在網路威脅不斷演變的今日，收集網路威脅情報已成為組織保護其數位資產的關鍵之一。透過掌握最新的威脅情況，能讓安全團隊及時防禦潛在攻擊。本文探討了五種提升威脅調查能力的技術，並展示了如何有效運用這些技術來強化威脅情報的收集。
1. 透過C2 IP地址進行轉向來鎖定惡意軟體
惡意軟體與其指揮與控制（C2）伺服器的IP地址是重要的情報來源。這些IP地址不僅能幫助安全防護系統進行更新，還能識別出與攻擊者相關的基礎設施和工具。文中提到的"轉向"技術，讓分析師可以基於現有的威脅指標尋找更多的上下文資料。像ANY.RUN的Threat Intelligence Lookup這樣的威脅情報查詢工具，讓分析師能透過IP地址、網域名等多達40種參數進行查詢，並獲取與這些指標相關的惡意行為資料。以查詢的IP地址為例，分析師能快速了解該IP地址是否與已知的惡意活動相關，並進一步確認相關的惡意軟體（例如AgentTesla），以及該IP地址是否與數據外泄等行為有關。
這項技術的優勢在於，它能讓分析師迅速定位特定攻擊的關鍵指標，並透過相關的上下文資料，揭示更多威脅的細節。尤其是透過與沙箱環境相結合的查詢工具，安全團隊能更全面地了解整個攻擊過程並提取有價值的威脅情報。
2. 使用URL分析暴露威脅者的基礎設施
另一個關鍵技術是分析惡意URL來揭露攻擊者的基礎設施。URL，特別是用於釣魚攻擊的網頁，通常會模仿合法網站，欺騙使用者提供敏感資訊。透過對這些網域進行分析，安全團隊能發現釣魚網站的模式，並進一步揭開攻擊者背後更廣泛的基礎設施。例如，某些惡意軟體（如Lumma）傾向於使用以".shop"結尾的URL來儲存惡意程式。透過查詢這些特徵，分析師能及時發現並阻止這類攻擊行為。
這種技術能夠幫助分析師在更早期識別潛在威脅，尤其是在釣魚攻擊越來越普遍的情況下，對於提高使用者對釣魚網站的防範能力非常重要。
3. 利用MITRE TTP識別威脅
MITRE ATT&CK框架是一個全面的資料庫，記錄了對手的戰術、技術與程序（TTP）。透過這些TTP，分析師可以識別出新興威脅，並提前做好防範。ANY.RUN提供的即時熱門TTP排行，能夠幫助分析師快速了解當前最常見的攻擊技術。這項工具不僅可以讓分析師即時掌握最新的威脅趨勢，還能透過與沙箱環境的結合，讓分析師深入了解這些TTP在具體攻擊中的應用。
透過TTP的使用，安全團隊能更有針對性地防禦特定的攻擊技術，並提升整體防禦的全面性。
4. 利用YARA規則收集樣本
YARA是一個描述惡意軟體家族的強大工具，能夠根據文本或二進制模式創建規則，以自動檢測已知的惡意軟體。通過YARA規則，分析師能快速識別出具有相似特徵的新惡意軟體變種。ANY.RUN的查詢工具提供了內建的YARA規則搜尋功能，讓分析師可以上傳、編輯並儲存自定義規則，從而發現相關的惡意樣本。例如，透過XenoRAT的YARA規則，分析師能檢測出超過170個符合該規則的惡意樣本，並進一步分析其運行時的行為。
這項技術的價值在於，它讓惡意軟體的檢測變得更加高效和自動化，特別是在面對大量惡意樣本時，YARA規則能幫助分析師迅速篩選出關鍵威脅。
5. 使用命令行和程序名稱識別惡意軟體
最後，通過命令行工件和程序名稱來識別惡意軟體是一個較為罕見但有效的技術。大多數威脅情報來源不會提供這類資料，但ANY.RUN通過其實時沙箱分析，能夠捕獲命令行數據、程序運行狀態等細節資料。例如，Strela stealer的攻擊中使用了特定的命令行字串與程序，分析師可以透過查詢這些細節，揭示更多有關攻擊者的活動。
總結來看，這五項技術不僅幫助安全團隊更加全面地了解威脅，還能有效提升調查的效率。通過使用先進的威脅情報工具，如ANY.RUN的Threat Intelligence Lookup，安全分析師能在更短的時間內提取更準確的威脅信息，從而提升整體的網路安全防禦能力。隨著網路攻擊手段不斷進化，這些技術將在未來的威脅調查中發揮越來越重要的作用。
詳情請看：
