC）的威胁搜寻。 妥协的指标是发生安全漏洞以及系统在过去被未经授权的行为者访问过的证据。 在这种类型的威胁搜寻中，安全专家会在识别危害指标之前和之后在整个网络中寻找模式。
#3。 情境或实体驱动
这些是基于组织对其系统的内部风险评估以及他们发现的漏洞的威胁搜寻。 安全专家使用外部可用的最新攻击数据来寻找系统中类似的攻击模式和行为。
威胁搜寻的关键要素
有效的威胁搜寻涉及深入的数据收集和分析，以识别可能表明系统中存在潜在威胁的可疑行为和模式。
一旦在系统中检测到此类活动，就需要使用高级安全调查工具对其进行全面调查和了解。
然后，调查应该产生可操作的策略，可以实施这些策略来解决发现的漏洞，并在威胁被攻击者利用之前缓解威胁。
该过程的最后一个关键组成部分是报告威胁搜寻的结果，并提供可以实施的建议，以更好地保护组织的系统。
威胁搜寻的步骤
图片来源：微软
有效的威胁搜寻包括以下步骤：
#1。 制定假设
威胁搜寻旨在发现那些可能被攻击者利用的未知威胁或漏洞。 由于威胁搜寻的目标是发现未知因素，因此第一步是根据组织系统中的安全状况和漏洞知识来制定假设。
这个假设为威胁搜寻提供了一个方向和基础，可以为整个演练奠定战略基础。
#2。 数据收集与分析
一旦提出假设，下一步就是从网络日志、威胁情报报告到历史攻击数据中收集数据和威胁情报，目的是验证或否定假设。 可以使用专门的工具进行数据收集和分析。
#3。 识别触发因素
触发因素是值得进一步深入调查的可疑事件。 从数据收集和分析中获得的信息可能会证明最初的假设，例如网络中存在未经授权的行为者。
在分析收集到的数据期间，可能会发现系统中的可疑行为。 这些可疑活动就是需要进一步调查的触发因素。
#4。 调查
一旦在系统中发现触发因素，就会对其进行调查，以了解手头风险的全部性质、事件可能是如何发生的、攻击者的动机以及攻击的潜在影响。 此调查阶段的结果将指导采取哪些措施来解决未发现的风险。
#5。 解决
一旦对威胁进行了全面调查和了解，就会实施策略来解决风险、防止未来的攻击，并提高现有系统的安全性，以解决攻击者可能利用的新发现的漏洞或技术。
完成所有步骤后，应重复此过程，以查找更多漏洞并更好地保护系统。
威胁搜寻中的挑战
威胁搜寻中出现的一些主要挑战包括：
缺乏熟练人员
威胁搜寻是一种人为驱动的安全活动，因此其有效性很大程度上取决于执行该活动的威胁搜寻者的技能和经验。
凭借更丰富的经验和技能，威胁搜寻者可以识别出传统安全系统或其他安全人员所忽视的漏洞或威胁。 获得和留住专业的威胁搜寻者对组织来说既昂贵又具有挑战性。
难以识别未知威胁
威胁搜寻非常难以进行，因为它需要识别那些已经逃避了传统安全系统的威胁。 因此，这些威胁没有容易识别的已知特征或模式，这使得整个过程非常困难。
收集综合数据
威胁搜寻在很大程度上依赖于收集有关系统和威胁的大量数据，以指导假设检验和触发因素调查。
这种数据收集可能会非常复杂，因为它可能需要先进的第三方工具，并且还存在不符合数据隐私法规的风险。 此外，专家还将不得不处理海量数据，这可能是一项挑战。
及时了解威胁情报
为了使威胁搜寻既成功又有效，执行演练的专家需要掌握最新的威胁情报以及攻击者所采用的策略、技术和程序的知识。
如果无法获得有关攻击使用的最新策略、技术和程序的信息，那么整个威胁搜寻过程可能会受到阻碍，并变得无效。
结论
威胁搜寻是一个主动的过程，组织应考虑实施此过程，以更好地保护其系统。
由于攻击者日夜寻找利用系统中漏洞的方法，因此在攻击者发现漏洞和新威胁并利用它们对组织造成损害之前，组织主动寻找漏洞和新威胁是有益的。
您还可以为 IT 安全专家探索一些免费的取证调查工具。