CompTIA SY0-701: 安全營運、監控與偵測 — 學習指南

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

屬於 CompTIA Security+ SY0-701 — 學習指南. 使用經過驗證的解答練習： CompTIA 考試中心, 或參加限時模擬考試： ExamRoll.io.

現代資安維運仰賴觀察、關聯並根據來自企業各個角落——端點、網路設備、身分識別提供者、雲端工作負載及應用程式——的訊號採取行動的能力。一個成熟的偵測機制並非單一產品，而是一個由遙測管道、分析引擎、分析師以及自動化應變工作流程所組成的生態系，其設計旨在縮短從入侵到圍堵之間的時間。

SIEM 與集中式日誌彙總

資安資訊與事件管理 (Security Information and Event Management) 平台是資安維運中心的結締組織。它接收來自不同來源的日誌——Windows Event Logs、Linux syslog、防火牆流量資料、DNS 解析器、Active Directory、端點代理程式、SaaS 稽核軌跡——將它們正規化為通用結構描述，並對彙總後的資料流套用關聯規則。其價值不僅在於儲存，更在於能夠將一個日誌來源中的 VPN 驗證失敗，與另一個日誌來源中的特權登入成功及橫向 SMB 存取進行關聯，從而產生一則高保真度警報，而三個獨立事件原本只會被視為雜訊。

常見的平台包括 Splunk、Microsoft Sentinel、IBM QRadar、Elastic Security 和 Chronicle。在雲端環境中，諸如 AWS CloudTrail 結合 CloudWatch 和 GuardDuty，或 Azure Monitor 搭配 Log Analytics 工作區等原生工具，可作為日誌骨幹，並經常向上游饋送至 SIEM。

一個典型的 Splunk 關聯搜尋，展示了跨來源邏輯：

index=wineventlog EventCode=4625
| stats count by src_ip, user
| where count > 10
| join user [search index=vpn action=success]
| table _time, user, src_ip, count

這裡的陷阱很細微：一個組織可以部署 SIEM、接收 TB 等級的資料，卻仍然因為關鍵的日誌來源缺失而錯過入侵。如果端點的程序建立事件（Windows Event ID 4688 或 Sysmon Event ID 1）沒有被轉送，或者防火牆的拒絕日誌被截斷，整個攻擊階段就變得無法察覺。日誌來源的覆蓋範圍——並明確地對應到像 MITRE ATT&CK 這樣的框架——是進行有意義偵測的先決條件。

端點偵測與應變 (EDR)

EDR 將可視性延伸到主機層級，而大多數攻擊者活動最終都會在此顯現。與傳統的防毒軟體比對檔案雜湊值和簽章不同，像 CrowdStrike Falcon、SentinelOne、Microsoft Defender for Endpoint 和 Carbon Black 這類的 EDR 平台會記錄持續的遙測資料：程序樹、命令列參數、登錄檔修改、網路連線以及 DLL 載入。這些資料使得即時的行為偵測和回溯性的威脅獵捕成為可能。

一個常見的誤解是將 EDR 視為等同於防火牆的預防性控制。EDR 主要功能是偵測並協助應變——它可能會阻擋已知的惡意行為，但其更大的價值在於提供鑑識軌跡，讓分析師能夠判斷被入侵的程序做了什麼、存取了哪些憑證，以及它如何進行橫向移動。應變措施，例如主機隔離、程序終止和檔案隔離，通常由分析師或 SOAR 劇本啟動，而非單獨由 EDR 執行。

IDS/IPS、簽章與基準強制執行

網路型入侵偵測與防禦系統會根據簽章和行為模型來檢測流量。IDS（例如監控模式下的 Snort 或 Suricata）會對可疑模式發出警報；IPS 則以直連模式 (inline) 部署並丟棄符合的流量。一條用於偵測特定漏洞利用模式的 Snort 規則展示了基於簽章的邏輯：

alert tcp any any -> $HOME_NET 445 (
  msg:"SMB Exploit Attempt";
  content:"|ff|SMB"; offset:4; depth:4;
  content:"|72 00|"; distance:0;
  sid:9000001; rev:1;
)

異常偵測會建立行為基準線，並在出現偏差時發出警報——例如，一台工作站的 DNS 查詢速率突然變成正常速率的 10 倍，或一台伺服器首次在 4444 埠上建立對外連線，無論是否有簽章符合，這兩種情況都值得調查。

威脅情資與指標管理

威脅情資將原始資料轉化為關於敵手戰術、技術與程序 (TTPs) 的可操作知識。STIX (Structured Threat Information eXpression) 是用來表示威脅情資物件——指標、攻擊活動、威脅行為者、攻擊模式——的標準格式，而 TAXII (Trusted Automated eXchange of Indicator Information) 則是分享這些情資的傳輸協定。商業和開源的情資來源（VirusTotal、AlienVault OTX、MISP、Recorded Future）提供 IP 信譽、網域封鎖清單、檔案雜湊值和 YARA 規則，這些都可以直接匯入到 SIEM 和防火牆平台中。

入侵指標 (Indicators of Compromise, IoCs)——惡意 IP 位址、檔案雜湊值、網域名稱、登錄機碼——是最直接可操作的情資，但也是最為短暫的；攻擊者會快速輪換其基礎設施。攻擊指標 (Indicators of Attack, IoAs) 則著重於行為而非產物：例如一個程序衍生出子 shell、一串編碼過的 PowerShell 命令，或是一個以隨機名稱建立的服務。基於 IoA 的偵測更難規避，因為它針對的是技術，而不是特定的工具。

實務情境：因日誌來源缺失造成的偵測缺口

一家金融服務公司部署了 SIEM，並接收了邊界防火牆日誌、Windows Security 事件日誌以及電子郵件閘道日誌。在一次紅隊演練中，紅隊透過一封釣魚郵件（已被偵測到）取得了初始存取權，但接著使用 WMI 進行橫向移動，並使用 PowerShell 遠端執行來執行命令——在預設組態下，這兩者都不會產生 Windows Security 事件。紅隊成功到達財會部門的工作站，並竊取了一個模擬的電匯檔案，而在最初的釣魚偵測之後，沒有觸發任何一則 SIEM 警報。缺口在於：未部署 Sysmon、未啟用 PowerShell 指令碼區塊記錄，且 WMI 活動記錄需要額外設定。這次演練證明了 SIEM 的覆蓋範圍僅與其所饋送的日誌來源一樣好——這個教訓必須透過紫隊演練來驗證，而不是僅憑廠商文件就擅自認定。

← 網路安全與架構 · 所有領域 · 事件應變、鑑識與評估 →

練習這些題目 → · 在 ExamRoll.io 上限時練習 →