程序鏈
WINWORD.EXE
由電郵附件開啟的文件
cmd.exe
由 Office 程序啟動
powershell.exe -enc …
編碼指令、隱藏視窗
vssadmin delete shadows
針對還原副本
為何被標記
高一份 Office 文件啟動了一個隱藏、經編碼的 PowerShell 指令，該指令其後嘗試刪除陰影副本。這些步驟合起來符合常見的勒索軟件準備手法。
看行為，不看特徵碼
判斷一連串動作
淺白的原因說明
每項發現都會自我解釋
ATT&CK 背景資料
發現引用已知技術
問題
為何單靠特徵碼防護已不再足夠
新威脅仍未有特徵碼
勒索軟件及惡意軟件不斷重新包裝，已知檔案資料庫永遠慢一步。
無論檔案如何偽裝，行為分析都會標記攻擊必須進行的動作。
攻擊者利用你自己的工具
PowerShell、命令列及系統工具預設受信任，被濫用時能避過檔案檢查。
即使工具本身可信，AIShieldNet 亦能分辨正常使用與濫用。
黑盒判斷拖慢所有人
當產品說不出為何發出警示，分析師只能人手重組事件經過。
每項發現都附有淺白原因說明及 ATT&CK 參考，可即時採取行動。
可以捕捉甚麼
特徵碼看不到的攻擊
無檔案攻擊
在記憶體內或透過腳本執行、從不留下可辨認檔案的攻擊。
混淆指令
為避過簡單檢查而編碼及偽裝的指令。
就地取材攻擊
PowerShell 或系統工具等合法工具被惡意使用。
勒索軟件準備
攻擊者在加密前採取的步驟，在造成損害前被捕捉。
有解釋的判斷
以易讀的摘要說明為何標記該活動，讓分析人員快速判斷。
可調整
標記誤報或按命令列加入允許清單，令受信任的工作流程保持安靜。
由發現到行動
發現只是調查的開始
行為發現與其他防護層並列。它們可作為事故的一部分開啟，連同完整程序鏈一併檢視，並在活動屬預期時進行調整。
- 檢視發現背後的完整程序鏈
- 在同一事故中查看相關的網頁、檔案及網絡偵測
- 透過允許清單及誤報標記反饋決定
可疑安裝程式鏈
HR-LT-03 · 已指派予 SOC
- 網頁防護中
用戶進入仿冒登入頁
- 檔案防護低
下載未簽署的安裝程式
- 行為防護高
安裝程式啟動腳本引擎
- C2 及網絡高
偵測到指令及控制流量
AIShieldNet
行為分析為何重要
01
新惡意軟件及勒索軟件變種的變化速度快過特徵碼資料庫。
02
無檔案及「就地取材」攻擊使用特徵碼檢查會放行的受信任工具。
03
親自操作鍵盤的入侵者，其模式要跨幾個步驟才會顯現。
04
清晰的解釋縮短由警示到作出決定的時間。
在你的端點上體驗 AIShieldNet
與我們的團隊在你自己的環境中，逐步了解偵測、調查及風險暴露管理。
