主动威胁捕获的最佳实践和流行工具未来，主动威胁捕获技术应运而生，并逐渐成为现代企业网络安全防护计划的重要组成部分。主动威胁搜索不同于当今企业常见的SOC、IDS、渗透测试、安全扫描等安全防护方案。安全分析师使用各种威胁分析工具、威胁情报和实践经验来排查和发现可疑攻击。痕迹。ActiveThreatHunting是一种更主动的下一代安全防护策略，可帮助安全人员通过主动寻找和调查网络中的任何可疑行为，先于网络攻击者采取行动。主动威胁搜寻的最佳实践组织将从有效实施主动威胁搜寻中受益匪浅。以下是主动威胁搜寻的六个最佳实践，可以帮助组织更好地实施主动威胁搜寻。1.全面了解企业的??数字化环境要想及时发现网络中的威胁，一个基本要求就是了解网络正常时的样子。只有非常熟悉网络运行的安全分析师才能充分获取这些信息。例如，如果企业对不同时间进入网络的流量有很好的了解，就可以准确地识别流量异常并进一步调查，这很可能发现威胁。安全分析师还需要了解各种网络流量的来源和IP地址。如果突然发现来源不明的流量，应及时核实来源的真实性和安全性。2、紧跟攻击技术发展趋势当今的网络攻击者不会孤军奋战。他们会经常利用暗网平台互相交流和讨论最新的攻击技术，不断设计新的方法来进行网络攻击。对于安全维护者来说，如果能够获得攻击者的第一手信息，对于防范新型攻击将有很大的帮助。安全分析师需要寻找机会与这些黑客打交道，这样他们才有机会了解他们的方法并利用这些信息来加强防御。3、站在攻击者的角度思考企业网络内部的安全人员往往看不到外部黑客能看到的东西，尤其是网络系统的漏洞和不足。从攻击者的角度思考可以更快地了解您组织的网络防御中的漏洞。企业要想有效开展威胁搜寻活动，就需要定期进行网络攻击演练，梳理企业IT资产，发现漏洞和攻击路径，从而更好地发现和应对风险。以实战为导向的攻防演练，可以帮助企业积累宝贵的攻击技能。它的作用不仅在于主动发现安全问题，更在于帮助系统开发人员深入了解计算机系统。4.获得全面的可见性可见性是指对企业内部全网流量及其覆盖范围进行采集、监控、分析，发现恶意访问、影子资产、异常流量。对于网络安全人员来说，网络可见性是安全防护的前提，因为他们无法保护他们不知道的东西。这通常意味着了解所有设备、用户和应用程序的行为和活动，包括它们之间发生的交互。部署和应用有效的网络监控工具，可以全面洞察网络中的各种活动，还可以提供反映系统安全运行情况的实时报告。5.利用新一代人工智能工具如今，网络犯罪分子正积极利用机器学习和人工智能等新技术来更深入地了解攻击目标的行为，并发起更精准的攻击。因此，组织必须利用相同的技术进行安全保护和威胁检测，以领先网络犯罪分子一步。基于AI的工具可以自动检查大量数据，快速识别异常并从错误中吸取教训。通过有效部署人工智能和机器学习工具，企业可以优化现有的威胁搜寻策略，提高主动威胁搜寻能力。6.始终保持警惕主动威胁搜寻不是一次性的活动。网络犯罪分子一直在寻找网络漏洞，因此企业威胁猎手必须保持警惕，以发现并抓住它们。网络攻击者采用不同的策略来避免被发现。网络威胁分析师必须对所有活动保持警惕，注意细节以识别可疑或恶意攻击向量，任何可能被忽视的小细节都可能导致对企业的严重网络安全攻击。5顶级威胁搜寻工具如今，市场上有一些流行的工具可以帮助组织主动搜寻威胁。这些工具提供了自动化功能，可以减少安全人员的人工操作，用户只需正确配置即可快速使用。1.PhishingCatcher攻击者使用网络钓鱼方法诱使毫无戒心的受害者泄露敏感信息。这是一种常见的攻击，黑客将他们的虚假网站、电子邮件和短信伪装成合法的。PhishingCatcher是一种反网络钓鱼威胁搜寻工具，它使用标记语言(YAML)配置文件近乎实时地标记使用恶意传输层安全(TLS)证书的域，该文件将数字分配给TLS证书域名中的字符串。传送门：https://github.com/x0rz/phishing_catcher2，Cyber??ChefCyber??Chef是一款可靠的安全威胁搜寻软件，可用于数据编码、解码、加密、解密和格式化。通过Web应用程序部署，用户友好的工具可以处理Base64或XOR等基本编码，以及高级加密标准(AES)和数据加密标准(DES)等复杂编码。传送门：https://gchq.github.io/Cyber??Chef/3、DNSTwistDNSTwist主要监测试图访问网络域名的可疑行为的细节，以识别恶意活动或网络攻击。其算法可以检测异常，例如域名欺骗、品牌假冒和网络钓鱼攻击。一旦用户输入一个域来访问系统，它就会创建一个可能的域变化观察列表，并检查列表中是否有任何相关域处于活动状态。传送门：http://dnstwist.it/4、YARAYARA是一款恶意软件威胁搜索工具，可以对各种恶意软件家族进行分类。用户只需编写一组字符串就可以使用它来执行指定的功能。YARA可以兼容多种操作系统。它还提供了一个Python扩展，允许用户创建自定义Python脚本。传送门：https://github.com/VirusTotal/yara5，AttackerKBAttackerKB是一款威胁搜索工具，可用于检测系统中各类安全漏洞，并根据其生成的数据构建主动安全防御体系。AttackerKB的主要功能包括漏洞利用、技术分析和防御建议。用户可以根据漏洞的影响程度来确定漏洞修复的优先级，以达到最大的效果。传送门：https://attackerkb.com/参考链接：https://www.makeuseof.com/best-threat-hunting-practices-and-tools/
