终端数据挖掘与威胁狩猎
本文资料整理自《Provenance Mining：终端溯源数据挖掘与威胁狩猎》一文，仅作学习与分享，如有侵权请告知，谢谢！
回顾
什么是威胁狩猎？
威胁狩猎（Threat Hunting, TH），通俗地讲，就是以系统会被攻破为假设，进行的一系列数据调查，进而能够识别隐蔽的未知威胁，从而对事件进行溯源和场景重建。最终强化规则、全面地提高安全防护knowledge的过程。
Fig. 威胁狩猎典型范式[1]
这么看似乎和渗透测试一样，也是通过模拟入侵的方式，进而XXXX。但是我们也需要先仔细地了解渗透测试：渗透测试除了定位漏洞外，还需要进一步尝试对漏洞进行攻击利用、提权以及维持对目标系统的控制权。
这样看的话，我们可以总结：
| 评估方法 | 以什么为驱动 | 以什么为假设 | 以什么为目的 |
|---|---|---|---|
| 威胁狩猎 | 数据 | 系统整体会被攻陷（侧重于数据系统、应用系统本身） | 强化系统整体安全规则和安全知识 |
| 渗透测试 | 目标 | 系统某一些部分会被入侵（更全面，包括人员部分） | 强化系统整体，加固系统某些具体部分 |
溯源数据（Provenance）
面向高级威胁分析场景终端大数据分析，如EDR、集成终端数据的分析平台等应运而生。
溯源数据（Provenance）是终端侧数据的关键组成，当前操作系统（如Linux、Windows等）已具备高线溯源数采集的能力。有效的溯源数据挖掘方法，能够支撑威胁狩猎的多种任务场景。
如下图所示，Provenance能够忠实记录终端上实体的行为逻辑依赖关系，自然形成溯源数据图（Provenance Graph，简称溯源图）。所记录的实体，包括文件（菱形）、网络（椭圆）、进程（矩形）等维度；根据实体对的类型，实体间关系又包括文件读写、进程创建、网络连接等等。在溯源数据完整有效采集的情况下，通过溯源图的后向追溯（backward-trace）和前向追溯（forward-trace），能够有效弥补网络侧的数据盲点，实现攻击事件的溯源与取证。
Fig. 溯源数据图
思考
-
这里的溯源与传统的应急响应溯源区别在哪里？
-
一般来说，威胁情报建设，这块的工作常常是在甲方发生，但是现在也有越来越多的甲方在做这一块的事情。
- 在企业的业务场景下，需要处理数据量是非常大的，传统的应急响应工作，大多需要人工进行分析。对于威胁情报这块的工作，始终明确一点：以数据为驱动。对这一块的研究，其实最终的目的就是实现一个自动化的过程。
- 相同点是：都针对攻击事件，进行一个完整的入侵手法复原与取证
Reference
[1] Provenance Mining：终端溯源数据挖掘与威胁狩猎，https://mp.weixin.qq.com/s/Te7c3HvCcxX3ci9HTn8lEQ