Recommended
More Related Content
Similar to microsoft security report.pdf
Similar to microsoft security report.pdf (20)
microsoft security report.pdf
- 1. Microsoft 數位防禦報告 2021 年 10 月
- 2. 2 Microsoft 數位防禦報告 | 2021 年 10 月 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 第 1 章 簡介 3 簡介 5 2021 年的主要重心 第 2 章 網路犯罪現況 8 簡介 8 網路犯罪經濟與服務 10 勒索軟體與勒索 20 網路釣魚及其他惡意電子郵件 34 惡意軟體 38 惡意網域 42 對抗式機器學習 第 3 章 國家威脅 48 簡介 49 追蹤國家威脅 52 所見所聞 57 本年度國家活動分析 69 民間攻擊行為體 69 必備的全方位保護 第 4 章 供應鏈、IOT 及 OT 安全性 71 簡介 72 管理與供應商生態系統相關風險的 挑戰 73 Microsoft 對供應鏈的看法 76 IoT 和 OT 威脅環境 81 高度安全裝置的 7 項特質 82 將零信任方法應用於 IoT 解決方案 83 處於網路安全性與永續性交會點的 IOT 84 IoT 安全性政策考量 第 5 章 混合式工作團隊的安全性 89 簡介 91 保護混合式辦公的零信任方法 93 身分識別 98 裝置/端點 99 應用程式 100 網路 104 基礎結構 105 資料 106 人員 第 6 章 假資訊 110 簡介 111 假資訊是一種新興威脅 113 借助媒體素養釐清事實 114 假資訊會為企業製造混亂 117 活動的安全性與選舉的公正性 第 7 章 可付諸行動的見解 122 簡介 123 報告結果摘要 128 總結 Microsoft 的參與團隊
- 3. 3 Microsoft 數位防禦報告 | 2021 年 10 月 簡介 TOM BURT，公司副總裁，客戶安全和信任部門 過去一年來，全球都見證了網路犯罪經濟及網路犯罪服務的迅速發展和崛起。我們看到全球市場在複雜性和 狂熱度方面的增長。我們同時也發現網路攻擊環境變得日漸複雜，因為網路罪犯在這段危機時刻仍持續活動， 甚至可說更加猛烈。新層次的供應鏈和勒索軟體攻擊，讓我們領悟到大家必須攜手合作，並以全新的方式一 同守護全球網路安全。 我們認為透明度和資訊共享對保護生態系統來說至關 重要。知識帶來力量，為此，安全性專業人員需要及 時且多元化的見解，來掌握他們抵禦的威脅。 Microsoft 在全球擁有數十億名客戶，因此可以彙總 各種公司、組織和消費者的安全性資料。我們每天會 收到 24 兆個以上的安全性訊號，站在這樣的資訊制 高點上，可協助我們精確掌握目前網路安全性的狀 態， 其中也有部分指標可協助預測攻擊者的後續行動。 《Microsoft 數位防禦報告》的創立目標是希望能比以 往納入 Microsoft 更多領域、更多團隊的整合式資料 和見解。我們會分享所見所聞，協助全球社群加強數 位生態系統的防禦，並納入可執行的學習課程，讓公 司、政府和消費者可以使用這些學習課程，進一步保 護個人和環境。 《Microsoft 數位防禦報告》取材自遍布 Microsoft 雲 端、端點和智慧邊緣的見解、資料和訊號。1 這些見 解是從我們先進的工程和威脅訊號收集而得，並由經 過數千名遍及 77 個國家 / 地區的 Microsoft 安全性 專家參與解讀。我們的安全性專家包括分析師、研究 人員、回應人員、工程師和資料科學家。我們也會分 享客戶轉換至混合式工作團隊的經驗談，以及事件回 應人員的一線實戰案例。當然，我們難免會有疏漏之 處，有些惡意活動是靠業界其他夥伴通報得來。雖然 Microsoft 的防禦者社群努力找出威脅並隨時通知客 戶，但惡意行為體不只技術嫻熟，還防不勝防。我們 為此付出許多努力，持續分享我們和業界其他夥伴透 過這些心血結晶獲得的見解，並希望以此讓每個人都 能更有效地守護線上生態系統。 Microsoft 為了提升及增進從威脅訊號獲得的知識， 已持續付出大量投資。大家在這裡看到的見解，都是 因為這些投資才能確保高度合成性與整合性。我們彙 總這些學習課程的目標，是協助組織了解網路罪犯不 斷改變其攻擊模式的方式，並判斷對抗這些攻擊的最 佳方法。而我們撰寫及分享這份報告的初衷，是讓全 球社群可以獲益於我們從獨特使命及優勢角度得到的 見解、觀察和透明度。 1 我們在收集這些訊號時，仍仔細保護客戶的隱私權。我們會依據您跟 Microsoft 的互動情況及您所做的選擇，包括您的隱私權設定以及使用的商品和功能，來判斷要收集哪些資料。 簡介 2021 年的主要重心 3 Microsoft 數位防禦報告 | 2021 年 10 月 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 《MICROSOFT 數位 防禦報告》取材自遍 布 MICROSOFT 雲端、 端點和智慧邊緣的見解、 資料和訊號。
- 4. 4 Microsoft 數位防禦報告 | 2021 年 10 月 Microsoft 安全性訊號 Microsoft 處理的訊號數量和多樣性 簡介 2021 年的主要重心 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 5. 5 Microsoft 數位防禦報告 | 2021 年 10 月 2021 年的主要重心 2021 年讓我們深刻體會到，為了保護未來，我們必 須了解目前的威脅。為此，我們必須以新的方式持續 分享資料和見解。隨著網路罪犯改變戰術、運用當前 事件來利用脆弱目標，並以新管道推展活動，特定類 型的攻擊狀況也更加惡化。對攻擊者和防禦者來說， 變化都會帶來機會，因此這份報告將著重在未來幾個 月裡與社群習習相關的最新威脅。 考量威脅形勢，以及全公司團隊的資料和訊號，這份 報告強力聚焦的重點為下列五大關鍵領域：網路犯罪 現況；國家威脅；供應商生態系統、物聯網 (IoT) 和營 運技術 (OT) 安全性；混合式工作團隊；以及假資訊。 為了將效益最大化，我們還精選相關建議和可執行的 學習課程，並在整份報告及總結章節中加以呈現。 網路犯罪現況 這個章節將探討網路犯罪經濟的新發展以及網路犯罪 服務市場的成長。我們會針對勒索軟體與勒索、網路 釣魚和其他惡意電子郵件、惡意軟體，以及網路罪犯 所用網域的所見所聞提供最新資訊與分析，並提出降 低各個領域風險的建議。最後，我們會分享我們在對 抗式機器學習中的所見所聞，以及我們為了在此領域 中領先網路罪犯而採取的措施。 國家威脅 本章節更新了我們對國家對抗式活動的所見所聞， 包括我們之前未曾公開提及的七個活動群組之相關報 告。我們針對分水嶺這年內不斷變化的威脅提供了分 析，而這份分析更關注內部佈署伺服器及大範圍暴露 的供應鏈弱點。最後，我們會以討論民間攻擊行為體 作結，並提供全方位保護的指引。 供應鏈、IOT 及 OT 安全性 從去年受到高度關注的事件可清楚得知，保護及管理 供應商生態系統的相關風險至關重要。本章節會討論 目前在供應商生態系統中保護及管理相關風險的一些 挑戰，並說明 Microsoft 對 9 個投資領域中的端對端 供應鏈安全性有何想法。然後，我們會將討論轉向我 們對於物聯網 (IoT) 和營運技術 (OT) 威脅形勢的所見 所聞，以及高安全性裝置屬性的指引。其中包含 IoT 的專門使用案例，以及一些有助於構思 IoT 政策的新 研究。 簡介 2021 年的主要重心 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 6. 6 Microsoft 數位防禦報告 | 2021 年 10 月 Microsoft 數位防禦報告 | 2021 年 10 月 6 簡介 2021 年的主要重心 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 混合式工作團隊的安全性 本章節主要討論我們最大的資產，也就是我們的員 工。在過去一年轉移到混合式工作團隊的過程中， 我們發現威脅形勢的發展印證了採用零信任方法的重 要性。我們會說明零信任六大支柱 (身分識別、端點、 應用程式、網路、基礎結構和資料) 的相關威脅訊號和 其他資料，並依據我們的所見所聞提供指引。最後， 我們將討論混合式工作環境中的內部威脅，以及管理 當今工作人力面對的全新關鍵挑戰時極應具備的同理 心態。 假資訊 本章節會討論前所未有的假資訊活動以及相關網路行 動，這類活動由國家行為體和非國家行為體所進行， 並影響了公眾意識和知識，以及企業營運。我們會探 討網路安全的一些相似事件，以及如何借助媒體素養 釐清事實。我們會討論假資訊會為企業製造混亂的情 況，並為企業主管提供四個重點的方案。最後本章節 會深入探索政治活動的安全性與選舉的公正性。這兩 個領域一直是假資訊活動的目標。 可付諸行動的見解 在今年度總結章節的一開始，我們會先討論五個典範 轉移，聚焦在對人們和資料之包容性這項工作的演 進。本章最後摘要了這份報告先前所有章節網羅的重 要經驗：為了將攻擊所造成的影響降至最低，我們必 須真正實踐良好的網路衛生，實作支援零信任原則的 架構，並確保將網路風險管理內化到業務當中。
- 7. 7 Microsoft 數位防禦報告 | 2021 年 10 月 第 2 章 網路犯罪現況 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 8. 8 Microsoft 數位防禦報告 | 2021 年 10 月 簡介：網路犯罪的威脅日益嚴重 數位犯罪部門總經理 AMY HOGAN-BURNEY 網路犯罪無論是否為國家贊助或允許的行為，都是對國家安全的威脅。網路罪犯會針對關鍵基礎設施的所有產業 發動攻擊，包括醫療保健和公共衛生、資訊技術 (IT)、金融服務以及能源產業。勒索軟體攻擊的成功率越來越高， 癱瘓了政府和企業機能，而且從這些攻擊而來的獲利不斷飆升。 網路犯罪供應鏈 (通常是由犯罪集團所建立) 愈發成熟，任何人都能購買進行惡意活動所需的服務，以獲取金錢或 達成其他不良意圖。經驗豐富的網路罪犯也仍然會為政府工作，在新的戰場上進行間諜和訓練活動。 情況並非毫無希望， 我們最近看到兩個正面趨勢。首先， 當越來越多的政府和公司成為受害者時，他們將挺身而 出。這樣的透明性在許多方面很有幫助。這會向全球各 地的政府傳達一個明確的訊息，那就是網路犯罪是安全 性的威脅。受害者故事讓這些攻擊的後果顯得更近人情 且清楚明瞭，引起人們對問題的注意，而讓越來越多的 事件回應人員和執法機構願意參與。其次，現在全球各 地的政府都了解網路犯罪會對國家安全造成威脅，因此 將打擊網路犯罪視為首要任務。世界各地的政府通過了 有關呈報、建立跨政府任務小組、分配資源及尋求民間 機構協助的新法。 網路犯罪經濟與 服務 在我們對線上犯罪網路組織的調查、客戶攻擊的前線 調查、安全性和攻擊研究、國家威脅追蹤以及安全性 工具開發過程中，我們持續看到網路犯罪供應鏈的整 合與成熟。以前，網路罪犯必須開發攻擊所需的所有 技術。現在，他們依賴成熟的供應鏈，其中專家會建 立網路犯罪套件和服務，供其他行為體購買和納入其 活動。隨著對這些服務的需求增加，專業化服務經濟 市場應運而生，威脅行為體也採用更多自動化手法來 降低成本和增加規模。例如，除了遠端桌面通訊協定 (RDP)、安全殼層 (SSH)、虛擬私人網路 (VPN)、虛擬私 人伺服器 (VPS)、網頁殼層、cPanel (虛擬主機管理儀表 板) 及其他匿名化系統之外，我們還看到 Backconnect Proxy (在行動、住宅和資料中心系統之間輪替的 Proxy) 的供應不斷增加。 其他例子還包括販售可能透過網路釣魚取得的盜用認 證、抓取殭屍網路記錄或其他認證搜集技術、偽造 網域名稱、網路釣魚即服務、客製的潛在客戶生成 (例如特定國家/地區、產業或角色的受害者)、負載 (用 即使不具備如何進行 網路犯罪攻擊的技術 知識，業餘威脅行為 體也只需要按一下滑 鼠，即可購買一系列 服務進行攻擊。 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 8 Microsoft 數位防禦報告 | 2021 年 10 月 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 9. 9 Microsoft 數位防禦報告 | 2021 年 10 月 於更新受感染電腦上惡意程式碼的惡意軟體)、拒 絕服務 (DoS) 等。例如，在某些市場中，不同的賣 家會根據各種變數 (包括企業目標的感知價值) 提供 USD 1.00 元到 USD 50.00 元不等的盜用認證。在 過去 12 個月，提供這些服務的網站數量大幅增加， 而且認證的數量和網路釣魚套件的種類也大幅增加。 連業餘威脅行為體也能使用的服務還包括加密委付 服務 (以確保服務按提供方式轉譯)，我們經常在商 品勒索軟體活動中看到這些服務，而且已穩固建立 加盟模式。非技術網路罪犯與勒索軟體同夥簽約， 以收入分潤 30% 換取同夥網路提供勒索軟體、復原 服務和付款服務。攻擊者接著會從市場購買「負載」 ， 再將勒索軟體推送到他們所購買的負載，然後就能 坐享其成。 雖然有時可能會有不同地區的行為體提供特定服務， 但大多數網路犯罪市場本質上是全球性的。巴西的買 家可以從巴基斯坦的賣家、美國的網域、奈及利亞的 潛在受害者及羅馬尼亞的 Proxy 取得網路釣魚套件。 這些價格過去幾年來維持相當穩定，但與任何其他市 場一樣會隨著供應、需求及外部因素 (例如政治) 的變 化而有所不同。 重點： • 身分識別和密碼/網路釣魚攻擊很便宜，而且不斷 增加。 如果攻擊者能夠登入，為何還要破門而入？ • 針對未受保護網站的分散式阻斷服務 (DDoS) 攻擊很便宜，每月大約 USD 300 元。 • 勒索軟體套件是專為讓低技能攻擊者執行更複雜 攻擊而設計的諸多攻擊套件類型之一。 網路犯罪服務的平均交易價格 組織現在面對的是一個技能專業化且從事非法商品交易的產業化攻擊者經濟市場。如這份平均價格簡 述所示，許多可在黑市購買的商品非常便宜，使攻擊更便宜且更容易進行 (這也促使攻擊數量增加)。 並非所有攻擊都有效。我們必須持續改進防禦措 施，以提高攻擊的失敗率及攻擊者的相關成本。 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 10. 10 Microsoft 數位防禦報告 | 2021 年 10 月 2 https://securityandtechnology.org/ransomwaretaskforce/report/ 3 https://aka.ms/humanoperated 勒索軟體與勒索 勒索軟體基礎知識與分類 勒索軟體與勒索是一門高利潤、低成本的生意，會對 目標組織、國家安全、經濟安全以及公共衛生和安全 造成嚴重影響。一開始是簡單的單一電腦勒索軟體， 現已成長為包含可透過人工情報實現的各種勒索技 術，並會影響全球各地所有類型的組織網路。 這種即時情報以及更廣泛犯罪戰術、 技術和程序 (TTP) 的組合，將這些攻擊的影響發揮至最大，並且從這些 攻擊中獲利，影響程度是幾年前難以想像的。從這一 點來看，公開報導的勒索軟體和勒索攻擊獲利為這些 攻擊者提供了預算金額，且可能足以比擬國家攻擊組 織的預算 (這甚至還未計入未見報的攻擊獲利)。 為了打擊勒索軟體，全球各地的民間機構、執法機 關與政府必須協同合作，才能降低這類犯罪的獲利， 使其更難以進入勒索軟體市場，並提供有效的工具 給受害者以有效率地進行預防和補救。Microsoft 是勒索軟體任務小組報告的參與者之一，這是專 為採取行動打擊勒索軟體而設計的全方位架構 2 。 Microsoft 還發佈了一個專案計劃，其中包含技術 指引的連結，以協助組織為這些攻擊做更好的準備 並回應這些攻擊。Microsoft 也參與了美國國家標 準 與 技 術 局 (National Institute of Standards and Technology) 刊物，其中包含勒索軟體風險管理的網 路安全性架構概況 3 。 勒索軟體和勒索攻擊是指威脅行為體佈署惡意軟體以 加密和外洩資料，然後挾持資料進行勒索，通常會要 求以加密貨幣支付贖金。攻擊者不會直接加密受害者 的檔案並要求贖金以換取解密金鑰，而是先外洩敏感 性資料，再佈署勒索軟體。這種做法會防止受害者從 談判中退出，並提高受害者不支付贖金的名譽成本， 因為攻擊者可能不僅會將受害者的資料保持加密，還 會外洩敏感性資訊。 在勒索軟體最終佈署到組織內的所有電腦系統之前， 早已發生一系列犯罪活動。因此，我們建立了一套分 類，著重於勒索軟體生態系統中實體之間的關係，因 為任何實體可能會在任何指定時間扮演不同的角色。 勒索軟體攻擊已演變成人為操作的勒索軟體，也稱為 「鉅款勒索軟體」 。 勒索軟體分類 主要角色 描述 開發 撰寫惡意程式碼 佈署 傳送網路釣魚電子郵件、佈署勒索軟體 提供存取權 載入其他惡意程式碼的惡意軟體，或以服務形式販售存取權的團體 管理/操作 團體 (例如 MAZE 聯盟會員) 的領導權和/或提供協調的功能 (例如管理或操作中央勒 索外洩網站) 公開通報的連線 有公開通報的連線存在 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 11. 11 Microsoft 數位防禦報告 | 2021 年 10 月 勒索軟體生態系統中實體之間角色和關係的範例分析 例如，如右圖所示，威脅行為體可能會開發和佈署惡 意軟體，讓一位威脅行為體接觸到某一類的受害者， 並讓另一位威脅行為體只能佈署惡意軟體。 外洩後回應 就像佈署勒索軟體的犯罪集團通常涉及幾個各自擁有 特定職責的關係人，對勒索軟體的回應也涉及幾個關 鍵關係人。 如果勒索軟體攻擊的受害者擁有網路保險，保險公司 將會雇用特定服務提供者，包括事件回應公司、律師 事務所及專門處理勒索談判的組織。即使受害者沒有 網路保險，這些關係人通常也會尋找解決勒索的解決 方案。 一旦勒索軟體犯罪集團鎖定受害者的網路、外洩資料 並挾持網路和資料進行勒索，事件回應團隊就會調查 外洩的根本原因，並視受害者在攻擊前的準備程度來 推動補救措施。如果受害者已充分備份其資料或資料 未遭竊，事件回應團隊通常會從受害者的系統移除威 脅行為體、恢復業務營運，並實施未來的降低風險措 施。事件回應團隊通常會提供受害者一份報告，其中 包含根本原因、受害者網路內的犯罪行為體行動、資 料暴露和外流，以及補救建議。 根據受害者的管轄地， 受害者可能必須通報資料外洩。 律師事務所通常會評估受害者的公開責任，並協助受 害者履行其法規義務。重要的是，律師事務所會在適 當的情況下連絡相關執法機關。最後，如果受害者無 法恢復業務營運，會有一個專門與勒索軟體犯罪集團 談判的組織代表受害者設法取得解密金鑰。 勒索軟體犯罪集團和同夥會聯手執行這些彼此相連的威脅。勒索軟體攻擊背後不只一個人，而是好幾群 人，類似共享經營模式。 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 12. 12 Microsoft 數位防禦報告 | 2021 年 10 月 外洩後回應所涉及的的關係人和角色 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 13. 13 Microsoft 數位防禦報告 | 2021 年 10 月 犯罪經濟學：不斷變化的 經營模式 勒索軟體的經營模式實際上已演變成情報作業；犯罪 行為體會對目標受害者進行研究，以決定適當的贖金 金額。一旦犯罪行為體滲透網路，就可能會竊取並研 究財務文件和保險單。他們也可能了解與當地外洩法 相關的罰則。這些行為體會接著向受害者勒索贖金， 不只是為了解鎖其系統，還為了防止受害者的外洩資 料被對外公開。在收集並分析此情報之後，犯罪行為 體會找出「適當的」贖金金額。 右側談判對話顯示一所公立學校被勒索現金，以換取 解密金鑰來解鎖佈署在其網路上的 Conti 勒索軟體。 該對話呈現了罪犯在談判之前進行過什麼研究。 在此， 犯罪行為體表明： 「我們查看了所有財務文件、去年 的銀行對帳單、保險。結論是，你們誇大了財務不良 的情況。我們也計算教職員和學生因個人資料外洩可 能發生的訴訟損失。 這些罰款將超過 USD 3,000 萬元。 更別提名譽損失，我們認為代價會更高。 」 勒索軟體談判對話 勒索軟體集團已演 變成由人工情報和 研究驅動的勒索軟 體即服務。 13 Microsoft 數位防禦報告 | 2021 年 10 月 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 14. 14 Microsoft 數位防禦報告 | 2021 年 10 月 4 公地悲劇 - 維基百科 此犯罪集團的進入門檻很低。網路罪犯不需要專精的 程式碼開發技能，就能從此犯罪中獲利。勒索軟體集 團已演變成由人工情報和研究驅動的勒索軟體即服 務。這不再單純是惡意程式碼開發人員的領域；相反 地，這門生意的結構是模組化的。惡意軟體開發人員 招募能存取網路的駭客，並承諾能從獲利中「抽成」 。 罪犯可以購買惡意軟體和存取特定網路，並鎖定特定 產業。這實際上是犯罪集團，其中每個成員都會依其 特定專長而獲得報酬。 在以下顯示的範例中，我們遵循加密流程，發現犯罪 集團分割了其比特幣「獲利」 ，其中大約 15% 的獲利 流向開發人員/管理者，而 75% 的獲利則流向攻擊者。 無論勒索軟體佈署在何處，威脅行為體通常會要求透 過加密電子錢包，以加密貨幣支付贖金。雖然基底區 塊鏈技術有助於讓加密貨幣流程透明化，但電子錢包 的擁有者仍然保持匿名。不過，他們仍然需要找到加 密生態系統的出、入金管道。其核心是，犯罪行為體 必須在區塊鏈進行交易，最終找到出金的方法。加密 貨幣生態系統中有幾個關係人會協助處理與勒索相關 的交易和支付贖金。這些中介者通常位於過去不願意 與美國及其他國家/地區合作的政府管轄地。正是這 些中介者實現了勒索軟體不當獲利的金流。民間機構 可透過民事訴訟，而政府可透過起訴、監管執法及跨 國協作，對中介者採取協調行動，以中斷付款過程。 相關主題：要付還是不付？ 勒索軟體攻擊的餘波，常會使公司脫離常軌，包括安 全性系統遭到篡改、備份系統遭到刪除、資料遭到加 密，以及使用者無法登入。當營運失序且虧損節節高 升時，請記住，支付要求的贖金並不保證可恢復營運， 也不保證可防止未來的攻擊。 此外，實際上還有典型的「公地悲劇」 4 ，雖然個別受 害者可以為個人利益 (恢復關鍵業務營運) 支付贖金， 但支付行為也會助長此模式對所有人的危害。支付贖 金可能會使此循環永不終止，如下所述： • 勒索者的經營模式獲得增強，而這也會吸引更多 惡意行為體利用此獲利策略。行為體獲得大量收 入之後，會使用其中一部分進行研發 (R&D) 以改 進其工具，並能夠購買潛在受害組織遭外洩的存 取權。某些勒索軟體團隊擁有大量的資金，可用 於進行研發和購買先進零時差攻擊產品。例如， 某些勒索軟體團隊會針對零時差攻擊撥出高達 USD 100 萬元或甚至更高的開銷預算。雖然有些 先進勒索軟體團隊會購買零時差攻擊產品，但其 他團隊則專注於利用傳統方式來取得受害者網路 的遠端存取權。 • 勒索軟體工具變得更自動化且更有效，讓惡意行 為體能夠更輕易地擴大及加速更複雜的攻擊。 交易雜湊和電子錢包地址 受害者贖金電子錢包顯示在最左邊。資金分割成最右邊的兩個不同電子錢包。 基於出版目的，已故意模糊處理文字內容 比特幣電子錢包地址 交易雜湊 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 15. 15 Microsoft 數位防禦報告 | 2021 年 10 月 在決定是否要支付贖金時， 請注意下列重要詳細資料 ： • 平均而言，支付贖金的組織只會拿回 65% 的資 料，其中 29% 的組織拿回的資料還不到一半 5 。 • 勒索解密程式錯誤很多， 而且經常無法解密最大、 最關鍵的資料檔案 (檔案大小超過 4 GB)。 • 解密資料檔案是一個緩慢且耗力的過程，大多數 客戶只能解密其最關鍵的資料檔案，然後從備份 中還原其餘部分。 • 還原資料不會復原攻擊者執行的任何篡改。 • 還原資料無法確保系統安全以防止未來的攻擊。 • 組織必須了解在其所在國家/地區支付贖金的合 法性。全球各地的政府正在制定勒索軟體支付贖 金通報規定、對於向受制裁方支付贖金的行為可 能設有罰則，並考慮制定法律使支付贖金成為非 法行為。 支付贖金會助長勒索軟體犯罪集團 支付贖金會讓罪犯有更多資源來擴大行動， 協助他們變得更有組織且更專業化。有了更 多的資金，這些團體可以改進其工具和程式 碼，讓勒索軟體在不被防毒軟體偵測到的情 況下透過網路傳播。 勒索信 5 The State of Ransomware 2021 (2021 年勒索軟體現況) – Sophos News 例證：CONTI 勒索軟體 Conti 勒索軟體最早出現於 2020 年 7 月左右，採用了雙重勒索經營模式。在此雙重勒索模式中，會先勒索受 害者為可能被公佈的遭竊資料支付贖金。Conti 也是勒索軟體即服務 (RaaS)，這是一種訂閱型服務，可讓同夥 立即存取勒索軟體建置工具和組建。服務同夥同意在勒索軟體開發人員與執行惡意探索的威脅執行者之間支付 的贖金百分比。Conti 通常 會透過其他威脅 (例如 Trickbot、IcedID 或 Zloader) 取得受害者網路的存取權。一 旦進入受害者網路，Conti 有一個可設定的偵察模組，能夠在掃描內部網路以尋找網路共享及其他高價值目標。 佈署後，Conti 會開始根據目標副檔名清單，加密使用者可修改的資料和資料庫。加密完成後，會在每個檔案 目錄中留下勒索信，並指示使用者如何連絡勒索軟體行為體： 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 16. 16 Microsoft 數位防禦報告 | 2021 年 10 月 使用者現在必須將勒索信文字檔上傳到勒索信中列出的復原網站。該信可作為勒索軟體行為體的加密和受害者身 分識別證明。 上傳並確認勒索信之後，就會展開談判。 Conti News 網站 勒索復原網站 上傳勒索信後的談判對話 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 17. 17 Microsoft 數位防禦報告 | 2021 年 10 月 6 https://www.microsoft.com/security/blog/2019/12/16/ransomware-response-to-pay-or-not-to-pay/ 7 https://www.microsoft.com/security/blog/2020/03/20/protecting-against-coronavirus-themed-phishing-attacks/ 談判階段是由威脅行為體起頭，因為他們會證明自己能夠解密受害者提供的任何檔案。在談定最終贖金之後， 勒索軟體行為體會提供一個比特幣電子錢包地址，以供受害者支付贖金。Conti 勒索軟體執行者會在一般頂層網 域 (例如開放網路) 以及暗網或 Tor (亦即 The Onion Router，洋蔥路由器) 上維護復原和新聞網站。 Conti 背後的行為體會維護一個新聞網站，這是雙重勒索經營模式的一部分，用途為發佈網站，證明如果不支付 贖金，受害者的私人資訊就會被公開張貼，並可能在黑市販售。Conti News 網站目前列出了數百名受害者及其 私人資料的各種實例。 Conti 受害者主要位於美國及歐洲，並包括公立學校、醫療保健提供者、製造公司、美國市政府，甚至還有公共 事業提供者。 我們在勒索軟體資料和訊號中所看到的內容 防禦訊號 這些圖表顯示勒索軟體遭遇數整體增加，其中在 2019 年底 6 、當 RaaS 開始成長時，以及在 2020 年初新型冠狀病毒 (COVID-19) 疫情爆發時 7 ，消費者和 商業遭遇數均明顯激增。 勒索軟體遭遇率 (電腦計數)：企業客戶 勒索軟體遭遇率 (電腦計數)：所有客戶 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 18. 18 Microsoft 數位防禦報告 | 2021 年 10 月 DART 資料 2021 年 5 月的 Colonial Pipeline 勒索攻擊引起相當大的大眾關注，而我們的偵測及回應團隊 (DART) 勒索軟體互 動資料顯示，三大目標產業分別是消費品、金融業和製造業。儘管勒索軟體行為體持續承諾在疫情期間不會攻擊 醫院或醫療保健公司，但醫療保健業仍然是人為操作勒索軟體的前五大受害產業。 DART 勒索軟體佔各產業的百分比 (2020 年 7 月 - 2021 年 6 月) 受勒索軟體影響的電腦計數 (依國家/地區) (2020 年 7 月 - 2021 年 6 月) 賭注已經改變。勒索軟體與勒索的成長軌跡 十分驚人。 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 19. 19 Microsoft 數位防禦報告 | 2021 年 10 月 建議摘要 賭注已經改變。勒索軟體與勒索的成長軌跡十分驚人。為了協助保護您的組織免受勒索軟體攻擊，我們建議組織 ： 準備復原方案，使系統更難存取和中斷，從而將勒索軟體攻擊者的獲利誘因降至最低，並更容易從攻擊中復原， 而無需支付贖金。 限制破壞範圍，迫使攻擊者花更多功夫才能取得多個關鍵業務系統的存取權。建立最低權限存取並採用零信任原 則。這些步驟會讓進入網路的攻擊者更難周遊網路，以找到要鎖定的寶貴資料。此外，也請加密待用資料，並實 施健全的備份與還原檢疫。如此一來，即使資料遭竊，也會因為已加密而對攻擊者用處不大。如果資料不幸被攻 擊者加密，您會有完好的備份可以還原，並用於維護業務續航力。 更難入侵，遵循基本網路安全性檢疫步驟，使攻擊者更難以存取網路。這些步驟中最重要的是使用多重要素驗證 (MFA)，這對於提高進入阻力很重要。做為更加安全的旅程中的一道關卡，其需要投入時間完成。您還可以執行 其他步驟 (例如將修補和正確設定保持在最新狀態)，找出並關閉易受攻擊的進入點。 使用這些階段做為起始計畫，規劃要優先執行、接續執行及稍後執行的工作，以優先找出最具影響力的要素。 這些建議使用了假設外洩的零信任原則來排列優先順序，該原則假設攻擊者能夠透過一或多個方法成功存取您 的環境，旨在將業務風險降至最低。 Microsoft 支援 Cyber Readiness Institute 所出版 Ransomware Playbook (勒索軟體教戰手冊) 中的指引 8 。 了解更多： 預防勒索軟體及從中復原的 3 個步驟 (英文) | Microsoft 安全性部落格 (9/7/2021) 快速防範勒索軟體與勒索 (機器翻譯) | Microsoft Docs (8/24/2021) Azure Sentinel 的勒索軟體融合偵測 (英文) (microsoft.com) (8/9/2021) 勒索軟體的威脅日益嚴重 (英文) - Microsoft On the Issues (7/20/2021) 人為操作的勒索軟體 (機器翻譯) | Microsoft Docs (5/27/2021) Ransom mafia analysis of the world's first ransomware cartel (全球第一勒索軟體 Cartel 的勒索犯罪集團分析) PDF 文件 (analyst1.com) (4/7/2021) Ransomware Playbook (勒索軟體教戰手冊) - Cyber Readiness Institute 佈署勒索軟體保護 8 Ransomware Playbook (勒索軟體教戰手冊) - Cyber Readiness Institute 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 20. 20 Microsoft 數位防禦報告 | 2021 年 10 月 9 https://www.ic3.gov/Media/PDF/AnnualReport/2020_IC3Report.pdf 網路釣魚及其他 惡意電子郵件 身分識別威脅 在 2020 年，FBI IC3 報告 9 將網路釣魚列為受害者最 常申訴的頭號犯罪類型。與前一年相比，報告數量倍 增。網路釣魚對企業和個人都構成重大威脅，去年許 多最具破壞性的攻擊中都利用了認證網路釣魚。 根據我們對涉及商務電子郵件入侵 (BEC) 之線上犯罪 網路組織的調查，發現認證的取得、驗證及稍後使用 方式各式各樣，這或許可以解釋為何威脅增加。威脅 行為體更加自動化並購買工具，以提高犯罪活動的獲 利。攻擊者可能會從假冒無數個線上服務的網路釣魚 網站，向毫無戒心的受害者取得認證，這些網站會自 動抓取及剖析屬於受感染裝置的記錄檔 (其中記錄了 在鍵盤上輸入的按鍵)，然後猜測來自一個遭入侵線 上服務的認證重複用於另一個服務的位置。 針對每個認證，都有服務利用個人身分的額外詳細資 料來充實身分識別的相關資訊，包括姓名、任職公司、 職務、在公司的資歷及公司相關產業。有了此資訊， BEC 攻擊就能利用身分識別，以便傳送來路不明的訊 息 (垃圾郵件)、收集敏感性資訊，或將網路釣魚網站 裝載於相關的線上帳戶。即使發生過一次攻擊，當自 動化系統確認帳戶仍處於遭入侵狀態之後，就有可能 再次出售這些帳戶。 如 BEC 攻擊中所示，身分識別會因假冒而進一步受到 威脅；其中金融交易的一方遭到假冒，以將付款轉向 至未經授權的收款人。我們的調查發現，威脅行為體 會監視具有財務傾向的訊息以尋找要假冒的身分，然 後註冊偽造網域來與要冒充之人的電子郵件魚目混 珠。在此案例中，認證遭竊的人會使另一個人成為受 害者。 20 Microsoft 數位防禦報告 | 2021 年 10 月 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 21. 21 Microsoft 數位防禦報告 | 2021 年 10 月 所見所聞 惡意電子郵件的類型 無論攻擊者的目標是網路釣魚認證、將電匯重新導 向到自己的銀行帳戶，還是將惡意軟體下載到電腦 上，攻擊者都很有可能會利用電子郵件做為犯罪活 動的初始進入媒介。雖然許多焦點都放在認證網路 釣魚，但惡意電子郵件可用於多種類型的網路事件。 Microsoft 安全性研究人員觀察到以下三種最常見的 惡意電子郵件類型： 網路釣魚 網路釣魚是在我們威脅訊號中觀察到最常見的惡意電 子郵件類型。這些電子郵件旨在誘使個人與攻擊者分 享敏感性資訊，例如使用者名稱和密碼。為此，攻擊 者會使用各種主題 (例如生產力工具、密碼重設或其 他具有緊迫感的通知) 製作電子郵件，以誘使使用者 按一下連結。 這些攻擊中使用的網路釣魚網頁可能會利用惡意網域 (例如由攻擊者購買和操作的網域) 或遭入侵的網域 (其中攻擊者會濫用合法網站中的漏洞來裝載惡意內 容)。網路釣魚網站經常複製已知、合法的登入頁面 (例如 Office 365 或 Google)，以誘使使用者輸入其 認證。一旦使用者輸入其認證，通常會被重新導向至 合法的最終網站 (例如真正的 Office 365 登入頁面)， 讓使用者不知道行為體已取得其認證。同時，輸入的 認證會儲存或傳送給攻擊者，供日後濫用或出售。 攻擊者也會使用同意網路釣魚來傳送使用者連結， 如果按一下這些連結，就會授與攻擊者存取應用程 式的權限，例如透過 OAuth 2.0 授權通訊協定。在 這些情況下，使用者可能會不經意地授與攻擊者應 用程式的權限，使他們能夠存取大量敏感性資訊。 我們在 Microsoft Exchange 全球郵件流程中，觀察 到網路釣魚電子郵件在 2020 年 6 月到 2021 年 6 月 期間的數量增加。我們看到此數量在 11 月明顯激增 (可能與節日主題的網路釣魚活動有關)，並隨後在美 國冬季假期減少 (可能表示攻擊者在許多人未工作時 傳送較少的訊息)。 雖然各行各業都會收到網路釣魚電子郵件，但其中一 些垂直產業通常會比其他產業收到更多的網路釣魚活 動。受網路釣魚影響最嚴重的垂直產業可能每個月都 不同，決定因素有幾個，包括攻擊者目標、遭入侵電 子郵件地址的可用性，或有關特定部門和產業的目前 活動。 受網路釣魚影響的前 10 大垂直產業 (Defender 偵測，2021 年 6 月) 確定為網路釣魚的電子郵件 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 22. 22 Microsoft 數位防禦報告 | 2021 年 10 月 包含惡意軟體的電子郵件數量有整體下降趨勢。 旨在竊取認證的間諜軟體是所觀察到透過電子郵件傳遞中最常見惡意軟體類型，偵測到的數量是數量 次高偵測的三倍。 惡意軟體傳遞 惡意軟體傳遞是威脅行為體利用電子郵件達到目標的 另一個範例。多種惡意軟體變種 (例如 Agent Tesla、 IcedID、Trickbot 和 Qakbot) 都會使用電子郵件做為 主要散發方法。這些電子郵件會使用連結或附件來提 供惡意軟體，而且許多時候會使用與網路釣魚電子郵 件重疊的技術。例如，惡意軟體傳遞電子郵件和網路 釣魚電子郵件都可能會使用導向至 CAPTCHA 測試的 連結，以規避安全性技術的偵測。 由於惡意軟體不會和網路釣魚一樣依賴使用者互動， 因此攻擊者可以將其傳遞設計得較不容易讓使用者發 現。例如，當使用附件做為傳遞方法時，攻擊者可能 會使用含有巨集的誘餌文件，當收件者啟用巨集時， 就會在使用者不知情下於背景下載惡意軟體。在這些 案例中，使用者可能會認為文件已損毀或不是要給他 們，並可能完全不知道其電腦上正在執行惡意軟體。 過去一年觀察到最常見的惡意軟體傳遞方法之一，就 是透過受密碼保護的封存檔案。這些電子郵件包含封 存檔案 (例如受密碼保護的 ZIP 附件)，以規避安全性 技術對其進行引爆和分析。不過，這些檔案的密碼通 常會包含在電子郵件本文中，以便收件者開啟檔案並 下載惡意軟體。透過使用這些封存檔案來裝載惡意文 件 (通常是 Excel 或 Word 文件)，攻擊者就可以針對 每個收件者使用唯一的封存檔案，使防禦者更難以完 全確定活動的範圍。 有趣的是，在 2020 年 7 月到 2021 年 6 月期間，我 們觀察到包含惡意軟體的電子郵件數量呈整體下降趨 勢，表示攻擊者可能正在使用其他進入方式。此外， 成功移除一些值得注意的惡意軟體 (即 Trickbot 和 Emotet) 也可能促使此一整體下降趨勢。10 月出現的 大幅增加趨勢與這些惡意軟體變種的散發有關，在突 然增加之後緊接而來的快速減少則與 Microsoft 移除 Trickbot 惡意軟體同時發生。 攻擊者透過電子郵件散發的惡意軟體經常因各種原因 而改變，包括移除惡意軟體和攻擊者目標。如 2021 年 6 月 Defender 偵測圖表所示，Microsoft 觀察到數 量最多的惡意軟體是 Agent Tesla，這是一種竊取認 證的間諜軟體。觀察到數量次多的惡意軟體是可識別 社交工程誘餌的 Tisifi，數量只有 Agent Tesla 的三分 之。EncDoc 和 CVE-2017-11882 是前幾名偵測的第 三名和第四名，表示攻擊者仍然偏好以惡意文件做為 傳遞各種威脅的常用方法。前四名 前 15 名 Defender 偵測 (2021 年 6 月) 每週的惡意軟體電子郵件數量 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 23. 23 Microsoft 數位防禦報告 | 2021 年 10 月 HTML/Phish 偵測，僅包含使用 HTML 附件的網路釣 魚電子郵件。這些類型的網路釣魚經常採用假語音信 箱網路釣魚訊息的形式。 商務電子郵件入侵 BEC 雖然不是數量最多的惡意電子郵件類型，但經證 明是對財務影響最大的網路犯罪類型 10 。當攻擊者利 用遭入侵的電子郵件地址、已註冊的類似網域或免費 的電子郵件服務 (例如 Hotmail 或 Gmail) 來假裝成合 法的商業帳戶，然後傳送電子郵件來誘使收件者執行 一些財務動作、交出敏感性資訊或提供資產 (例如禮 品卡) 給攻擊者時，就會發生 BEC。 Microsoft 在過去一年觀察到最常見的 BEC 類型為禮 品卡詐騙。在這些詐騙中，攻擊者通常會建立大量的 免費電子郵件帳戶，並根據目標變更顯示名稱；此外， 攻擊者也註冊了自己的網域來進行這些攻擊，或已針 對特定目標建立免費電子郵件帳戶。然後，他們會假 裝成收件者的共事者 (通常是其公司老闆或主管)，並 要求他們購買禮品卡 (通常是使用公司資金)。這些電 子郵件通常會指出，寄件者想要以此做為某個家庭成 員的生日禮物或員工獎勵。攻擊者通常會要求收件者 購買數位禮品卡並在購買後寄給他們，但我們也看過 攻擊者要求使用者購買實體禮品卡並將卡片背面的代 碼拍照寄給他們，讓攻擊者能夠在線上轉售或交換加 密貨幣。 一種更為複雜且要求更高金額的 BEC 類型是電匯詐 騙。在這種類型的 BEC 中，行為體會介入預期的金 融交易，並要求收件者調整銀行帳戶資訊的對外電 匯部分。行為體會假裝成預期的收款人，讓受害者 不覺得這有何異常。一旦受害者匯款到新帳戶，行 為體就會提款而可能很難追回。公司可以確保財務 政策要求驗證才能變更帳戶，來協助避免這類詐騙。 財務人員應透過電子郵件以外的其他方式 (例如透過 收款人的已知可信電話號碼) 進行驗證，再進行電子 郵件中所提到的帳號變更。此外，利用電子郵件安 全性產品中的防冒功能可協助防止攻擊者成功進行 這類詐騙。 偵測 Web 型網路釣魚 在過去一年，Web 型網路釣魚攻擊持續變得越來越複 雜。Web 型網路釣魚攻擊所使用的網路釣魚套件通 常會使用影像、情境式內容及其他先進技術來避免偵 測。我們的機器學習 (ML) 模型和網路啟發學習法必 須持續精進，才能維持有效的保護。攻擊者的語言功 力也大幅改進；過去尋找拼寫和文法不佳的使用者指 引，現在效果較差，尤其是針對具針對性且更先進的 攻擊。新式套件十分複雜，在拼寫、文法和影像使用 方面，都足以假裝成合法內容。 越來越多的網路釣魚者利用合法基礎結構，但此模 式在偵測到的網路釣魚攻擊中仍佔少數。Microsoft SmartScreen 在過去一年偵測到 Web 型網路釣魚攻 擊中共使用了超過一百萬個唯一網域，其中遭入侵的 網域僅略多於 5%。這 5% 的網域通常在合法網站上 裝載網路釣魚攻擊，而不會中斷任何合法流量，以便 盡可能長時間隱匿其攻擊。 專為攻擊建立的網域相較於濫用合法基礎結構的攻 擊，其啟用時間通常較短，且使用較少的惡意 URL。 過去一年來，Microsoft SmartScreen 發現從開始到結 束不到一兩小時的攻擊不斷增加。 惡意電子郵件技術 攻擊者已隨時間調整策略；利用合法商務電子郵件的 各個層面，使其電子郵件更有可能規避偵測和保護。 防禦者除了必須保護公司，還有責任維護商務流程， 而攻擊者正是仰賴這點侵門踏戶。去年，Microsoft 安全性研究人員觀察到攻擊者在多個惡意電子郵件活 動中使用許多技術，使電子郵件對終端使用者和保護 技術而言看起來都更加合法。 10 https://www.ic3.gov/Media/PDF/AnnualReport/2020_IC3Report.pdf；https://www.microsoft.com/security/blog/2021/06/14/behind-the-scenes-of-business-email-compromise-using-cross-domain-threat-data-to-disrupt-a-large-bec-infrastructure/ 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 24. 24 Microsoft 數位防禦報告 | 2021 年 10 月 24 Microsoft 數位防禦報告 | 2021 年 10 月 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 25. 25 Microsoft 數位防禦報告 | 2021 年 10 月 過去一年來觀察到的一些常見技術： 遭入侵的寄件者 > 遭入侵的服務 多年來，攻擊者一直利用遭入侵的寄件者來延續網路釣魚電子郵件鏈；他們會使用受害者的電子郵件帳戶來傳送 其他網路釣魚電子郵件。雖然這仍然非常普遍，但許多公司已開始運用 MFA，從而降低了此方法的效果。因此， 攻擊者正在調整其方法，以開始入侵整個電子郵件服務。例如，當 NOBELIUM 取得一個電子郵件行銷解決方案的 存取權時，就能讓攻擊者以多個合法地址進行傳送 11 。 合法基礎結構的濫用 防禦者經常告訴其終端使用者在與電子郵件互動之前，先確認電子郵件中的各個層面都合法，例如寄件者和電子 郵件中的任何連結。此建議仍然有其價值，但有時連結和寄件者可能看似合法卻包含惡意內容。攻擊者正在改為 濫用合法基礎結構，以掩蓋電子郵件中的惡意內容。對於寄件者地址，攻擊者可能會註冊 Office 365 等服務的試 用租用戶，讓其電子郵件看起來更加合法。此外，攻擊者正在利用各種方式來掩蓋電子郵件中的惡意網域，像是 透過使用來自合法網域的開放式重新導向，或是透過濫用 Google 雲端硬碟或 OneDrive 等合法代管平台。在這 些案例中，使用者可能很難得知電子郵件是合法或惡意的。 合法基礎結構濫用 以合法公司名義使用遭入侵服務的網路釣魚電子郵件 攻擊者會濫用網站上的合法連絡人表單來 傳送電子郵件，以及濫用合法的 Google 網 站來裝載惡意軟體。 11 https://www.microsoft.com/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 26. 26 Microsoft 數位防禦報告 | 2021 年 10 月 假回覆 除了指示使用者先驗證電子郵件的各個層面 (例如寄件者或連結) 再與其互動之外，也指示使用者不要與預期之外 收到的電子郵件互動。這仍然是非常有價值的建議，但攻擊者也發覺到這一點，並已將策略改為尋找方法讓收件 者相信這是預期會收到的電子郵件。其中一個做法是製作假回覆電子郵件。在這些案例中，攻擊者會從遭入侵的 信箱中取得先前電子郵件的內容，或製作一封全新的電子郵件並包含在電子郵件的本文中，使新的電子郵件看起 來像是回覆。如果使用者的工作必須每天向數十人發送電子郵件，可能不會記得他們送出的每封電子郵件。看到 假回覆可能會讓他們相信這是預期的電子郵件，並導致他們與惡意連結或附件互動。利用電子郵件安全性功能， 在電子郵件來自不是過去互動的寄件者時通知使用者，可能有助於緩減此技術。此技術是 Emotet 和 IcedID 等惡 意軟體變種的慣用手法，也常用於 BEC 電子郵件中。 防禦規避 雖然攻擊者將攻擊火力集中在說服收件者與電子郵件互動，但他們也知道如果受害者從未收到此電子郵件，則所 有心血都將毫無價值。因此，威脅行為體正在開發規避電子郵件防禦功能的新方式。在過去，攻擊者只要使用受 密碼保護的封存檔案就足以規避偵測，但現在大多數安全性技術都可以輸入電子郵件所包含的密碼，來引爆並找 出惡意內容。攻擊者已改為包含 CAPTCHA 以及 Microsoft 或 Google 等服務的合法登入畫面，以防止偵測技術發 現惡意內容。 假回覆電子郵件 禮品卡詐騙 BEC 電子郵件會使 用假回覆，誘騙使用者相信這 是預期收到的電子郵件。 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 27. 27 Microsoft 數位防禦報告 | 2021 年 10 月 遭竊認證的數位之旅 您在假網頁輸入的遭竊認證將流落何處？ 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 28. 28 Microsoft 數位防禦報告 | 2021 年 10 月 神秘的網路釣魚者：複雜網路釣 魚套件的隱性經濟市場 研究和商務社群長久以來一直認為，受害者認證會 傳遞給操作網路釣魚活動的個人 (或組織)。安全性 社群中的研究人員 12 逐漸發現在更複雜的套件中， 受害者的認證不僅會傳送給從事網路釣魚活動的網 路釣魚者，還有可能會回到套件的原始作者，或是 複雜的中間人手上；其已在重新散發套件之前，利 用隱藏的收集帳戶修改套件。Microsoft 數位犯罪部 門 (DCU) 已發現此技術的數種版本。 這種網路犯罪世界分層會對商務基礎結構造成更大 的威脅，因為網路釣魚套件作者的技術會比網路釣 魚者更高竿，而且影響的範圍更是高出好幾倍。暗 網的匿名性助長了這項技術。網路釣魚通常是指一 種架構，其中一名網路釣魚者 (或一組網路釣魚者) 會在暗網市場購買套件，並取得基礎結構元件，例 如伺服器、用於裝載仿冒網站的網域，以及用於接 收受害者資訊的電子郵件帳戶或其他端點。一旦組 合好基礎結構，基本上只要「插竿就能見影」 ，作者 和套件散發者已盡可能將整個過程設計得十分簡單。 雖然不宜過度概括， 但相較於經驗更豐富的網路釣魚套件作者和整體行 動的背後主謀，這些網路釣魚者大多數經常被視為 程式碼撰寫技術較低的人。 12 https://www.wmcglobal.com/blog/phishing-kit-exfiltration-methods 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 29. 29 Microsoft 數位防禦報告 | 2021 年 10 月 網路釣魚套件和認證搜集 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 30. 30 Microsoft 數位防禦報告 | 2021 年 10 月 Microsoft 用來防禦網路釣魚的工 具箱中有哪些招數？我們如何提 高員工意識 2020 年，業界的網路釣魚活動激增，並於 2021 一整年維持穩定增加。 在 Microsoft 內部，網路釣魚電子郵件的整體數量增加、包含惡意軟體 的電子郵件則呈下滑趨勢，而語音網路釣魚 (或語音釣魚) 則是上升。 幸好，我們已具備有效的保護控制基礎，可減少網路釣魚嘗試成功的次數。體認到威脅環境不斷演變，我們擴充 了這些控制，涵蓋除了電子郵件以外還可能遭到利用的其他媒介 (例如 Forms 和 Teams)。 工具箱中的招數 網路釣魚無法一招就修正， 必須多管齊下才能解決。我們專注於四個主要元素 ： 保護控制、 使用者意識、 報告和見解， 以及偵測和回應。 Microsoft 2020-2021 年趨勢 透過這些方法，我們讓容易受影響的 程度逐年減少了 50%。 30 Microsoft 數位防禦報告 | 2021 年 10 月 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 31. 31 Microsoft 數位防禦報告 | 2021 年 10 月 無論我們準備了多少保護控制，降低風險仍然是打擊網路釣魚的一個關鍵要素，因為威脅行為體會透過增加複雜 度來通過我們的防禦。我們的安全作業中心具備適用於 Office 365 的 Microsoft Defender 工具和自動化功能，可 快速偵測、調查和有效補救惡意電子郵件。對我們而言，自動化事件回應功能一直是讓我們的團隊能夠快速行動 的關鍵，因為分分秒秒都很重要。 除了偵測和保護之外，我們還必須培養安全意識的文化，讓員工 (我們的最後一道防線) 具備識別網路釣魚的技能， 並提供一個簡單的報告機制以在所有平台上都有一致的體驗。員工報告很重要，但透過驗證報告來關閉回饋迴圈 也同樣重要。 31 Microsoft 數位防禦報告 | 2021 年 10 月 訓練之後則接著模擬、增強學習及目標模擬 儘管網路釣魚越來越複雜，但員工較不容易受到影響，這歸因於更高的模擬和訓練頻率。 除了偵測和保護之外，我們還必須培養安全 意識的文化。 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 32. 32 Microsoft 數位防禦報告 | 2021 年 10 月 我們提高員工網路釣魚意識的方法包括提供年度基礎訓練、模擬練習和正向加強學習。這些模擬是在深入解析事 件之後所建立，利用適用於 Office 365 的 Microsoft Defender 攻擊模擬器和訓練，以確保我們將員工暴露於複雜 程度與我們在環境中所見一樣逼真的網路釣魚。反覆受到模擬影響的員工會更頻繁地被釣，這能提高其透過經驗 和預防性指導學習的機會。我們也會針對高風險群組 (例如新員工、主管及其支援人員) 執行針對性的活動。我們 模擬練習的結果還可用來找出產品中的機會，以協助員工識別網路釣魚 (例如安全提示)。 了解更多： 在適用於 Office 365 的 Microsoft Defender 中自動分級網路釣魚提交 (英文) (2021/9/9) 32 Microsoft 數位防禦報告 | 2021 年 10 月 員工網路釣魚意識 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 33. 33 Microsoft 數位防禦報告 | 2021 年 10 月 惡意電子郵件的相關建議摘要 1. 使用 MFA 減輕認證受到攻擊者網路釣魚攻擊的 影響。 2. 開發健全的使用者教育程序，使用正向加強學 習來教導使用者如何識別潛在惡意電子郵件。 建立程序，讓使用者可以呈報可疑的電子郵件， 並收到有關他們所提交電子郵件是否確實為惡 意的意見回饋。將額外訓練重點放在更容易成 為目標的群組上，例如主管、執行助理和財務 部員工。與終端使用者分享您公司收到的真實 世界網路釣魚範例，以便他們了解威脅並知道 預期會發生什麼情況。 3. 透過將標籤附加至來自組織外部電子郵件地址 之任何電子郵件的主旨列，向收件者呈現外部 電子郵件。 4. 啟用功能，讓使用者發現來自過去未曾通訊之 寄件者的電子郵件。 5. 檢閱郵件流程規則，以確保廣泛的規則不會不 小心允許傳送惡意電子郵件。 6. 建立及實施財務政策，要求員工與帳戶持有人 確認任何帳戶資訊變更，包括電匯資訊。 7. 確保您所有的電子郵件都已有效簽署 (DKIM) 並 經過驗收 (DMARC)，以使客戶受到保護，避免 攻擊者嘗試以您的網域/品牌形式傳遞訊息。 8. 為您的使用者提供進階防護 13 ，包括： • 類似網域或冒充組織中的重要使用者。 • 附件和 URL 的深入分析 (引爆) • 共同作業套件，旨在防範零時差攻擊。 • 傳遞後保護，旨在移除已傳遞且稍後判定 為惡意的郵件。 9. 消除攻擊者略過安全性的機會，例如允許寄件 者、網域或 IP 位址清單。 了解更多： 發現趨勢電子郵件技術：現代網路釣魚電子郵件 如何讓人視而不見 (英文) | Microsoft 安全性部落格 (2021/8/18) 13 適用於 Office 365 的 Microsoft Defender - Office 365 | Microsoft Docs 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 34. 34 Microsoft 數位防禦報告 | 2021 年 10 月 惡意軟體 我們看到的趨勢 網路釣魚在過去一年持續成長，而支援攻擊的惡意軟 體和網路犯罪基礎結構也持續進化。Microsoft 365 Defender 威脅情報觀察到幾個關鍵惡意軟體領域近 年來有不斷改變的趨勢，其中許多領域需要同等的創 新防禦策略和過往彈性的風險降低措施，例如多重要 素驗證和強固的應用程式安全性做法。 個人化惡意軟體技術和動作 在過去一年所分析的熱門惡意軟體類型和傳遞方法 中，Microsoft 在感染期間所使用的個別戰術中觀察 到許多趨勢。儘管存在勒索、資料遺失、認證竊取和 間諜活動等多種結果，但大多數惡意軟體都依賴在網 路中建立自身複本的類似策略。使用可疑命令或編 碼值透過惡意軟體處理序啟動 Windows PowerShell， 是 Microsoft 在最近幾個月所觀察到最常見的行為。 次要常見的是惡意軟體嘗試重新命名承載來模擬系統 處理序或完全加以取代，然後使用惡意軟體從瀏覽器 快取收集認證等資料。 安全性作業中心內其他值得注意的行為和防護機會 還包括使用特定偵察命令、將處理序新增至啟動資 料夾、排定的工作或登錄變更，以及透過濫用 Office 文件執行惡意處理序。由於這些行為普遍在所有惡 意軟體之間使用 (不論複雜度為何)，因此特別醒目， 不過 Microsoft 還觀察到企業較難以降低風險的更具 體戰術。 無檔案惡意軟體和規避行為 「無檔案」惡意軟體是從已在裝置上的系統處理序或 合法工具衍生其大部分元件的惡意軟體，這可能會使 其更難以移除和偵測，因為需要移除多個檔案。持續 性策略可能包括登錄、排定的工作和啟動資料夾持續 性， 讓惡意軟體不需要在檔案系統中保持為靜態項目。 免費或容易取得的遠端存取特洛伊木馬程式 (RAT)、 銀行特洛伊木馬程式及 Cobalt Strike 等攻擊工具組， 會定期利用處理序插入和記憶體內部執行。這些方法 會濫用遭竊的系統管理權限，將惡意程式碼移入執行 中的良性處理序 (而不是在靜態檔案中)，使其無法輕 易移除。為了打擊這類行為，組織內的安全性團隊必 須審查其事件回應和惡意軟體移除程序，加入足夠的 鑑定，以確保在防毒解決方案清除之後能夠完全補救 常見的惡意軟體持續性機制。 依活動顯示的警示計數 (2021 年 5 月到 6 月) 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 35. 35 Microsoft 數位防禦報告 | 2021 年 10 月 14 https://www.europol.europa.eu/newsroom/news/world%E2%80%99s-most-dangerous-malware-emotet-disrupted-through-global-action 15 https://www.microsoft.com/security/blog/2021/05/20/phorpiex-morphs-how-a-longstanding- botnet-persists-and-thrives-in-the-current-threat-environment/ 16 https://www.microsoft.com/security/blog/2020/12/10/widespread-malware-campaign-seeks-to-silently-inject-ads-into-search-results-affects-multiple-browsers/ 網路通訊中的合法服務濫用 在過去一年，許多惡意軟體活動中使用的另一項戰 術，就是在惡意軟體的下列幾乎所有階段利用合法 網站：傳遞、偵察、命令和控制、外流、惡意廣告， 以及加密貨幣採礦。Google 雲端硬碟、Microsoft OneDrive、Adobe Spark、Dropbox 等雲端服務仍然 是惡意軟體初始傳遞的熱門目標，而 Pastebin.com、 Archive.org 和 Stikked.ch 等內容「剪貼」網站也因便 於轉用於多部分和無檔案惡意軟體而越來越熱門。在 後者情況下，會直接從剪貼網站提取惡意軟體中使用 的程式碼，並立即在記憶體內部執行，而不需要以單 一檔案形式下載惡意軟體。 惡意軟體傳播和行為中的更大趨勢 殭屍網路革新 殭屍網路一詞也不斷進化。在過去，這是指為操作員 完成工作的電腦網路。不過，現在大多數惡意軟體系 列可能被分類為具有殭屍網路元件或行為。 隨著過去普遍的惡意軟體殭屍網路基礎結構 (例如 Trickbot 和 Emotet) 遭到中斷，其他惡意軟體系列已 取而代之。作為替代，舊版殭屍網路及一種新型的規 避惡意軟體開始以更快的速度帶來威脅程度更高的次 要元件。在 2021 年 1 月，執法機關執行搜捕行動， 而消滅了 Emotet 系列的惡意軟體，隨後 Emotet 遭 遇數也大幅減少。Phorpiex15 等殭屍網路感染的主機 數逐漸增加，並提供許多勒索軟體和次要惡意軟體元 件以進一步從其行為中獲利，包括 Avaddon 勒索軟 體。Lemon Duck、Purple Fox 和 Sysrv-Hello 等殭屍 網路在過去一年激增，納入新的程式設計語言、新的 基礎結構及新的感染方法。Lemon Duck 與大多數新 興殭屍網路一樣，在 Windows 和 Linux 環境中使用超 過 10 多種不同的感染方法。新版殭屍網路也很快就 能開始利用新的漏洞來感染伺服器。儘管如此，大多 數方法仍然依賴未修補的邊緣應用程式、透過連線磁 碟機的橫向移動，以及可用服務上的弱式認證。 SEO 和惡意廣告 藉由搜尋引擎結果和廣告將惡意軟體提供給終端使用 者的方法也越來越有效，包括透過濫用合法的搜尋引 擎最佳化策略及利用現有的感染來安裝瀏覽器延伸模 組，以修改搜尋結果及呈現攻擊者的非法資料內容。 2020 年的 Adrozek16 惡意軟體即為此例，該惡意軟 體使用了瀏覽器延伸模組，其中受感染的裝置會使用 瀏覽器延伸模組以冒充 Microsoft 產品及其他合法軟 體的惡意軟體連結取代合法的搜尋結果。Gootkit 是 一種可導致勒索軟體的惡意軟體感染，其操作員在 2020 年購買廣告，利用稍微不同的技術來濫用搜尋 引擎，以將連結提升至裝載惡意軟體的遭入侵網站。 其他資訊竊取惡意軟體 (例如 Jupyter 或 SolarMarker) 則採用另一種方法，透過使用裝載於 AWS、Google 和 Strikingly 內容傳遞網路等服務上的文件顯示在搜 尋結果中，導致使用者透過 PDF 頁面的搜尋結果搜 尋常用詞彙，最終在其裝置上建立持續性。 資訊竊取、資料外流及其他惡意軟體傳遞領域，有越 來越多利用瀏覽器修改和搜尋結果達到目的。這將持 續鞏固某類利用瀏覽器跨消費者和企業領域進行傳遞 和惡意探索的惡意軟體地位。 Emotet 遭遇數 在 2021 年 1 月，執法機關執行搜捕行動，而消滅了 Emotet 系列的惡意軟體，隨後 Emotet 遭遇數也 大幅減少。14 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 36. 36 Microsoft 數位防禦報告 | 2021 年 10 月 未受保護之電腦與執行 Adrozek 之電腦上的搜尋結果頁面比較。 瀏覽器搜尋結果操縱 惡意軟體工具 惡意軟體已演變成利用可用的工具，而且在某些情況 下會利用本質並非惡意的工具。其中一個主要範例是 利用商業滲透測試工具 Cobalt Strike。雖然 Cobalt Strike 是滲透測試，但越來越常用於各式各樣的攻擊 中 (從國家到人為操縱的勒索軟體)，以執行系統和網 路探索動作，並在網路之間橫向移動。Cobalt Strike 是專為規避傳統偵測方法所設計，並為操作員提供一 系列的選項來模糊處理其攻擊命令。不過，這些混淆 技術本身可能成為一個訊號，而且識別 Cobalt Strike 比以往更加重要，因為網路犯罪經濟會導致惡意軟體 快速植入 Cobalt Strike，再傳給勒索軟體操作員。 網頁殼層深入探索 網頁殼層仍然是所有類型之進階持續威脅 (APT) 行 為體的熱門目標，包括 NOBELIUM17 和 HAFNIUM18 國家級網路活動團體。正如 DART 和 Microsoft 365 Defender 研究團隊在 2020 年 19 和 2021 年 20 所報 告，網頁殼層使用率在國家級團體和犯罪組織之間持 續攀升。網頁殼層是一段惡意程式碼，通常是以典 型的網頁程式開發程式設計語言 (例如 ASP、PHP 或 JSP) 撰寫，攻擊者會將程式碼植入網頁伺服器以提供 遠端存取和程式碼執行來使用伺服器功能。網頁殼層 可讓敵手執行命令並從網頁伺服器竊取資料，或使用 伺服器作為發射台對受影響的組織發動進一步攻擊。 網頁殼層越來越普遍，這可能歸因於攻擊者輕易就 能發動有效的攻擊。安裝在伺服器之後，網頁殼層 會是企業中最有效的持續性方法。我們經常看到網 頁殼層單獨用作持續性機制的案例。網頁殼層保證 遭入侵的網路中存在後門，因為攻擊者在伺服器上 建立初始據點之後會留下惡意植入程式。如果未被 發現，網頁殼層可讓攻擊者繼續從其有權存取的網 路收集資料並從中獲利。此外，網路流量加上持續 網際網路攻擊的一般雜訊，表示瞄準網頁伺服器的 目標流量可立即混入，使網頁殼層偵測變得更加困 難，而需要進階行為型偵測。 根據我們在 2020 年 2 月的報告，網頁殼層用在 全球攻擊的次數穩定增加。最新的 Microsoft 365 Defender 資料顯示，此趨勢不僅繼續維持，而且還 加速成長；從 2020 年 8 月到 2021 年 1 月，我們登 記每月平均在伺服器上遭遇這類威脅 140,000 次，幾 乎是每月平均 77,000 次的兩倍。 在 2021 一整年，增加的幅度甚至更高，每月平均遭 遇 180,000 次。在 2021 年 3 月，我們看到網頁殼層 遭遇數突然大幅增加，我們將此歸因於以 Exchange 伺服器為目標發動零時差惡意探索的 HAFNIUM 國家 級網路活動團體。 在 2021 年 3 月到 4 月，隨著惡意探索程式碼變成可 用於網路對向的內部佈署 Exchange 伺服器，我們看 到網頁殼層偵測率突然大幅增加。這是由於多個威脅 行為體使用了利用客戶修補延遲的「先妥協後獲利」 方法所造成。行為體一逮到機會就加以利用。 17 https://www.microsoft.com/security/blog/2021/02/11/web-shell-attacks-continue-to-rise/ (2021 年 2 月) 18 https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/ 19 https://www.microsoft.com/ security/blog/2020/02/04/ghost-in-the-shell-investigating-web-shell-attacks/ 20 https://www.microsoft.com/security/blog/2021/02/11/web-shell-attacks-continue-to-rise/ 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 37. 37 Microsoft 數位防禦報告 | 2021 年 10 月 為了將風險降至最低，組織應加速佈署安全性更新，特別是針對網際網路對向的系統。為了將風險降至最低， 組織應加速佈署安全性更新，特別是針對網際網路對向的系統。 了解更多： 以 Exchange 伺服器為目標發動零時差惡意探索的 HAFNIUM | Microsoft 安全性部落格 (英文)(2021/3/2) 網頁殼層攻擊持續攀升 - Microsoft 安全性 (英文) (2021/2/11) 攻殼機動隊：調查網頁殼層攻擊 - Microsoft 安全性 (英文) (2021/2/4) 惡意軟體預防的建議摘要 1. 立即在所有應用程式和作業系統上安裝安全性更新。 2. 透過反惡意程式碼軟體解決方案 (例如 Microsoft Defender) 實現即時保護。 3. 緩解大型攻擊媒介，例如巨集濫用、公開的邊緣服務、不安全的預設設定、舊版驗證、未簽署的指令碼類 型，以及來自透過電子郵件傳遞之特定檔案類型的可疑執行。Microsoft 透過使用受攻擊面縮小規則來提供 一些較大型的降低風險措施 21 ，以防止惡意軟體感染。Azure Active Directory 使用者還可以利用安全性預設 值 22 ，為雲端環境建立基準驗證安全性。 4. 讓端點偵測及回應功能主動根據個人行為和技術來分析及回應威脅。 5. 在主機及網路閘道上啟用網域和 IP 型保護 (如果可能)，以確保基礎結構涵蓋範圍完整。 6. 開啟潛在的垃圾應用程式 (PUA) 保護。 許多反惡意程式碼軟體解決方案可能會將廣告軟體、 torrent 下載程式、 RAT 和遠端管理服務 (RMS) 等初始存取威脅標記為 PUA。有時，預設可能會停用這些類型的軟體，以避免 對環境造成影響。 7. 決定具有高度權限的帳戶將在何處登入和公開認證。監視並調查登入類型屬性的登入事件。工作站上不應該 存在具有高度權限的帳戶。 8. 實施最低權限原則並維護認證檢疫。避免使用全網域的管理員層級服務帳戶。限制本機系統管理權限可能有 助於限制 RAT 及其他垃圾應用程式的安裝。 9. 教導使用者惡意軟體威脅 (例如 RAT) 的相關資訊， 這些威脅可透過電子郵件以及透過網站下載和搜尋引擎傳播。 了解更多： 使用受攻擊面縮小規則防止惡意軟體感染 | Microsoft Docs (2021/6/23) 開啟網路保護 | Microsoft Docs (2021/6/14) 使用 Microsoft Defender 防毒軟體封鎖潛在的垃圾應用程式 | Microsoft Docs (2021/6/02) 21 使用受攻擊面縮小規則防止惡意軟體感染 | Microsoft Docs 22 Azure Active Directory 安全性預設值 | Microsoft Docs 網頁殼層遭遇數，Defender 訊號 (2020 年 9 月 - 2021 年 6 月) 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 38. 38 Microsoft 數位防禦報告 | 2021 年 10 月 惡意網域 任何用於追求網路犯罪的網域都可以視為惡意網域。 惡意網域可以是已遭入侵可讓罪犯在子網域上裝載惡 意內容的合法網站，也可以是完全為犯罪而設的詐欺 基礎結構。網路罪犯會針對三項主要功能使用惡意網 域：資訊傳輸、位置混淆，以及建立復原能力來對抗 試圖干擾其犯罪活動的人。 網域會用於資料外流、控制勒索軟體通訊、裝載網路 釣魚頁面，以及提供惡意軟體的控制權。同時也可作 為電子郵件網域，以建立看似相同的詐欺者電子郵件 假名來魚目混珠。詐騙網域可能會利用商標來欺騙客 戶，或提供平台進行詐騙，例如詐騙技術支援網站。 網域擴散和威脅緩解 過去幾年來，網際網路上可用的網域數量迅速增加。 這包括國碼 (地區碼) 頂層網域 (cTLD)，例如 .uk、. ca 和 .cn；一般頂層網域 (gTLD)，例如 .com、.net 和 org；以及在 2013 年引進網域名稱系統 (DNS) 的 1,200 多個新 gTLD。由於頂層網域數量龐大，而且網 域名稱登錄、網域註冊機構和網域註冊服務提供者的 生態系統成長，減輕惡意網域的網路威脅變得更為複 雜。整個生態系統的網路威脅緩解一致性至關重要。 最近在網際網路指定名稱與位址管理機構 (Internet Corporation for Assigned Names and Numbers， ICANN) 合約 (含登錄) 中加入的語言，即為朝這個方 向發展的證明，其中包含定義和禁止不法活動的使用 規定，以及註冊機構制定其專屬反濫用政策以及監視 和處理濫用活動的需求。 網域如何用於惡意軟體 惡意網域經常作為惡意軟體受害者被導向的目的地。 透過此方式，網域會開始建立與受害者的通訊通道， 並揭露受感染的受害者位置。了解受害者的位置非常 重要， 因為網路罪犯利用多種方法來散佈其惡意軟體， 但無法預測最終將成功下載的位置。因此，網路罪犯 將惡意軟體設計成「回報」惡意網域。剛受感染的電 腦會立即與這類網域聯繫，以有效地透過 IP 位址「宣 告」其位置。網域基於這些目的用於惡意軟體的方式 主要有兩種： 網域協助混淆處理及隱藏網路罪犯的位置和身分 直接新增至惡意軟體 (或「硬式編碼」網域) 並納入 通訊基礎結構的網域，可以有效地隱藏網路罪犯的真 實位置。網路罪犯將網域設定為 Proxy 或「墊腳石」 ， 以將與受害者的通訊重新導向至另一個網域或 IP。此 程序可能包含多個橫跨網域的「躍點」 ，而這些網域 會與全球各地的頂層網域相關聯。網路罪犯通常使用 虛構的名稱、電子郵件和地址，並使用竊取的信用卡 或無法追溯的數位貨幣支付網域費用。 網域可以是一種在基礎結構中內建復原能力的機制 網路罪犯現在會定期將網域生成演算法 (Domain Generating Algorithm，DGA) 新增至其惡意軟體，例 如在執法機關截獲硬式編碼的惡意網域時提供後援機 制。為了利用 DGA，惡意軟體會包含程式碼，以產 生使用隨機字元或字串建立的網域清單，這些字元或 字串會依日期、時間和年份而改變。例如，在 2022 年 6 月 4 日星期五，DGA 可能會產生三個網域 (例 如 ahu3rrfsirraqrty.com、hyrssgu5oqr4cetc.com 和 wkcclsoqqpcaty.com)，而惡意軟體會嘗試依該順序 連絡這些網域。使用 DGA 會增加中斷網路罪犯通訊 基礎結構的成本和複雜度，需要中斷者監視數十萬個 潛在惡意網域，而網路罪犯只需要其中一個網域。 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 39. 39 Microsoft 數位防禦報告 | 2021 年 10 月 中斷惡意網域基礎結構 中斷 Microsoft 託管服務上的網域 現在，有越來越多的網路罪犯濫用 Microsoft 和協力 廠商雲端，以及員工和消費者用於日常協作的服務 資訊 (例如電子郵件)。Microsoft 會執行許多步驟來 減少雲端主機的濫用。我們會主動在裝載來源偵測 Microsoft 雲端的濫用，並在攻擊開始或擴展之前予 以消除；我們會根據服務中 (例如 Office 365 電子郵 件中) 的偵測結果採取行動，並將此知識路由傳送至 可消除威脅的內部服務；我們會根據客戶和協力廠商 報告採取行動；而且我們會通知協力廠商產業夥伴， 我們使用安全性服務偵測到其雲端上的濫用，讓他們 能夠採取行動在其裝載來源予以消除。在 2021 年 5 月到 7 月的三個月期間，我們停用了大約 15,850 個 裝載於 Azure 上的網路釣魚網站。 我們密切監視濫用， 並評估偵測和消除裝載惡意網站威脅的新方式 透過法律行動中斷協力廠商託管的網域 由於有越來越多的網路罪犯佈署私人技術基礎結構 (包括惡意網域) 以進行各種網路犯罪，因此組織和個 人有義務建立必要的法律和技術功能，以透過法律行 動來中斷此基礎結構。 近年來，民營部門運用了各種法律理論，透過聯邦法 院的民事訴訟以追求中斷。針對駭客和非法存取的刑 事法規經常提供以惡意基礎結構為目標的民事案由。 特別是《電腦詐欺及濫用防制法》(Computer Fraud and Abuse Act，CFAA)、 《 有 線 監 聽 法 》(Wiretap Act) 和《儲存通訊記錄法》(Stored Communications Act)，都是經常主張的法律理論。由於網路罪犯會利 用信任的品牌欺騙受害者，因此也經常主張《拉納姆 法》(Lanham Act) 中的商標理論 23 。在許多情況下， 侵權網域會提供惡意技術基礎結構的關鍵部分，而且 通常會包含合法內容的大批盜版複製品，以混淆受害 者並發動犯罪計畫。 追求適當的救濟是有效中斷的法律行動不可或缺的組 成部分。精心製作、依賴聯邦法院廣泛正當授權的禁 制令，讓原告能夠取得彈性的法院命令，允許他們對 網路犯罪基礎結構行使控制權。為了取得這類救濟， 原告經常援用法規來支援查封用於犯罪目的的實體裝 置、電腦和伺服器。從事犯罪活動的惡意網域，也可 依據各種聯邦法規與公平理論遭到查封。在幾個民事 案例中，聯邦法院已針對違反 CFAA、 《電子通訊隱私 法》(Electronic Communications Privacy Act)、 《拉納 姆法》和一般法律聲明授予這類禁制令。這些法律聲 明也支援直接轉移或停用網域和/或 IP 位址的法院命 令。在此案例中，法院將惡意基礎結構轉移給私人原 告控制或加以停用，並遠離被告的控制，這有效中斷 了網路罪犯發動攻擊和造成傷害的技術能力。 下一個巨大威脅： 「永久」(區塊鏈) 網域 區塊鏈網域是不在監管之列的新興威脅。 過去兩年來， 區塊鏈技術的採用已跨許多商業垂直市場迅速成長。 區塊鏈技術的實際應用範圍包括供應鏈管理、身分識 別管理、房地產合約和網域基礎結構。近年來，我們 觀察到區塊鏈網域已整合到網路犯罪基礎結構和作業 中。我們第一次大規模觀察到此情況是在調查 Necurs 殭屍網路時，多年來，該殭屍網路因其傳送惡意垃圾 郵件 (通常隨附勒索軟體承載) 的能力，而在全球各地 造成恐慌。Necurs 包含一個健全的備份系統，其中 納入 DGA。在其中一個 DGA 版本中，Necurs 大約每 30 天會從 43 個不同的 TLD 產生 2,048 個新網域，包 括區塊鏈網域 TLD “.bit” 。 區塊鏈網域是不在監管之列的 新興威脅。 23 15 U.S.C.§§ 1125(a)-(c) 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 40. 40 Microsoft 數位防禦報告 | 2021 年 10 月 不同於向網際網路註冊機構購買的傳統網域是透過 受 ICANN 監管的 DNS 系統運作，區塊鏈網域不受 任何中央機關控管，從而限制了濫用報告和強制干 擾的機會。 傳統上，區塊鏈網域是透過加密電子錢包使用來自區 塊鏈 DNS 提供者的加密貨幣進行購買。加密電子錢 包使用不對稱加密，涉及了區塊鏈交易的私密金鑰和 公開金鑰。在執行交易之後，會將網域名稱、網域 IP 和交易雜湊記錄到區塊鏈中。在未來，唯一能夠對區 塊鏈上所記錄 IP 進行變更的實體，會是進行初始交 易以購買網域之擁有電子錢包和私密金鑰的人。 區塊鏈網域的運作方式不同，從使用和干擾的觀點來 看都具有挑戰。區塊鏈網域可透過軟體/瀏覽器外掛 程式或 Proxy 解析服務運作。網路罪犯在區塊鏈網域 方面的挑戰，是從區塊鏈取得最新的 IP 位址，並移 至嘗試將區塊鏈網域解析為 IP 位址的電腦。由於區 塊鏈網域不是在一般 DNS 通道內運作，因此惡意軟 體作者必須包含適用於受感染受害者的其他解析指 示。這些指示通常會硬式編碼到惡意軟體中，並將受 感染的系統指向區塊鏈 Proxy 解析服務 IP。 多年來，網際網路上有數個專案負責經營免費的未 受監管 DNS，並支援區塊鏈網域的解析。最近的 OpenNic 專案以「DNS 中立並提供未經審查 DNS 存 取權」 任務聲明為行動方針， 旨在解析 「.bit」 加密網域。 專案進行幾年後，由於收到「.bit」網域濫用的大量 報告，OpenNic 專案決定停止解析「.bit」網域 24 。 使用區塊鏈網域的巨大威脅 犯罪基礎結構的威脅環境持續改變，以避免偵測和 干擾。在過去一年，網際網路上的一些大型威脅行 為體已開始利用區塊鏈網域做為其基礎結構的一部 分。Trickbot 是惡名昭彰的銀行特洛伊木馬程式，其 經營模式已演變為提供勒索軟體方面高價值目標的存 取權，並已開始使用 Emercoin 區塊鏈 DNS 所提供 的「.bazar」網域。最近一個與 Trickbot 有關的威脅 Bazarloader 已開始部署使用「.bazar」網域的獨特 DGA 版本。這種利用區塊鏈網域做為基礎結構的威 脅趨勢，會助長建立一個無庸置疑的犯罪網路，因此 應認真以對。 調查區塊鏈網域提供了一項獨特的挑戰，因為沒有 任何關於註冊者與註冊時間的中央 WHOIS 註冊資 料庫追蹤。幸好，某些區塊鏈 DNS 提供者 (例如 Emercoin) 提供了對區塊總管工具的存取權 25 ，以便 搜尋網域名稱、交易雜湊，以及可能儲存在區塊鏈中 的其他值。Emercoin 區塊鏈具有偽匿名性質，但可 以揭露區塊鏈網域中一些令人感興趣的相關資訊，例 如 IP 位址和交易日期。 24 https://www.namecoin.org/2019/07/30/opennic-does-right-thing-shuts-down-centralized-inproxy.html 25 https://explorer1.emercoin.com/nvs 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 41. 41 Microsoft 數位防禦報告 | 2021 年 10 月 對抗區塊鏈網域可能不如您想像中的困難 區塊鏈網域的弱點是需要第三方 Proxy 服務或瀏覽器 外掛程式將區塊鏈網域解析為 IP。停用或封鎖區塊鏈 Proxy 解析服務及停用瀏覽器外掛程式，將會停用區 塊鏈網域的解析功能。許多威脅情報廠商提供了惡意 URL 摘要，有時會包括區塊鏈解析 Proxy 或區塊鏈網 域本身。 區塊鏈網域已成為網路犯罪基礎結構的首選 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 42. 42 Microsoft 數位防禦報告 | 2021 年 10 月 對抗式機器學習 機器學習 (ML) 是一種人工智慧 (AI) 技術，有許多應 用用途，包括網路安全性。在負責的 ML 創新中，資 料科學家和開發人員會建立、訓練及部署 ML 模型， 以了解、保護及控制資料和流程來建立受信任的解決 方案。 不過，敵人可能會攻擊這些 ML 驅動的系統。支撐正 式環境 ML 系統的方法在系統上易受整個 ML 供應鏈 中新型漏洞的攻擊，這類攻擊統稱為「對抗式 ML」 。 敵人可能會惡意探索這些漏洞來操作 AI 系統並更改 其行為，達到最終的惡意目標。 對抗式 ML 威脅矩陣 Microsoft 與 MITRE 合作打造「對抗式 ML 威脅矩 陣」 ，因為我們相信，讓安全性團隊抵禦 ML 系統攻 擊的第一步就是擁有一個架構，以有系統的方式組 織惡意敵人用來破壞 ML 系統的技術。我們希望安 全性社群能夠使用表列的策略和技術，加強組織關 鍵任務 ML 系統周圍的監視策略。 1. 主要對象是安全性分析師：我們認為保護 ML 系統是一項資安問題。 「對抗式 ML 威脅矩陣」 的目標，是將 ML 系統上的攻擊置於一個架構， 讓安全性分析師能夠在這些新興和即將出現的 威脅中調整自己的方向。該矩陣的結構方式類 似於 ATT&CK 架構，這是由於安全性分析師社 群廣泛採用該架構所致。如此一來，安全性分 析師就會有熟悉的架構來了解 ML 系統的威脅， 其原本就不同於公司網路的傳統攻擊。 2. 以 ML 系統上的實際攻擊為基礎：我們在此架 構中植入了經 Microsoft 和 MITRE 審查，認定 對正式環境 ML 系統有效的一組漏洞和敵人行 為，讓安全性分析師可以專注於實際的威脅。 我們也會將 Microsoft 在這方面廣泛經驗中學到 的知識納入架構。例如，我們發現模型竊取不 是攻擊者的最終目標，實際上會導致更險惡的 模型規避。我們也發現，攻擊者在攻擊 ML 系 統時，會結合網路釣魚與橫向移動等傳統技術， 以及對抗式 ML 技術。 ML 中的有意失敗模式 Microsoft 將 AI 和 ML 特定的安全性做法納入其安全 性開發生命週期 (SDL)，以保護 Microsoft 產品和服 務免受這些攻擊。除了威脅偵測和降低風險開發工作 與自動化之外，我們還發佈了客戶所能採取的步驟指 引，以便他們能夠在自己的 AI 和 ML 系統中構建深 度防禦。 在我們所發佈的資料中，最重要的是＜機器學習中的失 敗模式＞ (機器翻譯)26 ，該文章列出了我們與哈佛大學 伯克曼網際網路與社會研究中心 (Berkman Klein Center for Internet and Society) 共同開發的術語。其中包括可 用於描述敵人嘗試更改結果或竊取演算法所造成之有 意失敗的詞彙，以及可用於描述意外失敗 (例如產生可 能不安全之結果的系統) 的詞彙。 26 https://docs.microsoft.com/en-us/security/engineering/failure-modes-in-machine-learning 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊
- 43. 43 Microsoft 數位防禦報告 | 2021 年 10 月 ML 模型上的攻擊 攻擊 描述 範例 規避攻擊 攻擊者會以導致模型分類 錯誤的方式修改查詢。 自動駕駛汽車 透過操作停車標誌或汽車影像辨識系統所觀察到的 環境， 敵人就可以引起模型分類錯誤。透過此方式， 就能使自動駕駛汽車忽略停車標誌。 毒害攻擊 攻擊者會污染 ML 系統的 訓練階段，以取得預期的 結果。攻擊者想要錯誤分 類特定範例，導致執行或 省略特定動作。 關鍵基礎結構系統 透過提交防毒軟體做為惡意軟體，敵人就可以迫使 將其錯誤分類為惡意軟體，進而導致無法在用戶端 系統上使用防毒軟體。這可能會使關鍵基礎結構系 統暴露在攻擊風險之中。 成員資格推斷 攻擊者可以推斷指定的資 料記錄是否屬於模型的訓 練資料集。 醫療保健資訊 敵人可以查看根據資料主體訓練的模型，例如包含 動過特定外科手術人士的資料。透過了解特定人士 的資料在訓練集中，敵人就會接著得知該人士動過 外科手術，然後就能公開利用此隱私權違規。 模型竊取 攻擊者可以透過精心製作 的查詢來復原模型。 財務演算法 透過模型查詢，敵人就可以重建 ML 模型的可能輸 出。這可能會對專為特定市場中高頻率股票交易設 計的專有演算法造成不利影響。 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習
- 44. 44 Microsoft 數位防禦報告 | 2021 年 10 月 攻擊者規避 規避攻擊是一種針對 ML 模型以導致完整性違規的探 索式攻擊。從系統的安全性觀點來看，考慮黑箱規避 攻擊會很有幫助，其中攻擊者可能不具備 ML 模型內 部運作方式的特定知識，而是透過提交輸入和觀察對 應的系統輸出來影響變更。此威脅模型對於許多以雲 端服務形式或在消費者裝置上託管的 AI 系統很常見， 也是金融、醫療保健、防禦、詐欺和安全性模型關心 的問題。 白帽駭客研究人員一再展現了對 ML 模型的複雜黑箱 規避攻擊，這些人員使用了演算法來反覆判斷何種輸 入會導致完整性違規。不過在今日，環境中的威脅行 為體也可能會嘗試規避某些網域中的 ML 系統，但通 常會透過手動而不是演算法的方法進行，而且不一定 只專注於 ML 做為規避目標。例如，惡作劇或出於金 錢誘因的使用者會以創意方式模糊處理承載內容，略 過內容仲裁篩選。敵人會使用數種模糊處理技術，規 避包含反惡意程式碼軟體或反網路釣魚模型的安全性 產品。在這些實際手動規避攻擊中，這些依賴 ML 的 目標系統不一定會是考量。 無論您的公司網域中是否存在敵人，所有網域都存在 敵人規避 ML 模型的風險。ML 模型是不理想的資料 集摘要，因此即使根據理想的資料集訓練，模型也有 固有的失敗模式。通常會認為規避的可行性是所有 ML 模型的特質，而不是只有少數會受其影響的失敗 模式。在 ML 模型的正常使用期間，可能很少會遇到 這些完整性違規，但如果敵人明確針對導致違規所需 最糟情況條件進行最佳化， 就可以立即發現這些漏洞。 ML 模型/資料毒害 我們在對抗式 ML 安全性研究中看到一個趨勢變化。 雖然過去幾年將焦點放在高度可見的模型規避攻擊， 而很容易展現某些 ML 模型的脆弱性，但安全性研究 人員逐漸擴大焦點，以包含較不明顯的攻擊。例如， 在資料毒害攻擊中，目標是建立 ML 模型所依據的訓 練資料。隨著新資料彙總並納入訓練資料集中，驗證 新的訓練資料未遭到洩露變得越來越重要。我們有證 據顯示，因訓練資料對抗式污染所導致的客戶 ML 模 型入侵，若未被發現，則會成為現有訓練資料集中同 樣受信任的部分。如果沒有自動化測量方式來測量不 斷增長之資料集中的統計漂移，在 ML 模型發生重大 失敗之前，這些類型的攻擊大多都不會被發現。 如過去漏洞的安全性研究所示 27 ，在研究出版物明 顯增加之後，很快就會出現主動式惡意探索。鑒於 焦點會轉移到資料毒害攻擊，Microsoft 持續專注於 設計威脅偵測和降低風險措施，以保護 ML 模型及 其資料集免受這些威脅。這方面的降低風險措施也 可能有助於偵測非惡意的訓練資料漂移，讓資料科 學家能更了解更多資料在一段時間後的品質，並突 顯異常以供調查。 所有網域都存在敵人規避 ML 模型 的風險。 27 例如，MD5、SHA1、SSLv2/3 和 TLS 1.0 目錄 簡介 網路犯罪現況 國家威脅 供應鏈、IOT 及 OT 安全性 混合式工作團隊的安全性 假資訊 可付諸行動的見解 團隊 簡介 網路犯罪經濟與服務 勒索軟體與勒索 網路釣魚及其他惡意電子郵件 惡意軟體 惡意網域 對抗式機器學習