什麼是威脅行為者？類型與範例

威脅行為者是發動網路攻擊的個人或群體。本指南將探討不同類型的威脅行為者、其動機與戰術。

了解在制定有效資安策略時，理解威脅行為者的重要性。了解威脅行為者對於組織預測並降低風險至關重要。

本文將說明什麼是威脅行為者、威脅行為者的目標、威脅行為者的類型，以及如何防範其攻擊。

什麼是威脅行為者？

網路威脅行為者是指任何對資安構成威脅的個人或群體。威脅行為者是網路攻擊背後的實施者，通常會依據多種因素進行分類，包括動機、攻擊類型及目標產業。

如今，網路威脅環境可說比以往任何時候都更加動態，而威脅行為者也變得更加複雜成熟。

了解威脅行為者及其動機，可協助組織在這些行為者利用弱點、入侵具有提升權限的使用者身分、規避安全控制、破壞或刪除資料，或操縱敏感資訊時，更妥善地保護自己免受其造成的損害。

威脅行為者的目標

威脅行為者主要以大型組織為目標，以獲取金錢、資料與敏感情報，或造成服務中斷與聲譽損害。然而，中小型企業（SMB）也已成為威脅行為者的常見目標，因為其相對缺乏資源，意味著其安全系統可能比大型企業更薄弱。

在當今的威脅情勢中，大多數組織無論規模或產業，都很可能成為威脅行為者的目標。事實上，企業在 2021 年每週面臨的網路攻擊嘗試增加了 50%，相較於 2020 年。如今，只要路徑未受保護，威脅行為者就能且將會直接找到通往最關鍵資產的路徑。

威脅行為者的類型與屬性

「威脅行為者」是一個廣泛的術語，涵蓋各式各樣的個人與群體，並依其技能組合、資源或攻擊動機進行分類。

以下是一些最常見的威脅行為者類型，以及其行動背後的典型動機：

1. 網路犯罪分子

網路犯罪分子是利用數位技術從事非法活動的個人或群體。他們通常以經濟利益為動機。

這類威脅行為者通常會採用社交工程戰術，例如網路釣魚電子郵件，誘使受害者點擊惡意連結或下載惡意軟體（malware）。其他網路犯罪的例子包括竊取資料、欺騙受害者轉帳、竊取登入憑證，以及提出勒索要求。

2. 民族國家

民族國家可能會資助威脅行為者團體，在其他治理實體的網路上執行各種惡意活動，包括間諜活動或網路戰。由於受民族國家資助的威脅行為者通常擁有高度資源，其行為往往具有持續性且更難以偵測。

受民族國家資助的威脅行為者通常會隱密地鎖定其對手的網路，試圖竊取或破壞敏感資料與資產、干擾關鍵基礎設施，或蒐集機密情報。

3. 恐怖組織

如同實體恐怖行為一樣，網路恐怖分子的目標通常是造成傷害與破壞，以推進其訴求。這類威脅行為者會鎖定企業、國家機器，以及能造成最大損害或中斷的關鍵基礎設施或服務。

4. 尋求刺激者

尋求刺激者是為了個人樂趣而攻擊電腦系統或網路的威脅行為者。無論他們是想看看自己能竊取多少資料與敏感資訊，還是對特定網路與電腦系統的運作方式感興趣，尋求刺激者未必一定打算對其目標造成太大傷害。然而，他們可能會干擾電腦系統與網路，或利用弱點為未來更複雜的網路攻擊鋪路。

5. 內部威脅

內部威脅正日益增加。這些威脅可分為以下類型：

• 惡意內部人員：惡意內部人員是可存取企業環境，並決定透過協助威脅行為者而背叛雇主的個人；通常是為了金錢利益。
• 疏忽的內部人員：疏忽的內部人員是可能沒有惡意意圖，但最終因其粗心而導致資料外洩的員工。他們可能會點擊網路釣魚電子郵件、安裝未經核准的軟體，或遺失其公司裝置。

6. 駭客

雖然「威脅行為者」一詞經常與「駭客」交替使用，但駭客與威脅行為者並不完全相同。一名hacker 是指運用其電腦技能來克服挑戰或解決問題的人，無論結果是好是壞，而 threat actors 幾乎總是具有惡意意圖。

Hollywood 讓這個術語普及開來，使人聯想到具有惡意意圖的不法人士形象，例如造成干擾或違法。然而，駭客有許多不同類型，且具備不同能力。

以下是一些不同類型駭客及其能力的範例：

黑帽駭客

黑帽駭客以惡意意圖對抗組織或政府機構，試圖入侵電腦網路或系統。黑帽駭客通常單獨行動，或與有組織犯罪集團合作，並採用多種技術入侵其目標，包括社交工程、破解密碼、以惡意軟體感染裝置、記錄按鍵，或建立 殭屍網路 來執行 分散式阻斷服務 (DDoS) 攻擊。

白帽駭客

白帽駭客，也稱為道德駭客，與組織或政府機構合作，以識別弱點並保護網路系統免受惡意駭客侵害。不同於其他類型的駭客，白帽駭客在入侵電腦網路或系統時，始終獲得其合作組織或機構的許可。

灰帽駭客

灰帽駭客介於白帽駭客與黑帽駭客之間。灰帽駭客入侵電腦網路或系統，是為了讓目標注意到弱點或潛在攻擊路徑，然後再收費修復其發現的問題。大多數情況下，這類駭客利用安全問題時並無惡意意圖，但其行為未經許可，且通常透過非法手段進行。

綠帽駭客

綠帽駭客是初學者，且經常向駭客社群中經驗較豐富的成員尋求資訊。雖然綠帽駭客未必總是具備發動協同攻擊所需的技能或知識，但如果他們不清楚自己做了什麼或不知道如何修復，仍可能造成嚴重損害。

藍帽駭客

藍帽駭客與白帽駭客最為相似：他們是在顧問公司任職的資安專業人員，專門受聘於系統上線前進行測試。有時，藍帽駭客也會因報復某些不當行為而鎖定個人或公司，卻未充分考慮其行動後果。

紅帽駭客

紅帽駭客常被視為駭客世界中的「黑馬」，單獨行動或在私人團體中運作，以解除黑帽駭客的威脅。不同於會將黑帽駭客交給當局的白帽駭客，紅帽駭客通常專注於摧毀資源並造成傷害。

腳本小子

不同於其他類型的駭客，腳本小子通常是出於無聊而行動，且不會自行撰寫電腦腳本或程式碼。相反地，他們會將現有腳本或程式碼植入病毒或應用程式中，以入侵他人的電腦系統。在駭客世界中，腳本小子因相較於其他類型駭客而言技術較差且不成熟而惡名昭彰。

駭客行動主義者

駭客行動主義者通常被視為黑帽駭客，但其駭侵動機是政治性的。無論他們關注的是維護言論自由，還是揭露侵犯人權的事件，駭客行動主義者都會鎖定個人、組織或政府機構。

大多數時候，駭客行動主義者相信自己是在試圖為世界帶來正向改變。例如，駭客組織 Anonymous 因對多個政府發動大量網路攻擊而聞名，其支持者稱其為「自由鬥士」。

在不同類型的駭客中，「threat actor」一詞最直接適用於黑帽駭客、藍帽駭客、腳本小子和駭客行動主義者。無論是網路犯罪分子還是內部人員，Singularity’s threat intelligence 都有助於追蹤並防禦各類 threat actors。

相關的資安概念須知

除了了解 threat actors 的基本組成要素及其屬性之外，回顧以下資安概念也很有幫助：

惡意軟體

惡意軟體是一種旨在損害或停用電腦的惡意程式。惡意軟體可用於竊取資料、控制系統，或對其他電腦發動攻擊。

惡意軟體有許多不同類型，包括病毒、蠕蟲、木馬，以及 勒索軟體。惡意軟體可透過電子郵件附件、受感染網站或遭入侵的軟體傳播。

網路釣魚

網路釣魚是一種網路攻擊，利用看似來自合法來源的電子郵件或網站，誘騙使用者洩露敏感資訊或點擊惡意連結。

網路釣魚攻擊可能非常難以偵測，因為它們經常使用偽造的電子郵件地址，以及外觀看似合法網站的網站。攻擊者也會鎖定特定個人或組織，以提高其成功機率。

阻斷服務攻擊

阻斷服務攻擊（DoS attack）是一種試圖使系統或網路對使用者無法使用的網路攻擊。DoS 攻擊會鎖定網站或線上服務，並可用於癱瘓整個系統。

DoS 攻擊通常是透過以流量或請求淹沒目標來執行，直到其無法再處理負載而變得無法使用。它們也可透過破壞資料、利用弱點或使資源過載來停用系統或網路。

勒索軟體

勒索軟體 是一種會加密檔案或鎖定系統的惡意軟體，使使用者無法存取。它可透過電子郵件附件、受感染網站或遭入侵的軟體傳播。這類惡意軟體會封鎖存取或加密資產，通常迫使使用者支付贖金，以重新取得其裝置、檔案或系統的存取權。

將勒索軟體視為僅是對隨機竊取資料進行簡單加密，已無法準確反映當今多樣化的資料勒索策略。勒索軟體行為者 最近已轉向資料竊取，而非耗時的加密。趨勢顯示，對受害者資料進行完整加密對許多 threat actors 而言通常過於艱鉅且緩慢，並會增加遭偵測的風險。

目前已出現一系列 threat actors，他們正逐漸捨棄傳統且耗時的加密方式，轉而專注於摧毀所有遭竊資料。如今，可見這些行為者優先採取更快速的攻擊方式，例如透過資料勒索，在資料大致保留的情況下進行，或僅進行部分毀損，使其能快速行動並要求越來越高的贖金。

Drive-by Download

Drive-by download 是一種網路攻擊，會在使用者不知情或未同意的情況下，以惡意軟體感染系統。Drive-by download 通常發生在使用者造訪受感染網站或點擊惡意連結時。

這種攻擊形式可用於安裝各種類型的惡意軟體，包括病毒、木馬和勒索軟體。

威脅行為者範例

有些威脅行為者可能是單獨行動的攻擊者，而其他人則可能是更大型、有組織的犯罪集團或網路威脅組織的一部分。

檢視近期的一些網路攻擊範例，可協助組織更有效預測可能鎖定其網路或系統的威脅行為者類型，並為未來類似事件做好準備。

MeteorExpress

在 2021 年 7 月，一場wiper attack——也就是使用專門設計來抹除受感染電腦硬碟之惡意軟體的攻擊——癱瘓了伊朗國家鐵路系統。成功入侵後，顯示器指示鐵路乘客將任何投訴轉達至伊朗最高領袖 Khamenei 辦公室的電話號碼。

這場被稱為「MeteorExpress」的行動，展現了威脅行為者如何運用技術能力取得資訊系統存取權，並將其用於政治目的。至今，這起攻擊背後的威脅行為者身分仍然是個謎。

8220 Gang

一個名為 8220 Gang 的犯罪軟體集團，鎖定 AWS、Microsoft Azure、Google Cloud、Aliyun 和 Qcloud 等雲端基礎架構服務，以部署非法加密貨幣挖礦程式，並由受害者承擔成本。儘管該集團已運作多年，但到了 2021 年年中，使用長期運行基礎架構集合的新一波行動，已將殭屍網路數量從大約 2,000 infected hosts up to today’s figure of around 30,000。

像 8220 Gang 這樣的威脅行為者，經常會花費數年時間緩慢演進其行動，直到規模大到難以瓦解。

REvil 勒索軟體

REvil ransomware 透過一場zero-day attack成功散布到數千個企業端點，該攻擊鎖定由受管安全服務供應商 (MSSPs) 與 IT 管理公司常用的 Kaseya VSA 伺服器。這起攻擊似乎是迄今規模最大的勒索軟體事件之一，攻擊者曾以一次性總價 5,000 萬美元（原為 7,000 萬美元）提供適用於所有受害者的通用解密工具。

雖然最初被視為一場supply chain attack，但這場精心策劃、大規模的勒索軟體行動揭示了網路攻擊對威脅行為者而言有多麼有利可圖，以及現代端點偵測與回應 (EDR) 工具對組織有多麼重要。

Aoqin Dragon

由 SentinelLabs Aoqin Dragon」命名並追蹤的這個國家資助型威脅行為者組織，須對自 2013 年以來鎖定東南亞與澳洲政府、教育及電信組織的一系列惡意活動負責。雖然其確切動機尚不明確，但這個與中國有關聯的researchers，很可能主要專注於間諜活動。advanced persistent threat (APT) 組織

這個範例說明了威脅行為者如何在執行間諜活動並持續精進其手法的同時，低調地進行長期行動以避免遭到察覺。

Moshen Dragon

被稱為「Moshen Dragon」的這個與中國立場一致的威脅行為者，被認定曾劫持包括 Symantec、TrendMicro、McAfee、BitDefender 和 Kaspersky 在內的舊版安全產品來發動攻擊。除了 Moshen Dragon 部署的五種不同惡意軟體三件組之外，他們還使用了多種其他工具，包括 LSA 通知套件以及名為 GUNTERS 的被動式後門。

威脅行為者通常很可能會使用多種戰術、技術和工具來入侵電腦系統與網路。一旦威脅行為者建立立足點，他們通常會接著在網路內進行lateral movement、在環境中植入被動式後門、盡可能蒐集憑證，然後將重點放在資料外洩上。

如何預防並阻止威脅行為者的網路攻擊

對防禦者而言，最佳建議是始終在其網路可能已存在威脅行為者的假設下採取行動。預防威脅行為者的最佳方式，是部署完整的安全解決方案。理想的安全解決方案應包含以下能力：

1. 端點防護、偵測與回應 (EDR)

為了保護組織免受威脅行為者侵害，安全團隊會使用具備偵測與回應能力的完整端點安全解決方案，例如 Singularity™ Endpoint。

「端點防護」是指用於保護網路端點（例如筆記型電腦、伺服器和行動裝置）免受惡意軟體及其他威脅侵害的技術與流程。 EDR 工具與其他安全解決方案不同，因為它們不僅專注於識別與隔離特定惡意軟體或已正式宣告的事件。相反地，EDR 工具會尋找異常活動，並向安全團隊提供警示以進一步調查。

根據 Gartner，EDR 解決方案：

記錄並儲存端點系統層級的行為，使用各種資料分析技術來偵測可疑的系統行為，提供情境資訊，封鎖惡意活動，並提供修復建議以還原受影響的解決方案。

2. 零信任安全

零信任安全模型是一種不依賴預先定義信任層級的網路安全方法。相反地，它會將所有使用者、裝置和網路都視為不受信任，直到它們通過持續的驗證與授權檢查為止。

零信任架構 可協助防止威脅行為者取得電腦系統或網路的存取權，因為它不會自動提供對敏感資料的存取。每一位使用者，包括員工和承包商，每次想要存取任何內容時，都必須經過驗證流程。

3. 多重要素驗證

多重要素驗證 (MFA) 透過要求使用者在存取敏感資料之前提供兩項或以上的證明或要素，來增加額外的安全層。例如，可能會要求使用者輸入密碼，然後再以指紋或傳送到其手機的代碼確認身分。

MFA 對威脅行為者有效，因為它讓未經授權的使用者更難存取敏感資料。即使他們擁有有效密碼，仍然需要具備另一個要素，例如實體權杖或智慧型手機，才能取得系統或網路的存取權。

4. 防禦進階持續性威脅 (APTs)

進階持續性威脅是一種網路攻擊，犯罪分子會協同合作竊取資料或滲透系統，而且通常會在長時間內不被發現。在大多數情況下，這些攻擊是由試圖破壞另一個政府的民族國家所執行。

相較於其他網路攻擊，例如惡意軟體和 網路釣魚手法 只需幾天就會發生，APT 可能會持續數個月甚至數年。

APT 最常見的一些方法包括：

• 魚叉式網路釣魚: 傳送看似來自合法來源的目標式電子郵件，以誘騙使用者點擊惡意連結或開啟受感染的附件。
• 社交工程： 使用假網站或電話等欺騙手法，誘使使用者洩露敏感資訊或危害其系統。
• 水坑式攻擊： 感染目標組織員工經常造訪的網站，以便在他們造訪該網站時感染其系統。

APT 更難防禦，因為它們通常由資金充足且技術成熟的組織所執行。然而，只要具備正確的準備與安全措施，就能讓它們更難得逞。有效防禦威脅行為者需要像 Singularity XDR 這樣的整合式解決方案，其可提供即時偵測與回應。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

使用 SentinelOne 阻止威脅行為者

威脅行為者不斷改變其戰術，因此擁有能像他們一樣快速適應的安全解決方案至關重要。全球領先的次世代端點安全平台 SentinelOne，專為在攻擊生命週期的每個階段阻止威脅而打造。

SentinelOne 會主動即時化解威脅，使用 AI 驅動模型在惡意軟體與勒索軟體二進位檔發動攻擊之前加以識別。它也會建立關鍵情境資訊，以進行主動式即時偵測與回應，從而保護系統免受進階持續性威脅侵害。

ActiveEDR 是由 SentinelOne 設計的革命性技術，可即時識別惡意行為、自動執行所需回應，並輕鬆進行 威脅狩獵。藉由運用機器學習與人工智慧的力量，它減輕了 SOC 團隊的負擔，並且能夠在不依賴雲端資源的情況下，自主在端點上緩解事件。

ActiveEDR 讓安全團隊與 IT 管理員能專注於重要警示，減少了相較於其他被動式 EDR 解決方案，為複雜且龐大的資料量建立情境資訊所需的時間與成本。相反地，它在單一代理程式/主控台架構中提供全面的可視性、防護與回應能力。

了解 SentinelOne 如何主動保護組織免受威脅行為者侵害，並立即預約示範。