威胁狩猎

何时使用 / 何时不用

• 用：主动狩猎请求（「环境里有没有 X 的活动」）、假设驱动的环境排查、威胁情报落地（情报线索转环境内搜索）
• 用：基线驱动的异常发现（无特定情报时先建基线再找偏离）
• 用：事件后扩大排查（一次确认命中 → 同 TTP/同基础设施再查一遍，找漏网）
• 用：告警驱动追溯（一次告警 → 反向狩猎同类未告警行为，找漏网）
• 不用：纯合规巡检（无假设的定期报表是运营不是狩猎，两者流程不同）
• 不用：已知样本分析（[[re-behavior]]）；IOC 查询（[[re-ti]]）；单点证据深挖（各域技能）
• 不用：应急响应单点处置（狩猎是主动面，应急是被动触发，结论可互哺但流程不同）
• 不用：无遥测来源时（数据源缺失无法支撑假设验证，先补齐采集再狩猎，见 [[gotchas]]）
• 不用：设备/主机级单点排查（那是各域技能的事，狩猎面向环境整体）

工具准备

日志分析工具（通用）