Threat Hunting & Detection Engineering
ACTION REQUIRED (读完后立刻执行)
NOW: Bestätige Blue-Team/Threat-Hunting-Autorisierung und Datenquellenumfang (SIEM, EDR-Export)NOW: Formuliere eine klare Hypothese, bevor du Daten abfragst, um blinde Alarmfluten zu vermeidenNEXT: Lege den Zugriff auf Tools und Datenquellen festACT: Hypothese → Abfrage → Validierung → Regelableitung
Anwendungsszenarien
- Hypothesengesteuerte Bedrohungsjagd
- Sigma / YARA Detection Engineering
- Alarmoptimierung und Fehlalarmanalyse
- Mit
malware-analysis/: von Sample-IOCs zu umsetzbaren Erkennungsregeln - Mit
digital-forensics/: von Fallartefakten zu lateraler Jagd
Workflow
1. Hypothesenbildung
Beispiel: Angreifer nutzt Living-off-the-Land für laterale Bewegung
→ Datenquellen: Sysmon 1/3/10, Windows Security 4624/4648
→ Erfolgskriterien: Anormale übergeordnete Prozesse oder seltene Konto-Log-Quellen
2. Abfrage und Stapelung
□ Baseline: Normale Administratoraktivitäten und Hosts
□ Anomalien: Neue Dienste, codiertes PowerShell, ungewöhnlicher ausgehender Verkehr
□ Korrelation: Kurzzeitige Logins desselben Kontos auf mehreren Hosts
3. Regelableitung
# Sigma-Grundgerüst siehe malware-analysis; dieser Skill betont:
# - Fehlalarmpotenzial
# - Mapping der Datenquellenfelder
# - Verknüpfung mit Response-Playbooks
4. Validierung
□ Atomare Tests (Atomic Red Team) nur im autorisierten Labor
□ Rückwärtswiedergabe historischer Logs zur Überprüfung der Erkennungsrate
Toolchain
| Tool | Zweck |
|---|---|
| Sigma CLI / sigmac | Regelkonvertierung |
| YARA | Datei-/Speicheranalyse |
| SIEM (ELK/Splunk usw.) | Abfragen |
| osquery | Endpoint-Threat-Hunting |
| Atomic Red Team | Erkennungsvalidierung (Labor) |
Referenzen
references/hunting-loop.md../malware-analysis/references/yara-sigma-rules.md../digital-forensics/
Routing-Kontext
Upstream: MASTER R27
Downstream: Bestätigtes Eindringen → forensics; bösartige Samples → malware-analysis
MUST NOT: Angriffssimulation in einer nicht autorisierten Produktionsumgebung ausführen
Aufgaben-Abschluss-Checkliste
- Gibt es eine klare Hypothese und Schlussfolgerung?
- Sind Fehlalarme und Datenquellen in der Regel dokumentiert?
- Ist die Checkliste vollständig?