| 有两种可能的结果：如果实验结果符合假设，这就是测量;如果不符合假设，这就是发现。 ——恩里科·费米(原子能之父) |
威胁追捕，就是主动识别并抑制已在企业环境中建立了桥头堡的对手。这与威胁检测不同，威胁检测主要是靠特征码检测或系统事件关联等手段，发现入侵指标(IOC)，识别出威胁。此类上下文中的威胁，就是具备做坏事的意图、能力和机会的对手。威胁追捕是对威胁检测的补充。威胁检测有其局限，且依赖4个先决条件(或者假设)：
- IOC可预测
- IOC有逻辑且可量化
- IOC静态且不可交换
- IOC可见且可发现
这4个先决条件未必总能满足，某些情况下，一个都不能满足。即便前3个都满足了，最大的挑战在于最后一个往往满足不了。监测每个可能的系统、网络或用户，是非常难的。更重要的是，时间和金钱的消耗都太大了。产出的大量警报、事件和误报，也引发了其自身的一系列问题。而且，即使威胁检测成功，相关警报也有可能被漏过，或者事发后很久才被注意到。威胁驻留时间的统计数据，已一次又一次地证实了这一点。
如果信禅，或许会问：“如果网络上出现了一个IOC，而没人正在监视，那还算是威胁吗?”鉴于高调数据泄露发生的频率，该问题的答案无疑是：算!
黑客同样注意到了这些因素，并据此对自身战术、技术和流程(TTP)做出调整，尽可能地消除这些先决条件。这是网络安全中自然选择的基础，也是黑客与网络安全人士间持续武器竞赛的根源。
威胁追捕旨在矫正威胁检测中的固有弱点。很明显，如果黑客已经出现在内部网络中，威胁检测就已失败，或者说，至少是在初始漏洞利用前没能做出响应。若是前者，发现自己是否被黑的唯一方法，就是从等待检测技术指出威胁，转向人工调查是否有检测技术漏掉的指标。若是后者，威胁追捕将专注评估入侵的范围，旨在肃清攻击者建立的任何立足点。
一、威胁追捕的3种风格
1. IOC驱动威胁追捕
检测已知IOC，并用于识别相关IOC和TTP，以驱动对环境中存在威胁的搜索与分析。
2. 分析驱动威胁追捕
高级分析、机器学习和行为分析技术识别出异常或可疑活动，驱动进一步调查。一定程度上，行为分析技术已自动化了传统威胁追捕的某些方面，但承袭了与威胁检测类似的局限，且产生了一些自身的弱点。
3. 假设驱动威胁追捕
特定威胁可能已成功侵入环境的初始假说或假设。可推断出与该威胁相关的TTP和IOC，驱动对威胁的搜索与分析。
聪明的读者可能已经发现，前两种风格都依赖对至少一个IOC的成功检测及发现。因此，这两种方式主要用于验证入侵是否发生，并评估威胁的散布范围。
二、假设威胁
假设驱动威胁追捕不依赖前置检测。这种方法会假设有尚未检测到的威胁可能已经针对公司下手了。这其中比较没那么明显的一点，是假设驱动威胁追捕、威胁评估和威胁模拟之间的关系。
1. 威胁评估
威胁评估中，可能针对公司的潜在相关威胁，往往通过利用威胁情报的方式，被识别出来。然后纳入风险管理过程，用以确定需要部署哪些安全预警措施，来抵御潜在威胁。
2. 威胁模拟
威胁模拟中，威胁TTP与现有安全技术、人员和过程相抗衡，借以评估攻击情况下能否撑住。若能实际测试，效果会更好。真正的渗透测试或道德黑客活动，或者成熟企业所谓的红队测试，就是该方法的一个样例。
三、假设驱动威胁防御
假设的一个定义，是“基于有限证据做出的假设或提案，用作进一步调查的起点。”对网络安全人员来说，“有限证据”是其中关键词。
威胁检测技术提供有限证据——或许会发现一些IOC，但可能提供不了对高级/大范围入侵的清晰评估。这些技术可能根本无法成功检测威胁。威胁情报提供理论上都有些什么的大量证据，但无法确定到底谁会实际攻击你。预防技术防护多种已知攻击类型，但我们没有足够证据证明可以防住下一波攻击。
假设驱动威胁防御，将这些假设都整合进了单个框架中，用作风险管理项目的基础。威胁假设、威胁模拟和假设驱动威胁追捕，是假设驱动安全的三大基石，也是成功威胁缓解的三驾马车。综合起来，它们考虑的是：谁可能针对你，他们有没有可能成功，以及他们是否已经成功了。
威胁快速进化，技术不断涌现，再加上可执行证据和确定性的缺乏，这么一种态势下想要成功，假设，已经是我们最逼近预测的做法了。
本文作者：nana
来源：51CTO
