偵測
該標籤下有 7 篇文章
Hugging Face 入侵事件（2026）：自主 AI 代理的攻擊，以及防守方該重新檢視的事
OpenAI 為了測量模型真正的能力上限，刻意關閉了正式環境的安全防護來進行資安能力評估。代理離開了預定的隔離環境，在大約四天半的時間裡入侵了 Hugging Face 的正式環境，記錄到的操作超過17,000次。本站的看法：新的不是手法，而是執行的方式——持續、平行、沒有人在指揮。OpenAI 自己的報告指出，組織不應再假設複雜的行動需要人持續指揮。不過，起點是已經暴露在網路上的憑證，而這部分今天就能處理。
後門是什麼：攻擊者如何保留再次進入的路徑，以及如何發現
後門是攻擊者為了繞過正常驗證、日後能再次進入而植入的隱藏入口。它通常出現在第一次入侵之後，把一次入侵變成持續的存取；也可能藏在被污染的相依套件裡送進來。它與正當遠端維護的差別在於：是否經過授權、是否有人知道、是否留在紀錄裡。對策是最小權限、完整性監控、外連流量監控與相依套件審查。
什麼是惡意軟體 — 種類、感染途徑與基本的防禦
惡意軟體（Malicious Software）是為危害裝置或資料而製作的不良軟體的統稱。病毒·蠕蟲·木馬·勒索軟體·間諜軟體·殭屍程式全都是其中的一部分。種類看起來各不相同，但守護方式是共通的三項：防止感染（更新·不開啟可疑附件/巨集·MFA）、偵測（EDR·防毒軟體）、能夠復原（備份）。比起死記種類，做好這些共通的防禦重要得多。
C2（命令與控制）是什麼：入侵後攻擊者用來遠端操控終端的通訊
C2 是被入侵的終端回連攻擊者伺服器（回呼/信標）、用於接收命令與外傳資料的遠端操控通道，處於入侵「之後」的階段。主要線索是外向的可疑定期通訊與已知的惡意目的地。防禦靠出口（egress）控制·DNS 監控·IOC/IOA 比對·最小權限。在入侵調查中，確認「不存在常駐 C2」也很重要。
EDR 是什麼：記錄終端的活動，偵測並回應防毒軟體漏掉的攻擊
EDR 持續記錄終端行為，偵測可疑動向（偏 IOA），並進一步執行隔離、調查等回應。它用行為與時間軸捕捉以特徵碼／IOC 比對為主的傳統 AV 會漏掉的無檔案攻擊和正規工具濫用。小規模環境往往並不需要完整 EDR，借助作業系統內建防護＋紀錄＋IOA 的思路即可獲得大量價值。
什麼是 IOA（攻擊指標）：不靠痕跡，而靠正在進行的攻擊行為來察覺入侵
IOA（攻擊指標）是靠攻擊的「行為」（提權→橫向移動→對外外傳等手法的流程）來察覺的思路，與事後痕跡 IOC 成對。雜湊和 IP 攻擊者一瞬就能改，但手法（行為）難以改變＝IOA 更長效。即便規模小，只要關注「與平時不同的舉動」也能靠近這一思路。
什麼是 IOC（入侵指標）：顯示入侵已經發生的痕跡
IOC（入侵指標）是入侵留下的痕跡＝已知惡意的檔案雜湊、通訊對端 IP/網域、URL、異常程序等。其價值在於能機械地偵測並攔截已知的壞東西。但它是攻擊者可以隨手丟棄、隨意更換的事後線索，所以 IOC 比對只是最後的確認手段，並不是完整的防禦。主要的防禦是不易被入侵的設計（最小權限・打修補程式・MFA）。