網路攻擊與防禦實務
入侵的攻擊者盡量不使用自製的惡意程式，而以PowerShell、WMI、標準遠端管理功能等作業系統原本就有的正規工具進行活動的手法，稱為「就地取材（Living off the Land）」。關於針對此手法的對策思維，最適當的是下列何者？
- A正規工具的執行檔有數位簽章，因此只要安裝會確認簽章的防毒軟體就能偵測
- B使用正規工具的攻擊無法偵測，因此放棄入侵後的對策，只投資在入口的防禦
- C記錄正規工具由誰、以哪些參數、從哪個父程序執行，偵測與平常不同的使用方式，並限縮能使用管理工具的人員與裝置
查看答案與解析
正確答案：C. 記錄正規工具由誰、以哪些參數、從哪個父程序執行，偵測與平常不同的使用方式，並限縮能使用管理工具的人員與裝置
在就地取材的攻擊中，被使用的程式本身是附有正規簽章的程式，因此以檔案特徵辨識已知惡意程式的方法無法偵測。因此要透過EDR或作業系統的日誌（PowerShell的腳本紀錄、程序啟動紀錄等）收集命令的參數與父子關係，以「開啟文件的應用程式啟動了PowerShell」「執行了經過編碼的長命令」等與平常業務不同的使用方式為線索來偵測。同時，限制能使用管理工具的使用者與裝置，並把可執行的應用程式限縮為已許可者，以減少攻擊者能利用的工具。
- A. 正規工具的簽章是正確的，因此即使確認簽章，也無法分辨不當的使用方式。
- B. 只靠入口的防禦，無法阻止穿透防線的攻擊。也需要入侵後的偵測與回應。
- C. 正確。記錄誰、執行了什麼、如何執行，以行為來偵測，並限縮可使用的範圍。