TTP威胁情报驱动威胁狩猎

主要观点总结

本文主要介绍了专业网络安全厂商如何利用TTP情报狩猎APT的内容，包括TTP和IoC的定义、威胁行为体的行为模式、事件响应过程、威胁狩猎技术等方面。

关键观点总结

关键观点1: 什么是TTP和IoC

TTP（战术、技术和程序或过程）描述攻击者的行为模式；IoC（入侵指标）是观察到的可能指示潜在入侵事件的证据。

关键观点2: 事件响应和威胁情报的重要性

在发现恶意活动证据后，利用威胁情报进行事件响应，使用TTP的IoC扫描环境，识别具有特定证据碎片的系统。

关键观点3: 威胁狩猎技术

通过收集和分析特定类型的数据（如服务、进程等），识别异常值，发现潜在的恶意活动。

关键观点4: 编码和构建IoC的重要性

编码IoC以创建一个可重复、可扩展和可度量的过程，利用IoC检测威胁行为体的活动。

关键观点5: 组织在威胁狩猎中的挑战和应对策略

组织需要了解环境，确定可见性差距，提高日志能力，培训人员，并利用威胁情报进行设计狩猎流程和能力。