為什麼威脅狩獵應該屬於開發團隊，而不僅僅是安全團隊？
大多數開發團隊仍然依賴安全營運中心 (SOC) 警報和外部安全工具來發現威脅。但威脅偵測技術不斷發展，威脅搜尋不再只是安全分析師的職責。網路威脅搜尋正逐漸成為開發人員必須掌握並融入自身工作流程的技能。
為什麼？因為威脅行為者越來越多地利用 DevOps 技術堆疊。 受損包裹、失控的自動化程序，以及 濫用代幣而且，這些訊號很少會觸發傳統的安全警報。威脅獵手越早發現這些問題，團隊就能越快阻止真正的安全事件發生。
真正的差距體現在：
- CI/CD 靜默運行未知二進位檔案的作業
- 被替換的依賴項 pull requests
- 在可疑部門中使用的環境秘密
這些並非安全團隊的問題，而是開發人員面臨的現實。因此，威脅搜尋必須從程式碼內部開始。 pipeline以及開發環境。具備網路威脅獵捕思維的開發人員會成為團隊中首屈一指的威脅獵捕者。
⚠️警告：此步驟會執行來自外部網域的 shell 腳本，且未經驗證。這會帶來重大風險。
這不會觸發傳統的安全規則。但威脅獵手會發現異常：為什麼外部有效載荷會在持續整合 (CI) 中執行？它來自哪裡？ 捲曲 命令來自哪裡？ 這種關注意外情況的思維方式至關重要。在程式碼中進行網路威脅狩獵意味著要以批判的眼光審視日誌、差異和行為。
在內部應用網路威脅狩獵 CI/CD 和容器
開發人員可以直接在內部採用網路威脅搜尋技術。 CI/CD 以及容器化工作流程。這些環境極易受到攻擊，攻擊者正是利用了開發人員疏於監管這一點。
開發人員的實用威脅狩獵技巧：
- 令牌濫用偵測：稽核日誌，以尋找在意外作業中或未經授權的使用者所使用的金鑰。
- 意外的進程執行追蹤運行類似命令的作業 打壞, wget的, 捲曲, CHMOD， 或者 nc尤其是來自未知來源的。
- 依賴 篡改將建置時依賴項與預先核准的雜湊值進行比較。比較鎖定檔案和供應商資料夾的差異。
🇧🇷警告： 以下命令不應在正常建置任務期間出現。如果出現，請立即進行調查。
🇧🇷警告： 這種 JSON 日誌中的異常行為可能表示存在未經授權的操作或腳本注入。
威脅獵手會調查引入此命令的原因，並將其追溯到特定目標。 commit 或腳本。這是典型的網路威脅狩獵行為，即在濫用行為演變為攻擊之前就將其偵測出來。
將其融入DevSecOps實踐
目標不是手動審查每個日誌或 commit目標是將威脅狩獵邏輯直接嵌入到您的系統中。 DevSecOps 工作流程.
如何開展威脅狩獵：
- 結構化日誌記錄捕獲命令執行、腳本更改和意外的網路呼叫。
- Pipeline 異常檢測：對偏離情況發出警報 pipeline 基線，例如新的二進位檔案、修改後的金鑰或新的第三方呼叫。
- 可疑行為驗證：對新的依賴項或敏感的作業變更新增健全性檢查或核准門。
你可以把它想像成向左移動，但要抱著威脅獵手的心態。 良好做法： 使用靜態偵測儘早標記風險指令。
簡單的模式匹配可以及早發現異常情況，並支援網路威脅搜尋，而不會增加建置延遲。
使用 Xygeni 在程式碼和網路層面擴展威脅狩獵規模 Pipelines
手動威脅狩獵雖然有效，但無法擴展。這就是… Xygeni 進來。 Xygeni 使開發者能夠：
- 追蹤意外的進程執行 CI/CD pipelines
- 檢測可疑的令牌使用或修改依賴項
- 識別儲存庫和容器中的網路威脅狩獵訊號
- 建立基準以即時發現新的行為和威脅
- 利用自動化上下文訊息，讓每位開發者都能扮演威脅獵手的角色。
與傳統工具不同，Xygeni 可以治療您的 pipelines 和程式碼就像攻擊者的一等目標，使開發人員能夠從源頭追蹤威脅。
從開發者到威脅獵人：您在網路威脅狩獵中的角色
威脅狩獵並非安全營運中心 (SOC) 的專屬職責，而是每位提交代碼、配置系統的開發人員的職責。 pipeline或合併依賴項。 要像威脅獵手一樣思考，你需要：
- 追蹤那些指向妥協的微弱訊號
- 在您自己的環境中尋找：CI 作業、容器日誌、 commit 差異
- 將檢測邏輯融入工作流程，而不是事後才考慮。
透過 Xygeni 等工具，您可以擴大團隊的網路威脅搜尋規模。 pipeline以及依賴關係。
像攻擊者一樣思考，像開發者一樣狩獵。
