主動狩獵進階威脅

在數位轉型的浪潮下，資安威脅已如影隨形。想像一下——攻擊者正悄無聲息地潛入你的網路，利用合法工具繞過端點偵測與回應平台（endpoint detection and response, EDR），植入隱藏後門。根據 BISI 的全球進階持續性威脅（advanced persistent threat, APT）趨勢調查，從 2022 年至今，APT 的發生頻率和複雜性都在增加，超過一半以上的 APT 攻擊活動集中於亞太地區，影響遍及資訊科技產業、政府機關、基礎建設等。這些僅是冰山一角，更多潛藏在海平面下的攻擊未被偵測，並不代表企業或組織未被入侵。 讓我們一起探索，如何在有限資源下，縮短防禦週期，實現「速度 × 深度 × 覆蓋範圍」的資源有效配置。 隱匿的攻擊者：防禦者的「視野盲區」 現今資安攻擊已進入「偽裝」時代。APT 組織會巧妙地利用 Windows 內建工具、系統服務，甚至合法的第三方應用程式惡意操作，藉此繞過資安解決方案的偵測。 APT 的常見偽裝手法 ，例如： 偽裝成合法活動 ：偽裝成合法工具或作業系統自帶功能，以繞過 EDR/Anti-Virus 資安防禦軟體之偵測 停用監控點 ：停用 Windows 監控和掃描功能，以繞過 EDR 偵測 最小化痕跡 ：隱匿式後門僅在特定連線序列下才會啟動，平時通常不會被偵測到 與此同時，企業的 IT 基礎架構也愈趨分散。雲端服務、外包廠商、子公司、遠端工作等環境交錯，使得防禦者在 可視化 上面臨巨大落差。任何一個未被監控或未回報的終端設備，都可能潛藏著威脅，讓防禦者視野日漸模糊。 更多繞過 EDR 防禦的攻擊手法與預防方式，請見文章分析： 繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？ 資源有限下的三角困境：速度、深度、覆蓋範圍 第一線資安人員普遍面臨資源有限的挑戰，常必須在「速度、深度、覆蓋範圍」三者間取捨，但這三者在實務上難以並存 。 ThreatSonar 的核心理念，便是在有限資源下，透過 「一次篩選 → 重點深入 → 精準處理」 的模式，快速縮小未知的威脅範圍 ，將調查從「數千台設備」聚焦在「數台關鍵設備」，其防禦策略的概念就如同「先進行整體健康檢查，再配合進一步診斷」。 ThreatSonar 的雙軸防禦策略：「緊急情況」與「日常運作」 ThreatSonar 的兩種關鍵應用情境，建構完整的防禦策略： 1. 緊急情況期間：快速篩檢（Rapid Screening） 當發生疑似入侵或異常事件時，掌握應變時間就是一切 。 快速鎖定 ：ThreatSonar 能在 約一小時內 完成端點掃描，從數千台設備中找出關鍵可疑設備 。 深度鑑識 ：針對被鎖定的受駭設備，進行深度鑑識分析。 這套機制不僅大幅縮短了調查週期，也避免大量誤判和重複分析的時間。 2. 日常運作期間：定期健診（Compromise Assessment, CA） 在平時，ThreatSonar 透過定期掃描、監控運行狀態的差異，掌握環境安全。 建立基準線 ：初期建立環境的正常基準（baseline）。 週期性掃描 ：透過每月或每季掃描，比對新出現的異常變化，例如未知程序與連線、持續性機制（如自動啟動、WMI 事件），以及 DNS 紀錄與執行歷史等 。 透過定期掃描，能讓企業提早發現潛伏的可疑行為，有效防止威脅擴大。 更多 ThreatSonar 功能介紹 ThreatSonar 的四大核心優勢 ThreatSonar 不僅是一個掃描工具，更是結合 威脅情資的威脅鑑識分析平台 ： 專精 APT 偵測 ：內建 YARA 規則庫，整合了數千種 APT 後門特徵，並能匯入外部入侵指標（IoC）、STIX 格式的情資，可有效挖掘繞過端點偵測與回應（EDR）偵測的潛伏威脅。 輕量部署 ：支援 Windows、Linux、macOS 等作業系統，輕量安裝，下載約 5MB 的可執行檔就能立即部署，無需安裝驅動程式或更改系統設定。有益於快速大規模部署，迅速為企業增強防禦能量。 全方位可視化與威脅分級 ：從檔案、記憶體、網路連線到事件紀錄進行橫向分析。並以 Level 0–5 呈現威脅風險等級，協助管理者掌握威脅應對優先順序 。 記憶體鑑識與行為追溯 ：ThreatSonar 能分析記憶體、受駭路徑，並透過時間軸追蹤，挖掘攻擊事件的根因，完整重建攻擊事件過程。 更多 ThreatSonar 功能介紹 真實案例：ThreatSonar 的即戰力 ThreatSonar 在實戰中展現顯著效益： 案例一：大型企業的全域健診 某大型企業導入 ThreatSonar 對 1 萬台端點進行全面掃描。在兩週內，成功發現偽裝成文件的 APT 攻擊樣本和 2,268 個惡意檔案（與 Ruby 相關）。透過自動化分析與威脅風險分級，企業得以迅速確認受駭路徑，並建立長期的週期性評估機制 。 案例二：製造業的全球資安事件快速應變 一家擁有 5 萬名員工的製造業集團，透過 ThreatSonar 加速全球事件應變流程。在導入 ThreatSonar 之前，分析作業需要 200 小時；在導入後，僅需 40 小時即可完成。藉由 ThreatSonar，幾天內即完成初步鑑識報告，海外據點的決策流程更得以加快五倍以上，整體應變效率顯著提升。 更多 ThreatSonar 功能介紹 結語：情資驅動的資安未來 ThreatSonar 讓威脅防禦從被動「防守」轉為主動「診斷」。它不僅幫助企業縮短「發現」到「反應」的時間（平均偵測時間 MTTD / 平均復原時間 MTTR），更透過建立基準監控模型，定期檢測，讓資安防禦無論是在「日常營運」或是「事件應變」情境，皆能精準處理。 在資源有限、威脅無限的時代，TeamT5 解決方案貫徹「情資驅動」的資安思維——以威脅情資為基礎，以洞察為核心，快速有效主動防禦威脅。

當今企業持續面臨日漸複雜的資安威脅；為了應對這些挑戰，威脅狩獵是不可或缺的策略。 企業與專業的威脅狩獵團隊合作，採用基於最新威脅情資的威脅狩獵工具，協助企業採取主動積極的防禦措施，強化企業的資安韌性，確保業務營運不中斷。 1. 主動尋找潛在威脅 威脅狩獵有別於被動的資安防禦方式，不僅僅是依賴已知的攻擊模式，主動獵捕未知的威脅。透過主動威脅獵捕，企業能夠在攻擊發生前採取預防措施，大幅提升防禦能力。 2. 降低攻擊者的滯留時間 一個成功的攻擊往往取決於攻擊者在企業網路中的滯留時間。威脅狩獵可大幅縮減攻擊者影響企業網路的時長，減少損害的可能性，提高整體的安全性。 3. 提高資安事件應變效率 資安事件發生後的迅速應變至關重要。威脅狩獵透過提供更全面、即時的威脅情資，增強企業的事件應對效率。資安專業人員能夠更快速地識別攻擊的來源和方法，採取適當的措施，降低損害並快速恢復正常運作。 4. 適應不斷變化的威脅環境 威脅狩獵奠基於最新的資安情資，使企業能夠更靈活地調整其資安策略以應對新興的威脅。這種適應性使企業能夠更好地應對不斷演變的威脅環境，確保其資安措施和策略不會過時，強化企業整體的資安韌性。 結論 威脅狩獵的好處不僅是協助企業應變發現威脅，更可提高企業適應持續演變的資安挑戰。這種主動性、即時性和適應性使得威脅狩獵成為強化企業資安韌性的不可或缺的一環，有助於保護企業免受新興的資安威脅。 杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。 我們研發的威脅狩獵工具 ThreatSonar 已獲許多大型企業、金融產業及資安代管服務廠商（MSSP）採用。 如果您是企業，請立即連絡我們，透過產品展示 Demo，徹底掌握威脅狩獵帶來的絕佳防禦效益。 如果您是資安代管服務廠商，請即刻聯絡我們，共同討論如何為終端客戶強化資安韌性，並且創造商機。 /tw/contact

TeamT5 杜浦數位安全專注資安威脅情資分析與端點防護解決方案，並成立威脅偵測應變代管服務 (MDR) 團隊，協助國內外客戶狩獵資安威脅，即時防禦可疑的資安事件。 本次部落格綜合近期威脅狩獵案例，與讀者分享 TeamT5 實際如何進行威脅狩獵，給予使用類似資訊系統配置的企業，做為參考。 事件開端 TeamT5 威脅偵測應變代管服務 (MDR) 團隊同仁於2023年4月中旬，發現客戶端部署 TeamT5 解決方案 ThreatSonar Anti-ransomware (下簡稱ThreatSonar)之設備，跳出勒索事件阻擋告警；團隊同仁即於第一時間通報客戶，客戶表示此端點為伺服器區的資料庫主機。 事件通報內容 本次事件由 ThreatSonar 雲端平台版本偵測到，標記為高風險事件。TeamT5 團隊隨即通報客戶，內容包含有以下資訊： 端點HOSTNAME：WEB-DB 端點IP：172.16.x.x 觸發條件：Ransomware 惡意程式路徑：C:\XXX\example.exe 分析結果：端點遭執行勒索軟體，因觸發ThreatSonar勒索防護規則遭攔截 處置建議： 透過 ThreatSonar 對端點進行隔離，避免攻擊者進行橫向移動，減低受害範圍。 進行資安事件調查程序(Incident Response, IR)。 事件調查 通報完成後，TeamT5 團隊 – 威脅偵測應變代管服務團隊與資安事件調查團隊 – 共同協助客戶進行根因調查，詳細檢視 ThreatSonar 雲端平台上相關主機的報告及客戶端主動提供之 log 檔案。 事件結果 在這次的勒索事件中，ThreatSonar 的掃描報告顯示，除勒索軟體本身之外，並未有其他惡意程式或是木馬軟體存在，因此增加調查的困難度。隨後查閱 eventlog 發現有異常的登入紀錄 (EventID 4625)，便與管理者確認來源為對外服務之網頁應用程式主機。 可疑來源主機於 ThreatSonar 並無監控記錄，管理者表示這台主機主要負責對外廠商提供網頁服務，並未安裝 ThreatSonar Agent。TeamT5 團隊認為這台主機極有可能是攻擊者所使用之跳板，當下請管理者對該主機進行實體隔離，並使用 ThreatSonar 離線掃描工具進行檢測。 TeamT5 團隊在取得報告之後發現該主機上含有 Webshell 惡意程式和開源內網穿透工具FRP，攻擊者可以透過此 Webshell 對內網進行攻擊(如：遠端指令、竊取帳密、提權、內網探測等行為)。 TeamT5 團隊在分析相關 log 後確認攻擊者利用客戶網頁之上傳功能漏洞，於數個月前便對客戶網站進行掃描，並於年初上傳了 Webshell 惡意程式，進行後續一連串的探測和攻擊行為。 本次事件攻擊路徑與時間軸 事件後續改善做法 TeamT5 團隊在調查完成之後，對客戶提出以下建議： 針對遭勒索攻擊之主機，建議還原取回重要檔案後重建。 相關遭利用之主機，建議清除惡意程式和駭客工具。 盤點網頁服務中的上傳功能，對前後端進行上傳檔案限制(檔案類型、附檔名、大小)，對於上傳的檔案利用沙箱或是檔案清洗方案進行檢測，並加強具有上傳功能頁面之權限控管。 盤點場域內未控管主機，安裝並持續使用 ThreatSonar 監控。 對 Webshell 及 FRP 調查中所取得之 Command & Control (C2)位置，於防火牆進行封鎖和關聯，確認是否有其他受害主機。 內網劃分區隔，各網段間流量要通過防火牆控管及監控。 重設高權限使用者密碼。 TeamT5 威脅偵測應變代管服務 (MDR) 團隊呼籲 針對近期攻擊行為，我們建議企業採取以下做法，增強資安韌性，防禦可能的攻擊： 採用VPN帳號啟用雙因子驗證 (Two-Factor Authentication, 2FA)。 加強網頁上傳功能的前後端驗證機制。 除重要主機資料定期備份外，勒索軟體第一步會刪除 Windows 還原點，需要對還原點進行保護措施。 TeamT5 杜浦數位安全提供威脅偵測應變代管服務 (Managed Detection and Response, MDR)，由擅長防禦的專家團隊與企業一同應變，防禦多元的惡意程式入侵；由經驗豐富的專家團隊與企業攜手，防禦持續演進的攻擊手法。 立刻聯絡我們，展開資安防禦第一步: /tw/contact