检测与防御

这是本站的重点栏目。前面几栏是为了「读懂」，这一栏是为了「用上」：理解了 ARTEX 的工作方式后，防守方具体能往 SIEM、IDS 和架构里加什么。

所有内容都是防御导向，基于公开发布的检测规则与失陷指标。

本栏目文章

• 检测规则（artex-ko）：韩国社区发布的 Sigma / Suricata 规则思路——行为指纹为主、静态 UA 为辅，以及它的局限。
• 失陷指标 IOC：以 CrowdStrike 公布的指标为主，供检测与封堵。
• MITRE ATT&CK 映射：把观察到的行为对应到 ATT&CK 技术编号。
• 加固与应对建议：这起事件最朴素也最有效的防御结论。

防御思路总览

应对 AI Agent 驱动的攻击，层次大致是这样的：

  架构层   收敛公网暴露面、强鉴权、关闭可绕过鉴权的内部通路   ← 最根本
    │
  行为层   用行为相关性规则捕捉「非人类」的探测节奏          ← 最有效
    │
  指纹层   静态 UA、IOC 封堵                              ← 有用但易过时
    │
  情报层   关注模型中转商、数据变现下游（Telegram 群等）      ← 补充

一个核心判断

有专家指出，ARTEX 让 AI 自主改变战术，其行为无法被单一固定模式捕获。因此防御的重心应从「匹配一条签名」转向「架构加固 + 行为相关性检测」。越靠上的层次越根本，越靠下的层次越容易被绕过。