企业威胁狩猎（threat hunting）过去常被认为是一场“人才竞争”：只要队伍足够专业、技能足够齐全，就更容易把隐藏的攻击线索揪出来。但SANS Institute最新调查显示，这套逻辑正在被改写——困扰威胁狩猎团队的最大难题，正在从“缺人”转向“数据”。
在SANS于9月23日发布的调查报告中，受访者给出了一个非常直观的排序：有50%的受访者表示，“数据质量或数据数量不足”是影响威胁狩猎成效的首要障碍；而“缺乏具备相关技能的人员”占比为45%，退居第二。第三名则是“预算限制”，占比42%。也就是说，很多团队并非不会做，而是手里能用的数据不够好、不够全，导致即使能力再强也难以把威胁找出来。
SANS首席讲师Josh Lemon进一步强调了关键点：威胁狩猎的效果高度依赖可用的遙测与数据条件。若遥测资料不完整、彼此不一致，或散落在多套难以访问与处理的工具中，侦测视野就会被切碎，最终无法形成有效的调查链路。
除“数据问题”外，调查还点出三项趋势值得关注。第一，云基础设施被认为是最难开展威胁狩猎的环境，其比例高于其他领域。第二，企业评估威胁狩猎成效的能力出现下滑迹象。第三，采用正式方法论的组织持续减少：只有37%的组织拥有明确的威胁狩猎方法论，反而“临时性做法”的比例回升到39%。
与此同时，AI在企业威胁狩猎中的落地也更趋务实。39%的受访者把“导入AI或机器学习”列为未来主要改进方向，低于上一年度48%。这反映出一线团队正在把AI当作工具引擎放进流程里做真实验证，而不是寄望AI能自动替代数据缺口与工作方法。对企业而言，下一步的重点或许不是继续“堆人”，而是先把数据盘活：让资料可用、可协同、可分析，才能真正把狩猎能力转化为战果。
