跳至主要內容
ITD網站資安平台
ITD
搜尋

名詞解釋

#IOA#事件回應#威脅情資#偵測

什麼是 IOA（攻擊指標）：不靠痕跡，而靠正在進行的攻擊行為來察覺入侵

IOA（Indicator of Attack／攻擊指標）不看已留下的痕跡，而是依提權、橫向移動、對外外傳等正在進行的攻擊行為察覺入侵。說明它與 IOC 的區別、為何更長效，以及小團隊的用法。

發布於 2026-06-11 更新於 2026-10-06 閱讀時間 2 分鐘
本頁內容

僅靠「比對入侵痕跡（IOC）」，一旦攻擊者改掉痕跡就追不上了。這時起作用的，是靠行為察覺的 IOA。下面講解它的含義與用法（不會刊載攻擊步驟）。

IOC 與 IOA — 結果的痕跡 與 進行中的行為

IOC（入侵指標）＝結果的痕跡

  • 雜湊、IP、網域等事後的證據
  • 可對已知的惡意機械比對＝快
  • 但攻擊者很容易改掉
  • 本質上是追在後面

IOA（攻擊指標）＝進行中的行為

  • 「提權→橫向移動→對外外傳」等手法的流程
  • 能在接近即時的階段察覺
  • 是攻擊的本質，所以難以改變
  • 需要理解機制，落地成本較重

為什麼行為難以改變

對攻擊者來說，檔案雜湊和 IP 是「一次性用品」。而**「怎麼打」這套手法的流程**，受目標（拿到權限、擴散、帶走）所束縛，因此沒那麼容易改變。

手法的流程（IOA・難以改變）
↑ 靠行為察覺
雜湊・IP（IOC・一瞬就能改）
單個痕跡（下）容易改。手法的「流程」（上）是攻擊的本質所以難以改變＝更長效的指標。

小團隊也能落地的用法

即便沒有專門的 EDR（監控端點行為的產品），**關注「與平時不同的舉動」**正是 IOA 的本質。

1

先了解「平時」

先掌握正常時的登入時段、通訊量、所用功能。沒有基準就無法察覺「差異」。
2

關注行為上的異常

深夜的大量外傳、陌生的常駐程序、平時不用的管理功能被連續執行、短時間內大量登入嘗試等，關注顯示手法流程的動作。
3

察覺後先隔離再排查

把相關端點、金鑰、權杖切離，確認影響範圍。同時把痕跡（IOC）一併記錄下來。
4

與痕跡比對（IOC）並用

用 IOA 察覺「此刻正在發生的異常」，用 IOC 比對「已知的惡意」。不要只靠其中一邊，兩者都要用。

依攻擊階段整理的 IOA 例子

IOA 要先決定「看什麼」才能發揮作用。用 MITRE ATT&CK（把攻擊者的手法依階段整理的公開知識庫）來分階段，最容易整理。

階段行為的例子去哪裡看
初始存取連續登入失敗後緊接著成功；來自不尋常的國家或時段的登入登入紀錄（Windows 事件 4625 與 4624、雲端的登入紀錄）
權限提升很少使用的帳號被加入管理員群組Windows 事件 4732、雲端的權限變更紀錄
持續潛伏新建帳號、排程工作或服務事件 4720、4698、4697
湮滅痕跡稽核紀錄被清除事件 1102
與外部通訊以固定間隔向同一個目標通訊（C2）；深夜大量傳送Proxy、DNS 與防火牆的紀錄；通訊量的時間變化

這些在正常的管理作業中也都可能發生。Microsoft 自己的「應監控事件」清單也說明，中、低重要度的事件，在非預期發生或遠高於平常基準時就應調查。IOA 不是看單一數值，而是看與平時的差異、以及動作如何串連來判斷。

實際案例：是靠痕跡還是靠行為察覺的？

在本站報導過的公開案例中，察覺的線索因案而異。

案例察覺的線索類型
Codecov（2021）發布的腳本雜湊值與官方值不一致IOC（痕跡比對）
Hugging Face（2026）根據該公司的公告，針對資安遙測資料的異常偵測管線捕捉到了訊號IOA（行為異常）

在 Hugging Face 的案例中，兩家公司都表示入侵者是在沒有人類指示下行動的 AI 代理。這類行為者的動作是人類做不到的：不休息、不停頓、平行執行同樣的動作。越新的攻擊、越缺少雜湊或 IP 等已知痕跡，就越值得靠行為去察覺。

如何在自己的環境中檢查

不需要專用產品，可以從作業系統或雲端預設保留的紀錄開始。

  1. Windows：在「事件檢視器」中開啟「Windows 記錄 → 安全性」，以上表的事件 ID 篩選。在 PowerShell 中，Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50 會列出最近的登入失敗（以系統管理員身分執行）
  2. 如果什麼都沒有記錄：Windows 預設保留哪些稽核事件，會依版本與設定而不同。請在群組原則的「進階稽核原則設定」中確認，讓需要的事件會被記錄
  3. Linux 伺服器：last 顯示登入紀錄；journalctl -u ssh（依發行版而定，也可能是 sshd）或 /var/log/auth.log 顯示認證的成功與失敗
  4. 雲端與 SaaS：在管理主控台的稽核紀錄與登入紀錄中，找出來自不尋常國家或時段的登入，以及權限變更
  5. 保留基準：記下平日與週末平常的登入次數與通訊量。沒有基準，就無法判斷什麼叫「與平時不同」

本站視角：偵測與預防是兩回事，兩者都要有

IOA 是「靠行為察覺」的強力思路，但本站建議不要只依賴「察覺」。偵測（IOA/IOC）是事故發生之後的事，首要目標是從根本上不讓它發生、不讓它擴散的設計：最小權限、迅速打修補程式（CVE 監控）、抗釣魚的 MFA、不把機密以明文存放。話雖如此，完全的預防並不存在，所以預防（不讓它發生）與偵測（靠 IOA/IOC 察覺）兩者都需要。基於行為的 IOA，其價值在於能比痕跡比對更早一步顯示異常。

出處（一手資料）

  • MITRE「ATT&CK Enterprise Tactics」— attack.mitre.org（攻擊階段的分類方式）
  • IETF RFC 9424「Indicators of Compromise (IoCs) and Their Role in Attack Defence」（2023 年 8 月）— rfc-editor.org（TTP 比痕跡更難改變）
  • Microsoft Learn「Appendix L: Events to Monitor」— learn.microsoft.com（事件 ID，以及對照平常基準進行調查）
  • Codecov 與 Hugging Face 的出處列在各案例文章中

接著讀

FAQ

QIOA 和 IOC 有什麼區別？
A

IOC（入侵指標）是「入侵已經發生後留下的痕跡」——檔案雜湊、通訊目標 IP/網域等事後留存的證據。IOA（攻擊指標）則關注「正在進行的攻擊行為」——提權→橫向移動→對外外傳這類手法的流程。區別在於：IOC 是事後、靜態的，IOA 更接近即時、基於行為。

Q為什麼 IOA 更「長效」？
A

攻擊者可以一瞬就丟棄、更換檔案雜湊或 IP 位址（IOC 很快就過時）。而攻擊的「做法」本身（提權、橫向擴散、向外帶走的流程）是攻擊的本質，沒那麼容易改變。所以越關注行為＝IOA，防禦就越持久。

Q小團隊也能用 IOA 嗎？
A

即使沒有高階 EDR 產品，這套思路依然能用。關注「與平時不同的舉動」正是 IOA 的本質。例如深夜的大量資料外傳、陌生程序常駐、平時不用的管理功能被連續執行、短時間內大量登入嘗試等。比起單個 IOC，這些往往能更早顯示攻擊的推進。

QIOA 有哪些例子？
A

連續登入失敗後緊接著登入成功、很少使用的帳號被授予管理員權限、新建帳號或排程工作、稽核紀錄被清除、以固定間隔向同一個目標通訊，或在深夜大量傳送資料。每一項在正常的管理作業中也可能發生，因此要依它與平時的差異、以及多個動作如何串連起來來判斷。

QIOA 和 EDR 有什麼關係？
A

IOA 是「靠行為察覺攻擊」的思路，EDR 則是在端點上把它自動化的典型產品。EDR 會記錄處理程序、網路活動與檔案操作，並偵測構成 IOA 的一連串活動。即使沒有 EDR，也可以用作業系統的稽核紀錄與登入紀錄，套用這個思路的一部分。

QIOA 和 TTP、MITRE ATT&CK 有什麼關係？
A

TTP 是攻擊者的戰術（Tactics）、技術（Techniques）與程序（Procedures）。MITRE ATT&CK 是把它們依階段整理的公開知識庫，例如初始存取、權限提升、命令與控制。IOA 則是 TTP 實際在執行的跡象。把你監看的項目對照到 ATT&CK 的各階段，就更容易看出監控的缺口。