This is the Trace Id: 8e389566503f68dd806e2e5ba7d8b856
跳到主要內容 為何選擇使用 Microsoft 安全性 AI 支援的網路安全性 雲端安全性 資料安全性與治理 身分識別和網路存取權 隱私權與風險管理 AI 的安全性 整合安全性作業 零信任 Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Priva Microsoft Purview Microsoft Sentinel Microsoft Security Copilot Microsoft Entra ID (Azure Active Directory) Microsoft Entra Agent ID Microsoft Entra 外部 ID Microsoft Entra ID 控管 Microsoft Entra ID Protection Microsoft Entra 網際網路存取 Microsoft Entra 私人存取 Microsoft Entra 權限管理 Microsoft Entra 驗證識別碼 Microsoft Entra 工作負載 ID Microsoft Entra Domain Services Azure Key Vault Microsoft Sentinel Microsoft Defender for Cloud Microsoft Defender 全面偵測回應 適用於端點的 Microsoft Defender 適用於 Office 365 的 Microsoft Defender 適用於身分識別的 Microsoft Defender Microsoft Defender for Cloud Apps Microsoft 安全性風險管理 Microsoft Defender 弱點管理 Microsoft Defender 威脅情報 Microsoft Defender 套件商務進階版 適用於雲端的 Microsoft Defender Microsoft Defender 雲端安全性態勢 Mgmt Microsoft Defender 外部受攻擊面管理 Azure 防火牆 Azure Web 應用程式防火牆 Azure DDoS 保護 GitHub 進階安全性 適用於端點的 Microsoft Defender Microsoft Defender 全面偵測回應 適用於企業的 Microsoft Defender Microsoft Intune 核心功能 適用於 IoT 的 Microsoft Defender Microsoft Defender 弱點管理 Microsoft Intune 進階分析 Microsoft Intune 端點權限管理 Microsoft Intune 企業應用程式管理 Microsoft Intune 遠端說明 Microsoft 雲端 PKI Microsoft Purview 通訊合規性 Microsoft Purview 合規性管理員 Microsoft Purview 資料生命週期管理 Microsoft Purview 電子文件探索 Microsoft Purview 稽核 Microsoft Priva 風險管理 Microsoft Priva 主體權利要求 Microsoft Purview 資料控管 Microsoft Purview 套件商務進階版 Microsoft Purview 資料安全性功能 價格 服務 合作夥伴 網路安全性意識 客戶案例 安全說明資訊 產品試用 受業界認可 Microsoft Security Insider Microsoft 數位防禦報告 安全回應中心 Microsoft 安全性部落格 Microsoft 安全性事件 Microsoft 技術社群 文件 技術內容庫 訓練與認證 Microsoft Cloud 合規性計畫 Microsoft 信任中心 服務信任入口網站 Microsoft 安全未來倡議 商務解決方案中樞 連絡銷售人員 開始免費試用 Microsoft 安全性 Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space 混合實境 Microsoft HoloLens Microsoft Viva 量子運算 永續性 教育 汽車 金融服務 政府機構 醫療保健 製造 零售 尋找合作夥伴 成為合作夥伴 合作夥伴網路 Microsoft Marketplace Marketplace Rewards 软件开发公司 部落格 Microsoft Advertising 開發人員中心 文件 活動 授權 Microsoft Learn Microsoft 研究 檢視網站地圖

什麽是入侵指標 (IOC)？

了解如何監視、識別、使用和回應入侵指標。

探索 Microsoft Defender 威脅情報

入侵指標 (IOC) 説明

入侵指標 (IOC) 是有人可能入侵了組織網路或端點的證據。這些鑑定資料不僅表示存在潜在威脅，還指示已經發生了惡意軟體、認證遭入侵或資料外流等攻擊。安全性專業人員在事件記錄檔、延伸偵測及回應 (XDR) 解決方案以及安全性資訊與事件管理 (SIEM) 解決方案上搜尋 IOC。在攻擊期間，小組使用 IOC 來消除威脅並減輕損害。復原後，IOC 可以協助組織更好地了解發生了什麼，因此組織的安全性小組可以加強安全性，降低再次發生類似事件的風險。 

IOC 範例

在 IOC 安全性中，IT 監視環境以尋找以下攻擊正在進行的線索：

流量分析

在大多數組織中，出入數位環境的流量都有一致的模式。當這種情況發生變化時，例如，如果有更多的資料離開組織，或者如果有來自網路中異常位置的活動，這可能是攻擊的訊號。

異常登入嘗試

就像流量一樣，人們的工作習慣是可以預測的。他們通常在一週中大致相同的時間從相同的位置登入。安全性專業人員可以透過關注在一天中的奇數時間或從異常地理位置 (例如組織未設辦公室的國家/地區) 的登入來偵測遭入侵的帳戶。同樣重要的是要注意來自同一帳戶的多次登入失敗。儘管人們會定期忘記密碼或登入時遇到問題，但他們通常會在嘗試幾次後解决。多次登入嘗試失敗可能表示有人試圖使用遭盜竊的帳戶存取組織。 

權限帳戶違規

許多攻擊者，無論是內部還是外部攻擊者，都對存取管理帳戶和取得敏感性資料感興趣。與這些帳戶相關的非典型行為，例如有人試圖升級其權限，可能是違規的跡象。

對系統設定的變更

惡意軟體通常被程式設計為對系統設定進行變更，例如啟用遠端存取或停用安全性軟體。透過監視這些非預期設定變更，安全性專業人員可以在發生過多損害之前識別缺口。

未預期的軟體安裝或更新

許多攻擊始於安裝惡意軟體或勒索軟體等軟體，這些軟體旨在使檔案無法存取或使攻擊者能够存取網路。透過監視計劃外的軟體安裝和更新，組織可以快速發現這些 IOC。 

對同一檔案的多次要求

對單一檔案的多次要求可能表示惡意執行者試圖竊取該檔案，並嘗試了多種方法來存取它。

異常網域名稱系統要求

一些惡意執行者使用稱為「命令和控制」的攻擊方法。他們在組織的伺服器上安裝惡意軟體，從而建立與自己擁有之伺服器的連線。然後，他們從伺服器向受感染的機器傳送命令，試圖竊取資料或中斷作業。異常網域名稱系統 (DNS) 要求有助於 IT 偵測這些攻擊。

如何識別 IOC

數位攻擊的跡象記錄在記錄檔中。作為 IOC 網路安全性的一部分，小組定期監視數位系統的可疑活動。新式 SIEM 和 XDR 解決方案透過人工智慧和機器學習演算法簡化了這一流程，這些演算法為組織中的正常情况建立了基準線，然後提醒小組注意異常狀況。讓安全性之外的員工參與進來也很重要，因為他們可能會收到可疑電子郵件或意外下載受感染的檔案。良好的安全性訓練計畫可以協助員工更好地偵測遭入侵的電子郵件，並為他們提供報告任何可疑資訊的方法。

為什麼 IOC 很重要

監視 IOC 對於降低組織的安全性風險至關重要。IOC 的早期偵測使安全性小組能够快速回應和解决攻擊，减少停機和中斷。定期監視還可以讓小組更深入地了解組織漏洞，然後可以緩解這些弱點。

回應入侵指標

安全性小組確定了 IOC 後，他們就需要有效回應，以確保盡可能减少對組織的損害。以下步驟有助於組織保持專注並盡快停止威脅：

製定事件回應計畫

回應事件是有壓力的，而且時間敏感，因為攻擊者被發現的時間越長，他們就越有可能實現目標。許多組織製定了事件回應計畫，以協助在回應的關鍵階段指導小組。計畫概述了組織如何定義事件、角色和責任、解决事件所需的步驟，以及小組應如何與員工和外部專案關係人溝通。 

隔離受損的系統和裝置

組織識別威脅後，安全性小組就會迅速將受到攻擊的應用程式或系統與其他網路隔離開來。這有助於防止攻擊者存取企業的其他部分。

進行鑑定分析

鑑定分析有助於組織發現缺口的各個方面，包括來源、攻擊類型和攻擊者目標。在攻擊過程中進行分析，以了解入侵程度。組織從攻擊中復原後，額外的分析有助於小組了解可能的弱點和其他深入解析。

消除威脅

小組從受影響的系統和資源中移除攻擊者和任何惡意軟體，這可能涉及使系統離線。

實作安全性和流程改善

組織從事件中復原後，評估攻擊發生的原因，以及組織是否可以採取任何措施來防止攻擊非常重要。可能會有簡單的流程和原則改進，以降低未來發生類似攻擊的風險，或者小組可能會確定更長範圍的解決方案，以新增至安全性藍圖中。

IOC 解決方案

大多數安全性弱點都會在記錄檔和系統中留下鑑定軌跡。了解識別和監視這些 IOC 有助於組織快速隔離和消除攻擊者。許多小組轉向 SIEM 解決方案，如 Microsoft Sentinel 和 Microsoft Defender 全面偵測回應，它們使用 AI 和自動化來顯示 IOC，並將其與其他事件關聯起來。事件回應方案使小組能够提前應對攻擊並迅速將其關閉。在網路安全性方面，公司越快了解正在發生的事情，就越有可能在攻擊花費資金或損害聲譽之前停止攻擊。IOC 安全性是協助各組織降低代價高昂的違規風險之關鍵。

深入了解 Microsoft 安全性

Microsoft 威脅防護

使用最新的威脅防護，識別和回應整個組織中的事件。

深入了解

Microsoft Sentinel

使用強大的雲端式 SIEM 解決方案，發現複雜的威脅並果斷回應。

深入了解

Microsoft Defender 全面偵測回應

使用 XDR 解決方案阻止跨端點、電子郵件、身分識別、應用程序和資料的攻擊。

深入了解

威脅情報社群

從 Microsoft Defender 威脅情報社群版取得最新更新。

深入了解

常見問題集

  • IOC 有幾種類型。其中一些最常見的是：

    • 流量分析
    • 異常登入嘗試
    • 權限帳戶違規
    • 對系統設定的變更
    • 未預期的軟體安裝或更新
    • 對同一檔案的多次要求
    • 異常網域名稱系統要求

  • 入侵指標是已發生攻擊的數位證據。攻擊的指標是有可能發生攻擊的證據。例如，網路釣魚活動是攻擊的一個指標，因為沒有證據表示攻擊者入侵了公司。然而，如果有人按一下網路釣魚連結並下載惡意軟體，則惡意軟體的安裝是入侵指標。

  • 電子郵件中的入侵指標包括突然大量傳入的垃圾郵件、奇怪的附件或連結，或來自知名人士的未預期電子郵件。例如，如果員工向同事傳送了一封帶有奇怪附件的電子郵件，這可能表示其帳戶已遭入侵。

  • 有多種方法可以識別遭入侵的系統。來自特定電腦的流量變化可能表示其已遭入侵。如果一個通常不需要系統的人開始定期存取它，那就是一個危險訊號。對系統設定的變更或未預期軟體安裝也可能表示其已遭入侵。 

  • IOC 的三個範例是：

    • 位於北美洲的使用者帳戶開始登入來自歐洲的公司資源。
    • 跨多個使用者帳戶的數千個存取要求表示組織是暴力密碼破解攻擊的犧牲者。
    • 來自新主機或員工和客戶不居住之國家/地區的新網域名稱系統要求。

關注 Microsoft 安全性

Surface Pro Surface Laptop 組織的 Copilot 供個人使用的 Copilot Microsoft 365 探索 Microsoft 產品 Windows 11 應用程式 帳戶設定檔 下載中心 Microsoft Store 支援 退貨/退款 訂單追蹤 Microsoft 教育 教育裝置 Microsoft Teams 教育版 Microsoft 365 教育版 Office 教育版 教育工作者訓練和發展 學生和家長優惠 Azure 學生版
Microsoft AI Microsoft 安全性 Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft 365 Copilot Microsoft Teams Microsoft 開發人員工具 Microsoft Learn 支援 AI 市場應用程式 Microsoft 技術社群 Microsoft Marketplace Microsoft Power Platform Marketplace Rewards Visual Studio 人才招募 公司新聞 Microsoft 隱私權 投資者 永續性
中文（台灣）
您的隱私權選擇退出圖示 您的隱私選擇
消費者健康情況隱私權 連絡 Microsoft 隱私權 管理 Cookie 使用規定 商標 有關我們的廣告訊息