Entry № 109
行为检测
行为检测 是什么?
行为检测通过分析进程、用户和网络流的运行时行为(而非静态文件特征码)来识别恶意活动的检测方法。
行为检测关注代码在系统中的实际行为:进程树、父子关系、API 调用、文件与注册表写入、网络目的地、命令行参数、计划任务创建,匹配已知攻击手法的序列就会触发告警。检测规则常以 Sigma 或厂商语言表达,并对应 MITRE ATT&CK 中的技术,如 T1059(命令与脚本解释器)或 T1547(启动或登录自启)。CrowdStrike、SentinelOne、Microsoft Defender for Endpoint、Cybereason、Elastic 等 NGAV/EDR 引擎以实时方式实现行为检测。相比签名,行为检测能识别多态、加壳与无文件恶意软件,但需要丰富的遥测(Sysmon、EDR 事件流、审计日志)并精心调优,才能控制误报。
● 示例
- 01
EDR 规则:Word 启动 PowerShell 并从外部 IP 下载,典型的宏入侵模式即报警。
- 02
Defender for Endpoint 通过非系统进程读取 LSASS 内存来检测凭据转储。
● 常见问题
行为检测 是什么?
通过分析进程、用户和网络流的运行时行为(而非静态文件特征码)来识别恶意活动的检测方法。 它属于网络安全的 防御与运营 分类。
行为检测 是什么意思?
通过分析进程、用户和网络流的运行时行为(而非静态文件特征码)来识别恶意活动的检测方法。
如何防御 行为检测?
针对 行为检测 的防御通常结合技术控制与运营实践,详见上方完整定义。
行为检测 还有哪些其他名称?
常见的别称包括: 基于行为的检测, 行为分析。