檢視次數:

[Heuristic Attribute] Possible Data Encrypted for Impact

告警說明：以演算法關聯並發現可能造成影響的資料加密

處置建議：查看Highlights是否出現偵測到到勒索病毒（Ransomware）相關事件，萬一有，請確認actResult欄位內容，如果欄位內容是File cleaned，代表勒索病毒已經被擋下。

Ransomware Detection (Real-time Scan)

告警說明：偵測到勒索病毒 (即時掃描) -- 當防毒端點的即時掃瞄偵測到勒索病毒（Ransomware），代表病毒進到系統（下載或解壓縮）就立刻被發現。

處置建議：請確認actResult欄位內容，如果欄位內容是File cleaned，代表勒索病毒已經被擋下。

Ransomware Behavior Detection

告警說明：偵測到勒索病毒行為 -- 當防毒端點的行為監控模組偵測到勒索病毒（Ransomware），這表示有某個程式正在試圖加密檔案或執行其他類似勒索軟體的行為。

處置建議：請確認act欄位內容，如果欄位內容是Terminate，代表勒索病毒加密行為已經被擋下。

Add Accounts In Domain Admin Group

告警說明：新增帳號到網域管理者群組 (Net指令) -- 如果不是網管人員使用Net指令新增帳號到網域管理者群組，這可能是未經授權的存取或內部威脅的跡象。

處置建議：查看parentCmd指令中，觀察其中的路徑和檔案，是否出現環境內正在使用的服務名稱。如果有，請忽略此告警事件。

確認Impact scope的User Account，如果是管理者帳號，請向該管理者確認事件時間點是否執行該任務。如果是，請忽略此告警事件。

如果上述兩個判斷都確定該程式不屬於環境使用，且不是管理者的操作行為，請繼續以下確認：
如果User Account看到「nt authority\system」，請協助提供以下資訊並聯繫技術客服單位以利協助您進一步釐清細節。
從objectCmd指令中，最後的參數單字，例如：net group /add "Domain Admins" AAA，則在網域管理者群組中看看有沒有出現AAA帳號。

APT Malware

告警說明：APT病毒 -- 端點上偵測的病毒檔案和已知的APT組織有關，代表可能出現有組織化的攻擊，時間可能已經長達數個月或數年。

處置建議：請確認actResult欄位內容，如果是File cleaned，代表勒索病毒已經被擋下。除此之外，建議進行IR調查或聯繫業務取得相關支援。

Suspicious Creation of Domain Account via Net.exe

告警說明：疑似透過Net.exe指令建立網域帳號 -- 如果不是網管人員使用Net指令新增帳號到網域管理者群組，這可能是未經授權的存取或內部威脅的跡象。

處置建議：查看parentCmd指令中，觀察其中的路徑和檔案，是否出現環境內正在使用的服務名稱。如果有，請忽略此告警事件。

確認Impact scope的User Account，如果是管理者帳號，請向該管理者確認事件時間點是否執行該任務。如果是，請忽略此告警事件。

如果上述兩個判斷都確定該程式不屬於環境使用，且不是管理者的操作行為，請繼續以下確認：
如果User Account看到「nt authority\system」，請協助提供以下資訊並聯繫技術客服單位以利協助您進一步釐清細節。
從objectCmd指令中，最後的參數單字，例如：net user /add /domain AAA 1234，則在AAA群組中看看有沒有出現1234帳號。