Membina hipotesis threat hunting daripada MITRE ATT&CK

Tukar nama teknik kepada soalan yang boleh diuji. Panduan ini membantu anda membina hunt dengan scope, telemetry dan kriteria keputusan yang jelas.

Hipotesis hunt menghubungkan teknik ATT&CK, telemetry dan keputusan berasaskan bukti. — Hipotesis hunt menghubungkan teknik ATT&CK dan telemetry untuk membuat keputusan berdasarkan bukti.

Executive Summary

Menurut MITRE, ATT&CK boleh membantu organisasi menyemak keupayaan mereka serta menentukan tool dan logging yang diperlukan. R1 Gunakan panduan ini untuk menyediakan rekod hunt yang boleh disemak oleh rakan sekerja. Nyatakan apa yang hendak dicari, aset yang terlibat, tempoh carian dan bukti yang diperlukan sebelum membuat kesimpulan.

Panduan ini mengajar anda membezakan tiga keputusan: bukti menyokong hipotesis, hipotesis tidak disokong dalam scope yang diperiksa, atau keputusan belum dapat ditentukan kerana telemetry tidak mencukupi. Kategori kerja ini ialah cadangan editorial, bukan skor rasmi MITRE. Contoh di bawah ialah latihan analisis rekaan. Artikel ini tidak melaporkan findings insiden atau keputusan ujian sebenar.

Prasyarat dan Skop

Pastikan anda mempunyai akses baca yang dibenarkan kepada log, inventori aset, maklumat pemilik sistem dan rekod perubahan operasi. Untuk contoh ini, pilih satu kumpulan endpoint Windows sebagai scope latihan. Gunakan tempoh tujuh hari. Tempoh ini hanya cadangan untuk bermula, bukan ambang rasmi atau jaminan bahawa semua tingkah laku akan kelihatan.

Lantik seorang pemilik hunt dan seorang penyemak. Catat masa mula dan tamat berserta zon waktu. Senaraikan aset yang benar-benar menghantar log dan sebab aset lain dikecualikan. Jika data belum tersedia, kecilkan scope soalan atau sediakan tugasan untuk membaiki logging terlebih dahulu. Jangan laporkan bahawa seluruh organisasi telah diperiksa jika hanya beberapa endpoint mempunyai telemetry.

Panduan ini hanya melibatkan semakan log dan pembinaan hipotesis. Gunakan data sintetik atau makmal yang mendapat kebenaran untuk sebarang semakan tambahan. Anda tidak perlu menjalankan exploit atau payload, mahupun mengubah konfigurasi sistem.

Kaedah dan Penjelasan

1. Pilih tingkah laku yang relevan

Dalam ATT&CK, tactic menerangkan tujuan sesuatu tindakan. Technique menerangkan caranya, manakala sub-technique memberikan pecahan yang lebih khusus. MITRE juga menasihatkan pengguna supaya mengutamakan teknik yang relevan, bukan cuba meliputi seluruh matriks. R1

Dalam contoh ini, MITRE memetakan PowerShell kepada T1059.001 di bawah tactic Execution pada platform Windows. Huraian teknik itu menyatakan bahawa penyerang boleh menyalahgunakan arahan dan skrip PowerShell untuk execution. R3 Gunakan pemetaan ini untuk mula membina soalan. Ia bukan alasan untuk menganggap setiap penggunaan PowerShell sebagai serangan.

Tulis hipotesis latihan seperti berikut: “Dalam kumpulan endpoint dan tempoh yang dipilih, terdapat pelancaran PowerShell daripada parent process yang tidak selaras dengan kerja biasa pengguna, tanpa penjelasan operasi yang dapat disahkan.” Jelaskan maksud “tidak selaras” menggunakan kriteria organisasi sendiri: jenis kerja pengguna, aplikasi yang diluluskan dan rekod perubahan. Pastikan penganalisis menggunakan kriteria yang sama, bukan tafsiran peribadi masing-masing.

Peta berikut membezakan maklumat daripada dokumentasi dengan konteks organisasi yang masih perlu dikumpulkan. Ini ialah peta bukti untuk hunt. Ia tidak menunjukkan hubungan antara threat actor atau urutan kempen yang disahkan.

Peta bukti hunt menghubungkan teknik T1059.001, telemetry dan konteks operasi tanpa membuat attribution kempen. — Peta bukti hunt menghubungkan teknik T1059.001, telemetry dan konteks operasi tanpa membuat *attribution* kempen.

2. Tentukan telemetry yang diperlukan untuk menjawab soalan

Menurut halaman Data Sources MITRE, kategori tersebut berstatus deprecated sejak ATT&CK v18 pada Oktober 2025. Halaman itu masih tersedia sebagai rujukan, tetapi tiada data source baharu ditambah. Dalam takrif lama, Domain Name merujuk maklumat IP yang dikaitkan dengan nama yang boleh dibaca manusia. Maklumat ini lazimnya datang daripada pendaftaran atau log aktiviti. R2 Maklumat tersebut boleh menambah konteks apabila relevan. Namun, ia tidak membuktikan secara automatik bahawa sesuatu domain berniat jahat.

Untuk rujukan detection, MITRE menerangkan Detection Strategies sebagai pendekatan umum yang mengumpulkan analytics mengikut platform. R4 Semak strategi untuk teknik yang dipilih. Kemudian padankan keperluan strategi itu dengan log yang benar-benar ada dalam organisasi.

Strategi DET0455 untuk PowerShell menyenaraikan analytic AN1252. Antara fokusnya ialah parent process yang luar biasa dan rantaian tingkah laku. Sumber lognya termasuk Sysmon EventCode 1 bagi Process Creation serta PowerShell EventCode 4103–4106 bagi Command Execution. R5

Untuk latihan ini, sediakan helaian pemetaan dengan lajur identiti host, masa, proses, parent process, pengguna dan rujukan event asal. Nama lajur ini ialah cadangan editorial. Ia bukan nama field yang sama dalam semua SIEM. Minta pemilik platform menunjukkan field sebenar yang sepadan dan satu contoh rekod untuk setiap lajur. Tandakan nilai kosong dan event yang tidak dapat dipautkan. Jangan isi maklumat yang tiada dengan tekaan.

3. Tentukan apa yang menyokong dan melemahkan hipotesis

Mulakan analisis dengan mengumpulkan rekod pelancaran yang memenuhi kriteria parent process untuk semakan. Kemudian semak konteks setiap rekod. Catat sebab rekod itu dipilih supaya penyemak boleh mengulang carian menggunakan logik yang sama. Jika penapis diubah semasa semakan, rekodkan versi dan sebab perubahan.

Untuk mencari bukti yang menyokong hipotesis, semak rekod asal yang mengesahkan hubungan proses. Tanya sama ada pemilik operasi boleh menjelaskan aktiviti tersebut. Cari juga penjelasan lain dengan membandingkannya dengan tugasan pentadbiran yang diluluskan atau rekod perubahan yang sepadan. Dalam kaedah ini, aktiviti yang tidak dapat dijelaskan memerlukan siasatan lanjut. Keadaan itu sahaja belum cukup untuk menetapkan attribution atau mengesahkan bahawa sistem telah dikompromi.

Matriks berikut mencadangkan cara memahami hasil semakan. Simpan semua butiran dalam rekod hunt supaya keputusan tidak bergantung pada warna atau label ringkas sahaja.

Matriks keputusan membezakan bukti menyokong, penjelasan operasi, tiada padanan dan telemetry tidak lengkap. — Matriks keputusan membezakan bukti yang menyokong hipotesis, penjelasan operasi, tiada padanan dan telemetry yang tidak lengkap.

Pengesahan Hasil

Semak logik menggunakan satu set kecil rekod sintetik sebelum menjalankan carian berskala besar. Ini ialah cadangan ujian; ujian ini belum dijalankan. Sediakan satu rekod yang sengaja memenuhi kriteria, satu yang mempunyai penjelasan operasi dan satu yang tiada maklumat parent process. Rekod pertama dijangka dipilih untuk semakan. Rekod kedua dijangka mempunyai penjelasan alternatif, manakala rekod terakhir dijangka menghasilkan keputusan tidak cukup bukti.

Kemudian minta penyemak memilih beberapa hasil carian dan menyemaknya dengan event asal. Pastikan identiti host, masa dan hubungan proses konsisten. Jika tool carian membuang rekod yang mempunyai field kosong, jelaskan kesannya dalam laporan. Sediakan carian berasingan untuk mengukur jurang data itu.

Jika tiada padanan ditemui, hadkan kesimpulan kepada apa yang diperiksa: “Tiada rekod memenuhi kriteria dalam aset, tempoh dan sumber log yang diperiksa.” Jangan simpulkan bahawa teknik itu tidak pernah berlaku. Sertakan jumlah aset dalam scope dan jumlah aset yang mempunyai data mencukupi. Gunakan angka daripada hasil sebenar organisasi, bukan contoh dalam artikel.

Sebelum menutup hunt, semak empat perkara berikut. Senarai semak ini membantu anda menyerahkan kerja kepada syif seterusnya tanpa menggunakan IOC rekaan sebagai pengganti bukti.

Checklist penutupan hunt: sahkan skop, semak event asal, rekod penjelasan alternatif dan tetapkan tindakan susulan. — Sebelum menutup hunt: sahkan scope, semak event asal, rekod penjelasan alternatif dan tetapkan tindakan susulan.

Batasan dan Pemulihan

MITRE menyatakan bahawa PowerShell juga boleh dijalankan melalui antara muka .NET tanpa memanggil powershell.exe secara langsung. R3 Jadi, contoh hipotesis yang hanya melihat pelancaran proses ini mempunyai batasan. Jangan anggap satu carian proses meliputi semua cara teknik tersebut digunakan.

Panduan ini tidak menyediakan query SIEM siap guna, IOC kempen atau jaminan detection. Tiada konfigurasi diubah, jadi tiada rollback sistem dilakukan. Jika pasukan mahu menambah logging selepas hunt, urus perubahan itu sebagai tugasan berasingan. Dapatkan kelulusan, simpan salinan konfigurasi asal, jalankan ujian makmal dan sediakan kaedah pemulihan yang sesuai dengan produk.

Apa Yang Security Team Malaysia Perlu Buat

Mulakan dengan satu kumpulan aset yang pemiliknya boleh dihubungi. Gunakan waktu Malaysia atau UTC secara konsisten dalam laporan supaya penyemak memahami tempoh carian. Berikan akses kepada bukti mengikut keperluan kerja. Ringkaskan maklumat sensitif sebelum berkongsi dengan pasukan lain.

Untuk penyerahan kerja, gunakan satu halaman yang menyatakan hipotesis, scope, pautan dokumentasi, sumber log, logik pemilihan, keputusan dan tindakan susulan. Bezakan kerja membaiki telemetry daripada eskalasi insiden. Tetapkan pemilik dan tarikh semakan semula, terutama jika keputusan belum dapat ditentukan. Sebagai ukuran kejayaan, lihat sama ada keputusan boleh dijelaskan dan diulang. Jangan ukur kejayaan berdasarkan bilangan teknik yang ditandakan selesai.

References

Semua halaman berikut dibaca pada 29 September 2026. Tarikh akses ini merujuk kepada semakan dokumentasi, bukan tarikh insiden.