什麼是網路安全中的攻擊指標 (IOA)？

在這個日益數位化的世界中，尤其是在當今，網路安全已成為組織與個人日益重要的優先事項。不斷增加的威脅持續出現，其複雜性前所未有，且發生頻率也前所未有。因此，保護系統與資料比以往任何時候都更需要即時性。大多數傳統的攻擊偵測方式依賴 IOC，往往為時已晚，或僅在損害已經造成後才發現。近來，網路安全專家已逐漸轉向識別與理解攻擊指標（IOA），以便在威脅面前進一步保持領先。

日益增加的複雜性與頻率的網路攻擊使 IOA 變得日益關鍵。2023 年損失超過 125 億美元，較 2022 年增加 22%，並創下歷史新高。這項由 FBI 報告的數據反映出網路犯罪日益增加的代價。以投資詐騙為例，從 2022 年的 33.1 億美元激增至 2023 年的 45.7 億美元——增加了 38%。這些驚人的數字凸顯了採取 IOA 等主動式措施的必要性，因為依賴 IOC 的傳統被動式方法，往往在重大損害已經發生後才過晚識別威脅。透過專注於早期偵測與理解攻擊行為，IOA 可協助組織在快速演變的威脅情勢中領先網路犯罪分子。

本文將探討 IOA 在現代資安營運中的重要性。我們將深入說明什麼是 IOA、它們與傳統 IOC 的差異、常見觀察到的 IOA 類型，以及它們在強化主動式資安中的角色。我們也將討論偵測與回應 IOA 的關鍵挑戰，並提供有效監控它們的最佳實務。最後，我們將重點介紹真實世界的案例，說明 IOA 如何在網路威脅升級之前協助加以防範。

什麼是攻擊指標 (IOA)？

攻擊跡象 (IOA) 代表一種行為模式或動作，可能表示攻擊正在發生或即將發生。與 IOC 不同，IOC 會尋找入侵跡象，例如惡意軟體特徵碼，而 IOA 則聚焦於攻擊者行為：可疑動作、正常流量模式中的異常，或任何顯示偏離組織基準狀態的情況。

例如，如果屬於某位員工的帳戶開始在非工作時間存取大量敏感資訊，則可將其視為一項 IOA，顯示可能存在內部威脅或帳戶遭入侵的跡象。同樣地，如果某個網路實體偵測到異常的 C2 流量，則可能表示攻擊正處於早期階段。安全團隊可透過 IOA 在攻擊者完成其目標之前介入，例如竊取資訊、部署勒索軟體，或造成中斷。

為什麼 IOA 對網路安全很重要？

IOA 在網路安全領域中的價值在於，它們能在儘可能早的階段偵測並中和攻擊。以 IOC 為基礎的傳統偵測系統是在損害已經造成後才做出回應，而 IOA 則可讓組織主動偵測此類異常行為，從而有機會在攻擊造成任何實質損害之前將其制止。

攻擊者經常嘗試利用許多未知弱點或尚未有對應 IOC 的新型技術。聚焦於攻擊者試圖達成的目標，能讓安全專業人員即使在傳統以特徵碼為基礎的偵測方法失效時，仍可預判並阻止威脅。

攻擊指標 (IOA) 與入侵指標 (IOC)

在網路世界中，對威脅的偵測與回應越及時，造成的損害就越小，且越能確保系統完整性。這項需求的一部分體現在兩種偵測特徵概念上：攻擊指標 (IOA) 與入侵指標 (IOC)。這兩個概念在焦點與應用上顯然有廣泛差異。

了解 IOA 與 IOC 之間的差異，可讓安全團隊在正確的時機做出適當回應，也就是在攻擊期間或攻擊發生之後。

• 攻擊指標 (IOA)：  攻擊指標 (IOA) 著重於識別戰術、技術與程序 (TTPs)由攻擊者在攻擊早期階段所執行。IOA 著重於即時偵測與觀察可疑行為，這些行為表示攻擊正在進行中。IOA 不會等待入侵已發生的證據，而是發出顯示惡意意圖的主動訊號，例如異常的存取模式、嘗試提升權限，或濫用合法工具。這種對攻擊行為的重視，使安全團隊更容易在威脅實際滲透或造成重大損害之前加以識別並回應。這在防止進行中的攻擊方面具有最重要的應用，因為它們可實現早期偵測，從而在攻擊者達成其目標之前中斷攻擊鏈。
• 入侵指標 (IOC)： 入侵指標 (IOC)提供攻擊已經發生或系統已遭入侵的跡象。IOC 通常是在事件後調查期間或在資料外洩已經發生之後被發現。存在特定的事件證據，包括異常的檔案雜湊值、惡意 IP 位址、未經授權的系統檔案變更，甚至異常的網路流量，這些都可確認是否確實發生了入侵。IOC 對鑑識至關重要，因為它們可讓調查人員了解資料外洩的範圍與內容、攻擊者如何取得存取權，以及攻擊者鎖定了哪些目標。透過這種方式，分析 IOC 可協助組織了解特定攻擊的範圍並減輕損害，因此能夠強化其防禦，以避免未來發生相關事件。儘管如此，回溯性的 IOC 更著重於防範已造成的損害，而非預防未來的威脅。

攻擊指標 (IOA) 的類型

攻擊跡象 (IOA) 可能以多種不同形式出現，以反映攻擊者接管或利用系統的各種戰術。常見類型包括：

• 未經授權的權限提升： 這是指一個通常用於一般用途的使用者帳戶，突然獲得提升的權限，或試圖在未經授權的情況下存取網路中的敏感區域。攻擊者通常會利用可提供其提升系統存取權限途徑的弱點，以操控關鍵系統或停用安全控制。例如，如果一個通常以非特權層級執行的帳戶使用管理員權限存取系統，這可能表示遭受攻擊。此類沒有合法來源的權限變更需要被偵測，因為這表示攻擊者已取得提升的權限以及對環境的控制。
• 橫向移動： 橫向移動 是指攻擊者試圖在網路中從一個已遭入侵的系統移動到另一個系統，以尋找有價值的資料或更高權限。這種移動通常以隱密方式進行，因為攻擊者會保持低調，同時擴大其立足點。IOA 包含內部系統之間的異常連線，或嘗試存取未知機器的行為。偵測橫向移動非常關鍵，因為這表示攻擊者正在網路內擴大其存在範圍。
• 資料外洩嘗試： 這涉及未經授權將資料傳出系統。攻擊者可能試圖將智慧財產或個人可識別資訊等敏感資訊傳送到外部目的地。此類攻擊的跡象可能包括大量且出乎意料地將資料傳輸到未知伺服器，或流出系統的異常通訊模式。在早期階段偵測並阻止資料外洩嘗試，對於防止資料外洩事件至關重要。
• 異常登入： 不尋常的登入嘗試，尤其是來自未知或不熟悉的位置、裝置，或在異常時間發生時，可能是憑證遭入侵或暴力破解攻擊的指標。舉例來說，某位使用者原本習慣從單一地理位置登入，卻突然出現來自世界其他地區的登入。異常登入模式有助於主動阻止未經授權的存取。
• 命令執行: 這是指執行未知或未經授權的命令、指令碼或程序，且與正常使用者活動無關。通常，攻擊者在部署惡意軟體或更新組態設定時會使用自訂指令碼。當某個使用者帳戶開始執行原本不會執行的管理命令時，這可能代表正在發生主動攻擊。偵測未經授權的命令執行，可在惡意軟體或組態設定遭變更之前用於預防階段。

在網路安全營運中實作 IOA

組織必須採用先進工具與策略，專注於即時識別異常行為與潛在威脅。以下說明如何有效實作 IOA：

• 部署進階監控工具： 組織需要建立複雜的監控工具，持續檢測網路流量、使用者行為與系統活動，以識別異常模式。這些工具對於及早識別 IOA 至關重要，因為它們會立即向安全團隊發出可能遭受攻擊的警示。理想情況下，它們不僅應能偵測已知威脅，也應能在沒有任何相關特徵碼的情況下偵測新興與持續演變的攻擊。

• 運用機器學習與 AI： 機器學習 與人工智慧在針對大型資料集進行異常偵測方面都非常強大，因此是 IOA 偵測不可或缺的工具。以 AI 為基礎的工具可以分析大量資料、學習正常行為模式，並將偏差標記為潛在威脅。這對於偵測更複雜的攻擊策略特別有效，例如橫向移動或權限提升，否則這些情況在傳統安全系統中可能需要太久才會觸發警報。

• 與 SIEM 系統整合： 將 IOA 與現有的 安全資訊與事件管理 (SIEM) 系統整合，有助於縮短偵測與回應週期。SIEM 工具會彙整來自各種來源的資料，集中呈現所有安全事件的檢視。完成整合後，安全團隊便能將來自 IOA 的攻擊指標與其他安全資料進行關聯分析，以強化整體偵測流程，並更快速且更智慧地回應威脅。

• 行為分析： 透過行為分析來偵測 IOA 是未來方向，其基礎在於建立正常使用者與系統活動的基準。組織可以輕鬆判斷哪些偏差顯示惡意意圖。行為分析可追蹤異常檔案存取、異常登入嘗試或可疑資料傳輸等動作，從而實現即時威脅緩解。

偵測與回應 IOA 的主要挑戰

雖然攻擊指標 (IOA) 在及早偵測威脅方面具有顯著優勢，但組織在有效使用它們時仍面臨若干挑戰。這些包括：

• 誤判： 儘管基於異常的偵測系統在偵測異常方面可能有效，但有時也可能產生一些誤判。在這種情況下，當合法活動偏離既定基準時，誤判有時可能會產生不必要的警示，而這些警示並不代表真實攻擊。一個例子可能是出差中的員工嘗試登入所產生的異常。誤判會導致警示疲勞。當誤判過多時，安全團隊往往會忽略這些警示，因而錯失可能的威脅。組織需要微調其偵測系統，以將誤判降至最低並維持高準確性。
• 熟練的攻擊者： 熟練的攻擊者已設計出會偽裝成一般網路流量的攻擊，因此大多數安全工具可能無法區分良性與惡意活動。進階攻擊者可能被設計成模仿正常使用者行為，甚至使用加密來隱藏其活動，降低 IOA 的有效性。攻擊者通常會以緩慢且隱密的方式行動，以避免出現任何會明確使其顯得可疑的特定行為。這類複雜的攻擊者難以偵測，並且需要功能強大的工具，以及非常受過訓練、能理解指標與模式細微差異的分析師。
• 資源密集度： 監控整個網路以持續偵測 IOA 需要高運算能力。行為分析非常耗費資料資源，且需要處理數十萬筆事件。這可能會對系統造成壓力，延遲警示的產生。此外，解讀 IOA 警示需要具備經驗的資安人員，才能將這些警示置於脈絡中並判斷該行為是否確實為惡意行為。這樣做成本相當高，也帶來挑戰，尤其是對資源較少的小型組織而言。

Get Deeper Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

監控 IOA 的最佳實務

為了在克服常見挑戰的同時，將 IOA 監控的有效性最大化，組織應遵循以下最佳實務：

• 自動化威脅偵測： 人工智慧與機器學習可將異常行為的偵測自動化，減輕資安團隊的工作負擔。這些工具可即時掃描數 TB 的資料，及時發現可能顯示潛在威脅的模式，以便進行偵測與回應，因此也能在尋找威脅時降低人為錯誤。AI 也會從過往事件中學習如何區分正常偏差與實際攻擊嘗試。
• 定期更新基準： 攻擊者會持續演進其戰術，而網路的使用模式也會隨時間改變；因此，持續更新使用者、系統與網路正常行為的基準至關重要。最新的基準可確保系統能更準確地識別出顯示攻擊的偏差。例如，新進員工若偶爾檢視機密資訊，應納入基準中，以避免觸發不必要的警報。基準應定期檢視與更新，藉此提升系統對新條件的適應能力，並降低誤判。
• 提供警示脈絡： 在系統決定就某事件向資安分析師發出警示之前，應提供足夠的脈絡資訊，以說明其嚴重性與關聯性。脈絡資訊可協助分析師快速且有根據地判斷警示是否對應實際攻擊，或只是無害的異常。這也能減少調查所需時間，並改善對實際威脅的回應速度。
• 與 SIEM 系統整合： 透過將 IOA 監控工具與 SIEM 系統整合，監控並收集所有 IOA。最終的最佳實務是透過 SIEM 系統整合從各種來源收集的日誌資料。SIEM 系統會彙總在各種來源中找到的日誌，並提供網路活動的集中式檢視。這使組織的威脅偵測能力能夠在整合式 IOA 偵測的協助下，對來自不同系統的資料進行交叉關聯。接著，安全團隊便能完整掌握潛在的攻擊向量，這將有助於他們排定警示的優先順序，並更有效地回應威脅。
• 針對特定威脅量身打造 IOA 偵測： 組織通常在其產業、規模和曝險程度上各不相同。影響某個組織的威脅可能不會影響另一個組織。因此，根據組織特定的威脅情勢量身調整 IOA 偵測，對於提升警示的關聯性並降低誤判變得非常重要。例如，銀行會希望偵測未經授權或未核准的交易／提升權限嘗試。對於醫療保健組織而言，非惡意但有害的 IOA 很可能是未經授權存取病患紀錄。將 IOA 偵測與組織特定的風險設定檔和威脅模型相結合，才能讓安全團隊專注於最相關且最危險的威脅。

資安中的攻擊指標範例

真實世界的案例顯示，攻擊指標 (IOA) 在防止嚴重網路威脅方面發揮了關鍵作用。

以下是幾個關鍵案例，說明 IOA 如何在攻擊造成重大損害之前，對阻止攻擊發揮重要作用：

• 進階持續性威脅 (APTs)： 在其中一個案例中，某組織識別出其網路中的未授權橫向移動。這標示出可能有 APT 正試圖更深入滲透系統。 APTs 是長期且隱匿的攻擊，攻擊者藉此取得未授權存取並緩慢移動，以避免引起懷疑。透過識別這些罕見的內部通訊流量以及嘗試存取特別受限伺服器的行為，資安團隊得以在 APT 完成其竊取敏感資料的目標之前阻止攻擊，從而使該組織免於可能造成毀滅性影響的資料外洩事件。
• 勒索軟體預防： 可更早偵測到因惡意活動而進行的檔案加密，以防止勒索軟體攻擊擴散。在其中一個案例中，判定某組織出現了檔案加密程序快速增加的情況，且超出正常預期行為。藉由此情況，資安團隊意識到這是勒索軟體的 IOA，並得以隔離受影響的系統，使勒索軟體未再進一步擴散。及時根據此指標採取行動後，該組織避免了因勒索軟體攻擊而導致的大量資料損失與高昂的復原作業成本。
• 內部威脅偵測： 另一個例子是，屬於某位員工的使用者帳戶在異常時段從未知的機器存取敏感資料。這被視為一項 IOA，但可能是內部威脅，也可能是遭外部人員入侵而被盜用的帳戶。該組織的安全團隊迅速回應此活動，並發現這是一個遭劫持的帳戶。在如此早期階段識別出這種異常情況，防止了敏感資料遭未經授權傳輸，並在威脅失控之前將其消除。
• 網路釣魚攻擊偵測： 網路釣魚攻擊是攻擊者用來在企業網路中取得立足點的另一種常見方法。某一時刻，安全系統發出警報，因為大量帶有可疑附件的電子郵件正被發送給分散在整個組織中的員工。安全團隊識別出 IOA，因為這很可能是一場旨在竊取登入憑證的網路釣魚活動。團隊發現，這些電子郵件包含指向惡意網站的連結，這些網站旨在竊取登入詳細資料。由於網路釣魚嘗試及時被偵測到，組織可以通知員工，也可以封鎖這些網站的存取，因此沒有人會失去其驗證詳細資料。
• 分散式阻斷服務 (DDoS) 攻擊緩解： 某組織發現其伺服器遭受的網路流量突然上升，這很可能是透過 Distributed Denial of Service (DDoS) attack 所發動。IOA 向資安團隊警示這波異常流量激增，使其能夠重新導流並啟用流量過濾機制以緩解攻擊。因此，服務停機時間被降至最低，並確保關鍵服務持續可用，同時也避免了財務損失與客戶信任受損。

攻擊指標 (IOA) 如何強化主動式資安防護

攻擊指標 (IOA) 讓組織能以主動而非被動的角度回應資安問題，並在攻擊發生前預防攻擊方面帶來許多效益：

• 聚焦於攻擊者行為： IOA 著重於理解攻擊者試圖達成的目標，而不只是某種攻擊正在發生的證據。如此一來，資安團隊便能在攻擊者行動當下將其攔截，無論其是在提升權限、於網路內橫向移動，或是在完成惡意目標前竊取資料。此處的關鍵在於極早期的行為偵測，從而在攻擊造成重大損害之前加以阻止。
• 快速偵測與回應： IOA 使組織能夠以大幅縮短從攻擊首次行動到資安團隊介入時間的方式，來偵測並回應其威脅環境。這對於 APT 與勒索軟體等多階段攻擊尤其有用，可將損害降至最低。
• 防禦不斷演變的威脅： 網路威脅的本質持續演變，因為攻擊者不斷採用新的技術與策略，而這些可能不會出現在傳統的入侵指標中。這正是 IOA 發揮作用之處，它會觀察攻擊者所採用的行為與戰術方法，無論是否涉及已知惡意軟體或創新的攻擊手法。這使組織能處於更有利的位置，以對抗靈活且創新的威脅。
• 緩解多階段攻擊： 目前絕大多數的進階網路攻擊都是多階段的。這些攻擊可能從初始入侵開始，接著橫向移動，最後以 資料外洩 作結。IOA 使資安團隊能在攻擊鏈的不同階段偵測並阻止攻擊者。藉由及早發現他們——在其完成目標之前——IOA 可降低組織的整體風險，並限制複雜多階段威脅可能造成的損害。
• 縮短攻擊停留時間： 「停留時間」是指攻擊者在特定網路中保持隱匿的時間長度。停留時間越長，資料外洩以及操控任何系統的可能性就越高。IOA 可縮短停留時間，因為安全團隊現在能夠及早掌握這些非典型活動，而不是只在攻擊已經完成後才查看事件。較短的停留時間意味著攻擊者可利用、入侵或從網路中外洩資訊的時間窗口更少，因此能將影響降到最低。
• 提升事件回應效率： IOA 提供的警示清楚且可採取行動；它們有助於促進 incident response services 的工作。因此，資安團隊可將時間投入於顯示真實威脅的高優先順序警示，而不是被誤報拖累。隨 IOA 警示附帶的脈絡資料，包括涉及的裝置、地理位置以及被標記的特定行為，進一步讓分析師能快速做出決策。綜合而言，這提升了整體回應流程的效率，從而加速威脅的遏制與解決。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

SentinelOne 如何提供協助？

SentinelOne’s platform 以進階行為分析為基礎。它會監控端點活動並尋找 IOA。透過對程序執行、網路通訊與系統互動的即時分析，SentinelOne 能找出顯示即將發生或正在進行之攻擊跡象的異常行為。它可協助偵測已知與未知威脅。

SentinelOne 可利用其進階 AI 引擎識別 IOA。它能找出與攻擊行為相關的模式與異常。範圍涵蓋 living-off-the-land 攻擊、無檔案惡意軟體的嘗試，或系統中零時差漏洞的利用。SentinelOne AI 會持續運作，在攻擊進展過程中偵測細微徵兆。它會以圖形化方式呈現攻擊路徑並向資安團隊發出警示。

SentinelOne 提供自主式事件回應能力。它可立即遏制受影響的端點並隔離威脅。SentinelOne 無需人工介入即可阻止攻擊進一步發展。它可大幅降低平均回應時間 (MTTR)。

SentinelOne’s platform 透過提供豐富資料集以供威脅狩獵與鑑識分析，來識別 IOA。資安團隊可調查已偵測到的威脅，並深入了解攻擊者的 TTP。SentinelOne 的 IOA 威脅情報可微調安全策略，以改善防禦並降低組織的攻擊面。

透過將 SentinelOne 的 IOA 洞察納入其更廣泛的安全態勢中，團隊可更新政策、強化偵測邏輯，並確保成功應對不斷變化的威脅。 預約免費即時示範以深入了解.

結論

攻擊指標（IOA）是網路安全中不斷轉變的典範之一，其中以攻擊為基礎的防禦可協助組織在威脅演變為重大事件之前加以識別並對抗。就此而言，專注於攻擊者行為與戰術的組織，可能能夠迅速辨識潛在威脅，進而降低成功網路攻擊的風險與最終影響。

將 IOA 與傳統 IOC 搭配使用，可強化組織整體的網路安全框架。這種整合式方法有助於提升對 APT 和內部人員攻擊等複雜威脅的偵測能力，而許多現有偵測方法可能會遺漏這些威脅。

隨著網路威脅持續演變，運用 IOA 可讓組織具備一項關鍵工具，以領先對手一步，將資料外洩及其相關財務與聲譽損害的可能性降至最低。最終，IOA 的主動式特性對於在當今動態的威脅環境中維持強健的安全態勢至關重要。