威脅情報指標
我們在搜集惡意APT(Advanced Persistent Threats)事件時會需要一些有關聯性的資訊，透過這些資訊能夠指示出系統或網路中可能已經受到侵害的特定特徵或跡象，包括檔案特徵、網路特徵、主機特徵、電子郵件特徵、使用者行為特徵、 日誌特徵以及應用程式特徵等等。
檔案特徵
檔案雜湊值：在檔案特徵中我們可以搜集惡意檔案的雜湊值，例如像是MD5、SHA-1、SHA-256等等對檔案進行hash過後的特徵
檔案名稱：我們可以搜集並搜尋與已知惡意檔案相關聯的檔案名稱
檔案路徑：我們可以搜集並搜尋與已知攻擊或惡意活動相關聯的檔案存放路徑名稱
網路特徵
IP位址：可以淬取出已知攻擊者使用的惡意IP位址
域名：可以淬取出與已知攻擊或惡意活動相關連的惡意域名
URL：可以收集包含惡意內容的特定網址
通訊埠：我們能夠去搜集用於攻擊的特定網路通訊埠
主機特徵
系統活動異常：可以在主機內部尋找非正常系統活動，例如異常的process、services或者登入行為
不正常的登入模式：異常的帳戶登入模式或多次失敗的登入嘗試也是主機內一個重要的特徵
應用程式異常：針對特定的應用程式進行異常行為，例如讀寫檔案、資料夾等就非常可疑
已知漏洞：針對與已知漏洞相關連的應用程式被執行一些可疑的活動也是非常重要的特徵
惡意應用程式行為：針對特定應用程式的已知惡意行為動作
電子郵件特徵
寄件者地址：比對已知釣魚攻擊或惡意電子郵件的寄件者地址作為特徵
郵件主旨：包含惡意內容或釣魚詐騙的特定郵件主旨，常見於被用作社交工程，詢問受害者所知悉的相關事宜這點非常可疑
附件名稱：包含惡意軟體或惡意文件的特定附件名稱，此類特徵就數釣魚信件中危害較高
使用者行為特徵
登入模式：異常的使用者登入行為或非典型的使用者行為，多次登入嘗試或者登入後有某個使用者想要提權作為行為特徵看起來就是非常可疑
權限提升：非正常的帳戶權限請求提升行為
未授權的檔案存取：對系統或資料的未授權存取，在內部系統裡應該施行著最小權限原則
日誌特徵
系統、應用程式或設備日誌：包含攻擊特定事件的日誌記錄，攻擊者在內部機器做任何行為應該都不想要被記錄下來，所以會針對攻擊時段內的日誌檔案想進行刪除
異常事件：非正常的事件或系統行為的日誌記錄
應用程式特徵
已知漏洞：與已知漏洞相關連的應用程式
惡意應用程式行為：針對特定應用程式的已知惡意行為
...eat Hunt)在防禦端來說是很重要的一個環節，利用最新的[[威脅模型及威脅情報]] 主動找出組織內的網路或系統是否存在相同的[[威脅情報指標]]潛伏在公司裡，對於喜愛吸收最新的資安新聞以及搜尋自家服務或產品裡是否存在惡意行為的人非常適合這種職業 架構...
...ver到下載Java惡意程式從而讓攻擊者遠端且執行一些未授權的指令，最終可以拿到更加詳細的log資料，包括機器對外連線的資料、內部金鑰儲存的明文格式等等 由於Log4j函式庫使用的範圍太廣泛，所以Common Vulnerability Scoring System (CVSS)給予這個弱點最高的風險評估：10.0...
...-of-Pain-v2](https://media.secologies.com/Pyramid-of-Pain-v2.webp) [[^1]] 由於要建構出惡意攻擊者的所有手段，我們必須參考許多[[威脅情報指標]]才有辦法組合出原貌，此階段 David J. Bianco[[^1]] 提出了痛苦金字塔這一概念，透過分析下列： 1.
...一些套件下載真正的惡意軟體再把目標內的檔案毀損，這種攻擊影響了資料的完整性其檔案被覆寫成無法回覆的情況，最終只能把該檔案刪除掉 在這種情況下微軟建議有淺在風險被攻擊的目標(烏克蘭、臺灣)可以做些防護措施： - 啟動MFA不讓身份驗證資訊過於單一 - 啟動微軟Defender裡的Controlled Folder Access (CFA)避免MBR/VBR被篡改 -...