首页 › glossary › 什么是威胁狩猎？不等报警主动搜贼

威胁狩猎，说白了就是安全团队不等警报响，主动到自己网络里翻日志、查流量、盯终端，把那些已经溜进来、却躲过了防火墙和杀毒软件的潜伏黑客揪出来。就像小区保安不能只坐在监控室里等报警，还得定期打着手电去楼道、天台、地下室巡查——因为最危险的贼，恰恰是那种没触发任何警报、已经在你家住了半个月的贼。

为什么现在值得了解？因为AI正在把网络攻击变得又便宜又快，攻击者潜入后到被发现，平均仍需要以月计的时间（IBM年度泄露报告统计过，识别并控制一次泄露平均要两三百天）。等数据上了新闻才发现被黑，黄花菜都凉了。威胁狩猎，就是防守方从“等挨打”转向“先出手”的那一步。

目录

  1. 威胁狩猎是什么？
  2. 为什么最近这么火？
  3. 一张图看懂：报警与狩猎的区别
  4. 和我有什么关系？
  5. 一分钟总结
  6. 延伸阅读 & 参考来源

一、威胁狩猎是什么？

先看一个小区的比喻，你就明白安全行业里“防守三兄弟”的分工了：

它解决的是一个自动化防线永远解决不了的问题：规则只能抓已知的坏人。新型攻击（零日漏洞，指厂商还没来得及打补丁的新漏洞）、定制化攻击，以及最阴的一种——黑客偷了合法账号密码，用“正常员工”的身份在网络里溜达，全程不触发任何规则。对这种敌人，警报永远是沉默的。

威胁狩猎的基本打法叫“假设驱动”：先提出一个假设，比如“如果黑客进来了，他可能会先偷一个管理员账号，再从这台服务器跳到那台服务器”，然后去数据里验证这个假设。没搜到？换个假设接着搜。听起来像大海捞针，但猎人有三样装备：

  1. IOC（失陷指标）：可以理解为坏人的“脚印”——恶意IP地址、恶意文件的指纹（哈希值）、可疑域名。全世界的安全厂商会共享这些脚印。
  2. MITRE ATT&CK框架：一本“坏人招式图鉴”，把黑客从踩点、进门、提权、横向移动到偷数据搬家的每一步战术、技术都编了号。猎人按图索骥：假设贼会用第几招，就去搜这一招的痕迹。
  3. 日志仓库（SIEM）和终端探针（EDR）：相当于小区的档案库——每台电脑、每次网络连接的“监控录像”都在里面。没有这堆数据，再厉害的猎人也是巧妇难为无米之炊。

二、为什么最近这么火？

第一，AI把攻击的门槛打下来了。 生成式AI让钓鱼邮件不再错字连篇、让勒索软件的变种一夜三换、让深度伪造诈骗电话能模仿你老板的声音。CrowdStrike发布的《2025全球威胁报告》给过一个惊人数字：黑客从攻陷一台机器到在网络里“横向移动”的所谓突破时间，平均只要62分钟，最快纪录46分钟。攻击快了，防守方“被动等警报”的玩法就跟不上了。

第二，攻击越来越“安静”。 现在高级攻击者流行“借刀杀人”：用你自己的合法管理工具作案（业内叫LOTL，意思是“住在当地、就地取材”），不留恶意文件、不装新软件，传统杀毒软件的文件扫描直接抓瞎。对付这种“用正规手续办坏事”的贼，只能靠人（和AI）去看行为逻辑——这正是狩猎的活儿。

第三，数据地基终于打好了。 这几年EDR（装在每台电脑上的“行车记录仪”）和SIEM（全网日志集中仓库）已经普及，企业手里第一次攒下了足够多的数据；再加上大语言模型帮着写查询语句、翻海量日志，威胁狩猎从只有大厂玩得起的“奢侈品”，变成了中小企业通过MDR（托管检测响应，就是花钱请外面的猎人队）也能享受的服务。Gartner多次把“安全服务”列为网络安全支出中增长最快的板块之一，背后主要推手就是这类需求。

第四，合规在背后催。 国内的关键信息基础设施保护条例、等级保护2.0，都对“主动监测、及时处置”提了硬要求；美国证监会（SEC）更是规定重大网络安全事件必须在4个交易日内披露。监管的潜台词很明白：被黑不可耻，被黑了几个月自己还不知道才可耻。这逼着企业把预算从“买门锁”挪一部分到“养猎人”。

三、一张图看懂：报警与狩猎的区别

flowchart TD
    A[黑客溜进网络] --> B{能不能触发警报}
    B -->|中招报警| C[自动化防线拦截]
    B -->|悄无声息| D[长期潜伏偷数据]
    C --> E[狩猎队回访现场<br/>查有没有漏网之鱼]
    D --> F[狩猎队主动巡查]
    E --> G[提出假设<br/>贼会怎么走]
    F --> G
    G --> H[翻档案库<br/>日志 流量 终端记录]
    H --> I{搜到可疑痕迹吗}
    I -->|搜到了| J[揪出潜伏者<br/>封堵加固]
    I -->|没搜到| K[修正假设再搜]
    K --> G
    J --> L[总结成新规则<br/>喂给自动化防线]
    C --> L

看懂这张图的关键在右半边：猎人搜完之后并不是“抓到就完事”，而是把每次抓贼的经验沉淀成新规则，喂回给防火墙和杀毒软件。所以威胁狩猎和自动化防线不是替代关系，而是“教拳师傅”和“打卡保安”的关系——保安每天自动值勤，师傅每月把新学到的招式教给他，整个防守体系才越打越强。这也是为什么狩猎永远是一个“假设→搜索→验证→沉淀”的循环，而不是一锤子买卖。

四、和我有什么关系？

如果你是普通人：你的银行卡号、身份信息、聊天记录，都存在某个企业或运营商的网络里。他们猎人的水平，决定了你的数据被偷后是三天被兜出来、还是三年后随其他五十万条一起出现在黑市。这也解释了一类新闻——为什么有些泄露事件是“媒体报道了企业才承认”。作为个人，你同样适用这个思路：别以为装了杀毒软件就万事大吉，定期翻翻账单、给重要账号开两步验证，就是你的“个人威胁狩猎”。

如果你是从业者：威胁狩猎是安全行业里少见的“高增长、门槛友好”赛道——它不像漏洞挖掘那样要求你精通二进制逆向，更看重日志分析、数据查询（SQL、KQL这类查询语言）、对ATT&CK框架的理解和一点点侦探式的好奇心。入门路径也清晰：学一个SIEM/EDR工具（Splunk、Elastic、微软Sentinel都行），刷ATT&CK招式图鉴，再让AI帮你补代码短板。通信行业的同学注意：运营商的云网安全、5G核心网安全运营中心，正是威胁狩猎需求快速起量的地方——网络越大、越关键，越养得起猎人。

如果你是投资者：关注三个方向的交集——MDR托管检测服务（把猎人能力做成订阅制生意）、XDR平台（把各处数据打通喂给猎人的“档案库+猎枪”一体化产品）、威胁情报（卖“脚印数据库”的生意）。这个赛道的特点是续费率高、受经济周期影响小——毕竟坏人不会因为经济下行就放假。

五、一分钟总结

  1. 威胁狩猎是安全团队不等警报、主动潜入自己的网络搜索潜伏攻击者的做法。
  2. 它补的是自动化防线的天然短板：新型、定制化、用合法账号伪装、不触发任何规则的攻击。
  3. 标准打法是“提出假设→翻数据→验证→沉淀规则”的循环，MITRE ATT&CK是这套打法的地图。
  4. 最近火，是因为AI让攻击更快更便宜、EDR/SIEM攒足了数据、监管又在逼企业“主动发现”。
  5. 对普通人它是数据安全的垫子，对从业者它是友好赛道，对企业它是从“等挨打”到“先出手”的思维升级。

延伸阅读

参考来源

  1. Wikipedia: Threat hunting — 威胁狩猎的定义、假设驱动方法与成熟度模型综述
  2. MITRE ATT&CK官方框架 — 黑客战术与技术分类图鉴，狩猎工作的标准参照系
  3. CrowdStrike: What is Threat Hunting — 厂商视角的狩猎流程与《2025全球威胁报告》突破时间数据
  4. IBM数据泄露成本报告 — 泄露事件从发生到被识别的平均时长统计

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。

51学通信知识星球海报-扫码加入

📎 本分类最新文章