LayerC 攻擊鏈案件總覽、主要證據與預測結果。
目前已完成 USB 接入、PowerShell 執行、主機探索與 HTTP 心跳；依相似 BadUSB 攻擊流程，下一步最值得優先防範的是下載或傳入攻擊工具。這是候選排序，不代表行為已發生。
文件範圍：公司內部 · 模型情境分析 · 已載入保存結果
192.168.168.19：DESKTOP-VI07398 遭 USB 裝置（VID_0483/PID_5750）觸發 PowerShell 執行序列，完成身分、網路與程序探索並建立 HTTP 連線。雖為演練，但 下載或傳入攻擊工具（T1105） 下載工具行為已預測，需防範惡意載入。
可能原因：BadUSB 授權演練導致之合法探索行為；下載或傳入攻擊工具（T1105） 僅為基於現有 TTP 序列的攻擊鏈推論，非已發生事實。
針對 192.168.168.19，持續監控主機網路外連與檔案完整性變更，保留原始 USB 裝置供驗證
驗證：比對 discovery.json 內容是否含惡意 URL，確認 HTTP 心跳來源為受控伺服器
加強 Wazuh 對 PowerShell 下載指令之即時告警，並監控可疑檔案寫入行為
觀察：出現非預期來源之可執行檔建立、DNS 查詢異常或外連至未授權 IP
於 PR01 與 PR02 中增列演練結束後的資產狀態重置步驟，包含腳本清理與權限回收
核對：核對 demo-complete.json 是否已還原、惡意載入點是否移除、日誌是否完整保存至法定期限
BadUSB 授權演練：USB 啟動 PowerShell 探索與外連；BadUSB 以鍵盤裝置接入後啟動 PowerShell，完成身分、主機、網路與程序探索，再嘗試向受控伺服器送出 HTTP 心跳；系統預測下一步最需防範下載或傳入攻擊工具。
使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。媒體不得轉借未授權人員。；高權限、開發與上線、申請與核准、稽核與被稽核等角色應依風險進行職務分離。
本案屬 BADUSB_SAFE 契約範圍，且無直接惡意載入證據；隔離或停用將違反演練保留原則 針對 192.168.168.19，持續監控主機網路外連與檔案完整性變更，保留原始 USB 裝置供驗證
比對 discovery.json 內容是否含惡意 URL，確認 HTTP 心跳來源為受控伺服器
模型候選為 下載或傳入攻擊工具（T1105）；此項只作為提前查證與監控條件，不視為已發生證據。
關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。日誌保存期限、存取與防竄改依風險及法令契約要求。；使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。媒體不得轉借未授權人員。
下載或傳入攻擊工具（T1105） 代表攻擊者可能嘗試從網路下載工具，此為基於 應用層協定通訊（T1071） 外連行為的合理推論而非證據 加強 Wazuh 對 PowerShell 下載指令之即時告警，並監控可疑檔案寫入行為
出現非預期來源之可執行檔建立、DNS 查詢異常或外連至未授權 IP
BadUSB 授權演練：USB 啟動 PowerShell 探索與外連；BadUSB 以鍵盤裝置接入後啟動 PowerShell，完成身分、主機、網路與程序探索，再嘗試向受控伺服器送出 HTTP 心跳；系統預測下一步最需防範下載或傳入攻擊工具。
重大事件應進行根因分析、控制改善、偵測規則更新及教育回饋;必要時依 PR10 立案。；依公司規章公平一致處理,重大違規得依 ST11/PR10 進行事件與改善。
演練結束後缺乏明確的資產除役與腳本清除標準作業程序 於 PR01 與 PR02 中增列演練結束後的資產狀態重置步驟，包含腳本清理與權限回收
核對 demo-complete.json 是否已還原、惡意載入點是否移除、日誌是否完整保存至法定期限
原文：使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。 媒體不得轉借未授權人員。
原文：關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。 日誌保存期限、存取與防竄改依風險及法令契約要求。
本案不是「完全沒有偵測」：Wazuh／Sysmon 已記錄 USB、PowerShell 與後續探索；真正需優先確認的是未核准 HID 為何能啟動指令、告警是否及時關聯，以及 HTTP 出口控制是否生效。模型綜合判斷：演練腳本未明確區分正常探索與惡意下載行為之權限界限
說明每一步發生了什麼，以及公司控制是阻擋、僅偵測，或仍缺少證據。
案件證據：edr_wazuh：External input device activity was followed by a Sysmon-observed PowerShell process on the same host (新增硬體裝置（T1200） to PowerShell（T1059.001）).
偵測端已記錄裝置插入，但尚無證據證明端點曾依公司核准清冊主動阻擋或限制此 HID 裝置；預防控制是否失效需查原則套用結果。
案件證據：edr_wazuh：External input device activity was followed by a Sysmon-observed PowerShell process on the same host (新增硬體裝置（T1200） to PowerShell（T1059.001）).
Sysmon／Wazuh 能在執行後留下證據，表示偵測鏈有作用；但目前沒有應用程式控制、受限語言模式或命令政策曾阻止執行的證據。
案件證據：已觀察 系統擁有者／使用者探索（T1033）、系統資訊探索（T1082）、系統網路設定探索（T1016）、程序探索（T1057）。
端點日誌已保留多個探索步驟，偵測覆蓋可用；仍需確認告警是否在攻擊鏈完成前被關聯及分派，而不是只在事後被彙整。
案件證據：edr_wazuh：File integrity monitoring detected creation or modification of an HTTP connection status file (Web 協定通訊（T1071.001）: Web Protocols).
已看到 Web 通訊行為，但缺少目的地核准與網路規則命中資料，無法判定是正常放行、監控告警或出口控制缺口。
不是列文件清單，而是逐項連結案件證據、程序要求、可能缺口與驗證方式。
edr_wazuh：External input device activity was followed by a Sysmon-observed PowerShell process on the same host (新增硬體裝置（T1200） to PowerShell（T1059.001）).
使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。 媒體不得轉借未授權人員。
本案證明鍵盤型 HID 能被接受並觸發操作；現有程序偏重可儲存媒體，需確認是否明確涵蓋 BadUSB／HID，以及核准、允許清單與端點裝置控制是否真正落地。
先盤點此裝置 VID／PID、核准紀錄及端點原則；再將未核准 HID 納入裝置控制或受控例外流程，避免只依人工掃描處理非儲存型 BadUSB。
原文：使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。 媒體不得轉借未授權人員。
edr_wazuh：External input device activity was followed by a Sysmon-observed PowerShell process on the same host (新增硬體裝置（T1200） to PowerShell（T1059.001）).
端點及伺服器依風險採防毒/EDR、更新、裝置控管、硬碟加密與鎖定。
Wazuh／Sysmon 已能留下執行證據，但屬執行後偵測；目前缺少 PowerShell 限制、應用程式允許政策與告警即時分派證據，不能把『有日誌』等同『已阻止』。
保留 Script Block、完整命令列與父子程序日誌，對 USB/HID 後短時間啟動 PowerShell 建立關聯規則；再依業務需求評估應用程式控制或 PowerShell 限制。
原文：端點及伺服器依風險採防毒/EDR、更新、裝置控管、硬碟加密與鎖定。
原文：關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。 日誌保存期限、存取與防竄改依風險及法令契約要求。
edr_wazuh：File integrity monitoring detected creation or modification of an HTTP connection status file (Web 協定通訊（T1071.001）: Web Protocols).
網路應依用途及風險分區,重要服務採邊界控制、加密與監控;對外服務應最小化暴露面。
端點已留下 Web 通訊證據，但案件缺少防火牆／NDR 規則命中與目的地核准資訊，因此尚不能判定出口控制失效，也無法證明網路偵測已覆蓋。
把端點的程序、命令列與目的 IP／連接埠關聯至 NDR／防火牆事件，並針對未核准目的地建立可驗證告警；預測的工具傳入仍只作為監控條件。
原文：網路應依用途及風險分區,重要服務採邊界控制、加密與監控;對外服務應最小化暴露面。
原文：關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。 日誌保存期限、存取與防竄改依風險及法令契約要求。
案件已結案並累積 20 筆案件證據。
重大事件應進行根因分析、控制改善、偵測規則更新及教育回饋;必要時依 PR10 立案。
目前結案狀態本身不能證明根因、責任人、期限與改善有效性均已完成；本頁列出的待查證項目應回填正式事件與矯正追蹤紀錄。
將本案 USB 准入、PowerShell 執行、日誌關聯與網路出口四項結果納入正式根因分析，指定責任人、期限與成功標準後再完成改善結案。
原文：重大事件應進行根因分析、控制改善、偵測規則更新及教育回饋;必要時依 PR10 立案。
原文：依公司規章公平一致處理,重大違規得依 ST11/PR10 進行事件與改善。
事件含 USB／HID 外接裝置證據；裝置為何能被作業系統接受並繼續觸發操作，仍需比對端點裝置控制原則、允許清單及使用前掃描紀錄，不能只憑插入事件認定人員違規。
原文：使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。 媒體不得轉借未授權人員。
若端點證據確認由外接鍵盤啟動 PowerShell 或其他指令直譯器，應核對應用程式控制、指令稽核與非必要工具限制是否生效；目前仍需程序建立與 Script Block／程序建立日誌佐證。
原文：端點及伺服器依風險採防毒/EDR、更新、裝置控管、硬碟加密與鎖定。
原文：關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。 日誌保存期限、存取與防竄改依風險及法令契約要求。
原文：高權限、開發與上線、申請與核准、稽核與被稽核等角色應依風險進行職務分離。
原文：權限依工作角色配置;特權採個別帳號、必要時限及強化驗證。
若 NDR、代理或端點日誌確認測試主機可對未核准服務送出 HTTP 請求，應核對出口規則、目的地允許條件與告警門檻；只有預測節點時不得視為已發生外連。
原文：網路應依用途及風險分區,重要服務採邊界控制、加密與監控;對外服務應最小化暴露面。
原文：關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。 日誌保存期限、存取與防竄改依風險及法令契約要求。
BadUSB 授權演練導致 USB 裝置接入後自動執行 PowerShell 腳本，依序探索系統資訊並嘗試外連；下載或傳入攻擊工具（T1105） 為預測之工具下載行為，非已發生事實。
原文：重大事件應進行根因分析、控制改善、偵測規則更新及教育回饋;必要時依 PR10 立案。
原文：依公司規章公平一致處理,重大違規得依 ST11/PR10 進行事件與改善。
原文：使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。 媒體不得轉借未授權人員。
原文：關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。 日誌保存期限、存取與防竄改依風險及法令契約要求。
原文：高權限、開發與上線、申請與核准、稽核與被稽核等角色應依風險進行職務分離。
原文：權限依工作角色配置;特權採個別帳號、必要時限及強化驗證。
應取得證據後再確認根因，不以本頁推論取代正式紀錄。
補強事件分級門檻、升級路徑、決策紀錄、預測標示、復原驗證與結案審查。
驗證方式：完成後應取得：事件通報單、案件時間線、證據保全紀錄、結案與改善追蹤，並以測試結果證明控制已生效。
補強外接裝置預設拒絕或最小允許原則、VID／PID 與 HID 控管、使用前掃描、例外期限、端點套用驗證及使用紀錄。
驗證方式：完成後應取得：外接裝置申請與核准紀錄、媒體掃描結果、裝置控制原則與套用狀態、VID／PID、HID 類型及例外清冊，並以測試結果證明控制已生效。
明確化惡意程式告警分級、全域掃描、樣本保全、IOC 佈署與解除隔離門檻。
驗證方式：完成後應取得：EDR／防毒告警、樣本雜湊與隔離紀錄、全環境掃描結果，並以測試結果證明控制已生效。
補強網路規則定期審查、例外期限、緊急封鎖、回復條件及異常流量通報流程。
驗證方式：完成後應取得：防火牆與 NDR 日誌、網路規則審查紀錄、隔離／解除管制紀錄，並以測試結果證明控制已生效。
補強必要日誌清單、集中保存、時間同步、告警責任與預測候選的偵測驗證規則。
驗證方式：完成後應取得：日誌來源清單、SIEM／EDR／NDR 紀錄、告警處理與規則測試結果，並以測試結果證明控制已生效。
補強高權限帳號核准、定期複核、異常登入門檻、緊急停權及復權驗證程序。
驗證方式：完成後應取得：登入與驗證日誌、帳號權限清冊、權限申請／異動／註銷紀錄，並以測試結果證明控制已生效。
原文：重大事件應進行根因分析、控制改善、偵測規則更新及教育回饋;必要時依 PR10 立案。
原文：依公司規章公平一致處理,重大違規得依 ST11/PR10 進行事件與改善。
原文：使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。 媒體不得轉借未授權人員。
原文：端點及伺服器依風險採防毒/EDR、更新、裝置控管、硬碟加密與鎖定。
原文：網路應依用途及風險分區,重要服務採邊界控制、加密與監控;對外服務應最小化暴露面。
原文：關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。 日誌保存期限、存取與防竄改依風險及法令契約要求。
原文：高權限、開發與上線、申請與核准、稽核與被稽核等角色應依風險進行職務分離。
原文：權限依工作角色配置;特權採個別帳號、必要時限及強化驗證。
原文：各單位至少每年及重大變更時更新 FM01;新資產上線前應納管。
原文：### 資產管理單位 建立資產識別、盤點與報廢機制。 ### 資產擁有者 確認用途、分級、授權與除役。 ### 保管者/使用者 妥善保管、不得擅自轉移,異常立即通報。 ### 資訊單位 執行設備配置、清除、重灌與安全設定。
原文：應考量威脅、脆弱性、既有控制、可能性、影響及資訊資產價值;個資另考量資料類型、規模、當事人影響與處理情境。
• 根因內容是依事件證據與內部程序形成的待確認假設，不等同已證實的人員或設定責任。
• 預測攻擊行為只用於安排查證與預防措施，不列入已發生事實。
• 引用僅使用已確認組織文件的可定位原文摘錄；仍應回到完整文件及實際紀錄完成複核。
