立即回應
直接證據執行前需人工核准禁止自動執行
針對 192.168.168.19，持續監控主機網路外連與檔案完整性變更，保留原始 USB 裝置供驗證
驗證：比對 discovery.json 內容是否含惡意 URL，確認 HTTP 心跳來源為受控伺服器
Layer C Investigation
Layer C 分析報告
根據 Layer C attack-chain 文件彙整；目前未收到獨立 ai_summary 或 report_text，因此不假裝產生完整 AI 文字報告。
已發生案件
1
全部時間
高風險
1
100%
待處理
0
0%
調查中
0
0%
已結案
1
100%
報告摘要
wazuh-192-168-168-19-1788366664419
根據 Layer C attack-chain 文件，目前最優先追蹤的案件為wazuh-192-168-168-19-1788366664419，風險判定為 高風險，已觀察證據支持度為 91%。 本報告僅彙整已取得的事件、證據與圖譜資料。
風險判讀
風險等級
高風險
已觀察證據支持度
91%
鏈結來源
authorized exercise contract
攻擊鏈說明
新增硬體裝置（T1200） → PowerShell（T1059.001） → 系統擁有者／使用者探索（T1033） → 系統資訊探索（T1082） → 系統網路設定探索（T1016） → 程序探索（T1057） → Web 協定通訊（T1071.001）；預測下一步 下載或傳入攻擊工具（T1105）
新增硬體裝置（T1200）PowerShell（T1059.001）系統擁有者／使用者探索（T1033）系統資訊探索（T1082）系統網路設定探索（T1016）程序探索（T1057）Web 協定通訊（T1071.001）
關鍵證據
類型未提供未知
tdv2YqABETJ8ibgTjgPL
類型未提供未知
sdv1YqABETJ8ibgT6wPv
類型未提供未知
uNv3YqABETJ8ibgTHQPt
類型未提供未知
ttv3YqABETJ8ibgTHQPt
類型未提供未知
tNv2YqABETJ8ibgTjgPL
類型未提供未知
sNv1YqABETJ8ibgTygMv
類型未提供未知
t9v3YqABETJ8ibgTHQPt
類型未提供未知
stv2YqABETJ8ibgTTQOY
公司內部 ISMS 情境建議
文件範圍：公司內部 · 模型情境分析 · 已載入保存結果
192.168.168.19：DESKTOP-VI07398 遭 USB 裝置（VID_0483/PID_5750）觸發 PowerShell 執行序列，完成身分、網路與程序探索並建立 HTTP 連線。雖為演練，但 下載或傳入攻擊工具（T1105） 下載工具行為已預測，需防範惡意載入。
可能原因：BadUSB 授權演練導致之合法探索行為；下載或傳入攻擊工具（T1105） 僅為基於現有 TTP 序列的攻擊鏈推論，非已發生事實。
預測回饋
證據與預測混合執行前需人工核准禁止自動執行
加強 Wazuh 對 PowerShell 下載指令之即時告警，並監控可疑檔案寫入行為
觀察：出現非預期來源之可執行檔建立、DNS 查詢異常或外連至未授權 IP
事後檢討
證據與預測混合執行前需人工核准禁止自動執行
於 PR01 與 PR02 中增列演練結束後的資產狀態重置步驟，包含腳本清理與權限回收
核對：核對 demo-complete.json 是否已還原、惡意載入點是否移除、日誌是否完整保存至法定期限
案件證據 × 程序要求 × 情境判斷
即時事件回應 · 6 處程序原文
本案訊號
BadUSB 授權演練：USB 啟動 PowerShell 探索與外連；BadUSB 以鍵盤裝置接入後啟動 PowerShell，完成身分、主機、網路與程序探索，再嘗試向受控伺服器送出 HTTP 心跳；系統預測下一步最需防範下載或傳入攻擊工具。
公司程序要求
使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。媒體不得轉借未授權人員。；高權限、開發與上線、申請與核准、稽核與被稽核等角色應依風險進行職務分離。
套用後判斷
本案屬 BADUSB_SAFE 契約範圍，且無直接惡意載入證據；隔離或停用將違反演練保留原則 針對 192.168.168.19，持續監控主機網路外連與檔案完整性變更，保留原始 USB 裝置供驗證
驗證方式
比對 discovery.json 內容是否含惡意 URL，確認 HTTP 心跳來源為受控伺服器
後續風險預防 · 4 處程序原文
本案訊號
模型候選為 下載或傳入攻擊工具（T1105）；此項只作為提前查證與監控條件，不視為已發生證據。
公司程序要求
關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。日誌保存期限、存取與防竄改依風險及法令契約要求。；使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。媒體不得轉借未授權人員。
套用後判斷
下載或傳入攻擊工具（T1105） 代表攻擊者可能嘗試從網路下載工具，此為基於 應用層協定通訊（T1071） 外連行為的合理推論而非證據 加強 Wazuh 對 PowerShell 下載指令之即時告警，並監控可疑檔案寫入行為
驗證方式
出現非預期來源之可執行檔建立、DNS 查詢異常或外連至未授權 IP
事後程序檢討 · 6 處程序原文
本案訊號
BadUSB 授權演練：USB 啟動 PowerShell 探索與外連；BadUSB 以鍵盤裝置接入後啟動 PowerShell，完成身分、主機、網路與程序探索，再嘗試向受控伺服器送出 HTTP 心跳；系統預測下一步最需防範下載或傳入攻擊工具。
公司程序要求
重大事件應進行根因分析、控制改善、偵測規則更新及教育回饋;必要時依 PR10 立案。；依公司規章公平一致處理,重大違規得依 ST11/PR10 進行事件與改善。
套用後判斷
演練結束後缺乏明確的資產除役與腳本清除標準作業程序 於 PR01 與 PR02 中增列演練結束後的資產狀態重置步驟，包含腳本清理與權限回收
驗證方式
核對 demo-complete.json 是否已還原、惡意載入點是否移除、日誌是否完整保存至法定期限
查看採用的內部程序（2）
PR04 可攜式儲存媒體管理作業程序
依據 PR04 第 5.2 節，確認 USB 裝置已掃描且未長期留存，符合演練契約之媒體管理規範
原文：使用前後進行惡意程式掃描;不得長期作為唯一儲存或備份媒介。 媒體不得轉借未授權人員。
章節：5.2 使用 · 頁碼未辨識
ST09 通訊與運作安全管理辦法
依 ST09 第 5.4 節，驗證 Wazuh 日誌時間同步與完整性，確保 新增硬體裝置（T1200） 至 應用層協定通訊（T1071） 等關鍵事件可追溯
原文：關鍵系統應記錄登入、權限、管理活動、安全事件與關鍵交易;時間應同步。 日誌保存期限、存取與防竄改依風險及法令契約要求。
章節：5.4 日誌與監控 · 頁碼未辨識
可追溯來源
tdv2YqABETJ8ibgTjgPL
wazuh-alerts-4.x-2026.09.02
sdv1YqABETJ8ibgT6wPv
wazuh-alerts-4.x-2026.09.02
uNv3YqABETJ8ibgTHQPt
wazuh-alerts-4.x-2026.09.02
ttv3YqABETJ8ibgTHQPt
wazuh-alerts-4.x-2026.09.02
tNv2YqABETJ8ibgTjgPL
wazuh-alerts-4.x-2026.09.02
sNv1YqABETJ8ibgTygMv
wazuh-alerts-4.x-2026.09.02
t9v3YqABETJ8ibgTHQPt
wazuh-alerts-4.x-2026.09.02
stv2YqABETJ8ibgTTQOY
wazuh-alerts-4.x-2026.09.02
交付格式
根據 Layer C attack-chain 文件彙整，可貼到 Jira comment 或 Markdown 記錄。
wazuh-192-168-168-19-1788366664419
新增硬體裝置（T1200） → PowerShell（T1059.001） → 系統擁有者／使用者探索（T1033） → 系統資訊探索（T1082） → 系統網路設定探索（T1016） → 程序探索（T1057） → Web 協定通訊（T1071.001）；預測下一步 下載或傳入攻擊工具（T1105）
攻擊路徑
新增硬體裝置（T1200） → PowerShell（T1059.001） → 系統擁有者／使用者探索（T1033） → 系統資訊探索（T1082） → 系統網路設定探索（T1016） → 程序探索（T1057） → Web 協定通訊（T1071.001）；預測下一步 下載或傳入攻擊工具（T1105）
黃色虛線代表證據支撐 TTP；實線箭頭代表攻擊步驟順序。
高風險已觀察證據支持度 91%攻擊路徑TTP 9證據 20關聯 7authorized exercise contract惡意（分類器信心 82%）鏈完整度: 部分9 節點 · 8 關聯
案件起點案件節點
佐證資料證據節點
攻擊技術TTP 節點
降級 / 原始原始資料
證據支撐Evidence → TTP
下一步攻擊順序
關聯非順序連結
點選節點可查看完整資訊，長文字保留在 tooltip 與細節面板。
點選圖上的案件、證據或 TTP 節點後，這裡會顯示細節。