威胁狩猎颠覆了传统的安全模型：不是被动地等待告警，而是主动假设已遭入侵并寻找证据。做得好的话，它能捕获绕过自动防御的对手。本指南详细介绍了一个实用的、可重复的流程，无论贵组织的规模或工具集如何，都可以应用。
为何狩猎很重要
基于签名的检测甚至大多数行为分析只能捕获已知恶意模式或明显异常。高技能的攻击者故意在这个阈值以下运作，使用合法工具（living-off-the-land二进制文件）、有效凭证和缓慢而耐心的移动。威胁狩猎通过让人类分析师形成关于攻击者行为的假设并主动在你的遥测数据中搜索支持证据来弥补这一差距。
建立假设驱动的流程
有效的狩猎从具体、可测试的假设开始，而不是开放式的探索。好的假设通常来自三个来源：
- 威胁情报：一份新报告描述了针对你所在行业的团体使用的技术。假设：