在維運團隊擔任資深網管時，最熟悉的日常就是盯著 NOC/SOC 的儀表板：Zabbix 負載正常、Syslog 流量穩定、次世代防火牆與 EDR 沒有跳出重大紅色告警。
恩......今天看似是安全的一天
..................................................................................
但在備考CEH Master與研習 CISSP 資安營運領域後，我深刻體認到一個殘酷的攻防法則：「沒有告警，不代表沒有威脅；它只代表威脅避開了你已知的偵測規則的可能!!!!」

現代攻擊者早已揚棄滿地丟木馬、胡亂掃描 Port 的粗糙手法，轉向離地攻擊（Living off the Land, LotL）——他們呼叫 Windows 原生的 certutil.exe、powershell.exe，或者 Linux 內建的 curl、crontab 與 ssh。在傳輸層，他們把惡意通訊（C2 Beaconing）封裝在看似合法的 HTTPS、DNS Tunneling 或 NTP 請求中。也就是藉由原本系統原生的程式或功能，藉此寄生攻擊!!!!

傳統依賴特徵碼（Signature）與閥值（Threshold）的被動式告警機制，面對這類「合法偽裝」幾乎全面失效。

要打破這個僵局，資安思維必須完成關鍵躍升：從「等待警報響起的被動處置」，轉向「假設敵人早已潛伏的主動獵捕（Threat Hunting）」。

一、心態與方法論轉變：什麼是「假說驅動」的威脅獵捕？

威脅獵捕不是在大海撈針似地隨機翻日誌，更不是漫無目的地執行 grep。合規與成熟的威脅獵捕必須具備結構化方法論，通常以 MITRE ATT&CK 框架 為骨幹，依循「假說驅動（Hypothesis-Driven Hunting）」的四步循環：

[ 1. 建立威脅假說 ] ──(依情資與戰術 TTPs 提問)
        │
        ▼
[ 2. 收集多維數據 ] ──(結合防火牆 Flow、EDR、DNS、Proxy Log)
        │
        ▼
[ 3. 關聯分析與排查 ] ──(排除合規排程，識破異常頻率與抖動值)
        │
        ▼
[ 4. 固化與自動化 ] ──(反哺 SIEM 規則庫、修訂防火牆安全基線)

提出假說（Formulate Hypothesis）：

根據情資或企業架構特性提問。例如：「假如有外部攻擊者突破了某台 DMZ 的 Linux 主機，他會如何躲避過防火牆，持續向外部 C2 回報心跳？」

界定與調閱遙測數據（Telemetry Data）：

不單看主機端日誌，而是將邊界防火牆 Session Log、內部 DNS 解析紀錄與 EDR 行程樹（Process Lineage）拉在同一時間軸比對。

特徵過濾與異常識別：

過濾掉已知的合法業務行為（如NTP校時、備份同步），聚焦在統計分佈的長尾（Long Tail）端點。

處置、復盤並反哺規則庫（Enrichment & Automation）：

一旦獵捕出潛伏的後門或高危行為，除了通報 IR 處置，更要將此戰術特徵轉化為日後的 SIEM 相關性規則或 SOAR Playbook。

二、維運視角下的實戰獵捕場景

將網管人員深厚的網路協定知識（TCP/IP、DNS、HTTP Header），結合資安攻防技術，就是最具威力的獵捕武器。以下是三個在一線維運現場最有效的獵捕實踐：

1. 揪出 C2 連線心跳：週期性與抖動值（Jitter）分析

攻擊工具（如 Cobalt Strike、Sliver）在建立反彈 Shell 或 C2 通道時，為了定時回報狀態，會定期發送封包。

網管技術盲區：

單看每筆對外 443 連線，都是標準的 TLS 握手與資料傳輸，流量極小，次世代防火牆不會觸發阻斷。

獵捕手法：

提取邊界 NGFW 或 Proxy 連線日誌，針對「特定內部 IP 往單一外部 IP/Domain」的連線頻率進行時間差（Delta Time）統計分佈。
即使攻擊者啟用了 Jitter（隨機時間抖動，如間隔 60 秒 ± 20%），在大量統計圖表中，依然會呈現明顯的高斯分佈集中趨勢，與人類瀏覽網頁的高隨機突發特性截然不同。

2. 識破隱蔽穿透：DNS 隧道（DNS Tunneling）與隱蔽信道

邊界通常會對 Outbound Web 流量做 Proxy 驗證或解密，但往往對 Outbound UDP 53（DNS 查詢）一路放行。

攻防實戰：

攻擊者利用自建的惡意權威 DNS 伺服器，將偷取的主機資料或遠端指令編碼在子網域名稱中（例如：a8f7c9e1.data.attacker-c2.com）。

獵捕手法：

長度與字元熵值（Entropy）檢驗：

分析內部 DNS 伺服器日誌，篩選子網域長度超過 30 個字元、且具備高混亂度（Base64 或 Hex 編碼特徵）的異常查詢。

TXT 記錄異常飆升：

一般環境以 A/AAAA/CNAME 為主，若特定未知名稱在短時間內爆發大量 TXT 記錄請求，通常是 C2 正在藉由 DNS 派發攻擊指令。

3. Linux 伺服器端點異常：非標準排程與隱蔽行程

攻防實戰：

攻擊者習慣在 Linux 下利用 Crontab 或 Systemd 服務維持權限（Persistence），甚至透過 Process Hollowing 偽裝成系統核心行程（如 [kworker]）。

獵捕手法：

比對 /etc/cron*、/var/spool/cron/crontabs/ 檔案的最後修改時間（mtime/ctime）與系統套件更新紀錄。

執行端點腳本檢查：

清查「具有對外 ESTABLISHED 網路連線的行程，其二進位檔案是否在磁碟上已被刪除（顯示為 (deleted)）」，這是記憶體注入後門的典型特徵。

四、標準對齊：資安長視角下的獵捕成熟度與合規

將威脅獵捕從「技術人員的個人秀」拉高至「企業資安治理」層面，對齊 CISSP 與 ISO/IEC 27001:2022 的要求：

CISSP 安全營運（Security Operations）領域：

威脅獵捕的核心價值在於大幅縮短 MTTD（平均偵測時間，Mean Time to Detect） 與 MTTC（平均控制時間，Mean Time to Contain）。在入侵者達成其最終目標（資料外洩或引爆勒索軟體）之前的漫長潛伏期（Dwell Time）中，將其及時拔除。

ISO/IEC 27001:2022 控制措施 A.8.16 監視活動（Monitoring activities）：

新規範明確指出企業不應停留在日誌收集，必須對系統行為進行異常評估與動態基線監控。威脅獵捕正是落實 A.8.16 進階要求的最佳佐證。

建立獵捕檔案庫（Hunt Playbook）：

每一次成功的獵捕行動都必須留下文件紀錄：包含觸發假說、使用之查詢語法（KQL/SPL/SQL）、過濾邏輯與誤判排除條件。讓獵捕經驗可傳承、可重複驗證，避免資安防護高度依賴單一核心人員。

五、結語：獵捕是一場持續迭代的心理戰

從網管工程師走到資安長的視角，威脅獵捕給我們最大的啟示是：資安不是一項靜態設定好的功能，而是一個不斷演進的動態對抗過程。

你比任何外部駭客都更清楚自己公司的網路拓撲、更熟悉伺服器之間的正常呼叫軌跡。當你學會戴上攻擊者的眼鏡，運用封包、連線與行程的微小異常來驗證威脅假說時，你就已經跨越了單純維運救火的被動宿命，成為 enterprise 內網中真正讓駭客忌憚的主動獵手。