案情推進

最終幕開始

前四幕一直在「被動」處理，也就是有告警、有事件，才去進行資安調查

今天開始轉守為攻：主動狩獵（Threat Hunting）

我們會探討主動去網路裡調查是否有潛伏的攻擊者

因為勒索軟體附屬者可能已經潛伏數天到數週（Day 01 講過）

Thunting 就是趕在攻擊者開始勒索加密前，把他挖出來。

本日探討

1. 為何偵測 TTP 比追 IOC 有用
2. 如何靠「處理程式名稱與路徑異常」抓出偽裝的惡意程式
3. 有哪些高 CP 值的 hunting 切入點

一、核心觀念：TTP vs IOC 與「痛苦金字塔」

先分清兩個詞：

從上述可以延伸來討論**「痛苦金字塔（Pyramid of Pain）」**

此為 David Bianco 提出的業界通用概念

簡單說就是：偵測的東西越往上，攻擊者要改變就越痛苦
底下為痛苦金字塔

參考 MITRE TTP-Based Hunting: https://www.mitre.org/sites/default/files/2021-11/prs-19-3892-ttp-based-hunting.pdf

二、處理程式名稱與路徑異常：抓「冒名頂替」

攻擊者為了避免惡意程式被發現，會對惡意程式進行偽裝，有很多種方式

常見且簡單的方式是把惡意程式取一個系統程式的名字（svchost、lsass、explorer…）
讓資安人員做調查的時候，可能會粗心的略過

破解方法：看程式在不在「該在的地方」。

反過來說，攻擊者**「不改名」**的工具，也能直接靠名字做 Hunting：

三、藏起來的 PE：在對的地方找錯的東西

PE（可攜式執行檔，就是 exe/dll）出現在「不該有執行檔的地方」
就會是一個很可疑的特徵：

四、幾個高 CP 值的 hunting 切入點

把前面學的濃縮成可立刻執行的 hunting 清單：

藍隊視角：Hunting 是一種「假設驅動」的循環

Hunting 的邏輯：

今日重點

1. hunting TTP 勝過追 IOC：Hash/IP 攻擊者一改就失效，行為手法(TTP)（痛苦金字塔頂端）最難改、最值得偵測。
2. 抓偽裝靠**「系統程式名稱 + 錯誤路徑」**
3. 攻擊者如果不改自己的攻擊工具名字，就可以直接 hunting
4. 高 CP 值切入點：編碼 PS 的 Base64 開頭特徵、防毒解除隔離紀錄、錯誤位置的 PE 等
5. Hunting 是假設驅動的循環。

明日預告

明天 Day 27

暫時不討論技術

改為探討事件中最沉重的商業決策：付還是不付贖金？

這不是資安一個部門能決定的事