電腦病毒是人為編寫、具**自我複製**能力的程式碼/指令集，寄生於其他程式/媒體中，滿足條件即觸發感染/破壞行為。理解其六大核心特徵，是防禦與分析的基石。
| 特徵 | 定義與機制 | 實例/表現 | 防禦啟示 |
|---|---|---|---|
| 寄生性 | 病毒代碼嵌入合法程式/開機磁區/巨集文檔/腳本中，宿主執行時病毒代碼隨之執行 | PE 檔案感染 (入口點重導/區段擴展/腔體注入)、開機磁區病毒 (MBR/VBR)、Office 巨集病毒、腳本病毒 (VBS/JS/PS1) | 檔案完整性監控 (FIM)、數位簽章驗證、應用程式白名單、禁用巨集自動執行 |
| 傳染性 | 自我複製並傳播至其他檔案/系統/媒體：檔案感染、磁區感染、網路蠕蟲傳播、郵件群發、移動媒體 Autorun、即時通訊/雲端同步傳播 | CIH、Nimda、Sasser、WannaCry、USB 蠕蟲、郵件群發蠕蟲 | 網路分段/微隔離、封鎖高危埠口 (135/139/445/3389)、禁用 Autorun、郵件閘道掃毒/沙箱、USB 管控 |
| 潛伏性 | 駐留記憶體/磁碟/韌體，不滿足觸發條件不破壞，僅複製傳播；潛伏期可達數年 | 邏輯炸彈 (特定日期/事件觸發)、Rootkit 長期駐留、APT 滯留階段 | 行為基線偵測 (EDR/XDR)、定期離線掃描、威脅獵捕、蜜罐/欺騙技術 |
| 隱蔽性 | 竄改系統 API/資料結構隱藏檔案/進程/埠口/登錄檔/網路連線；多態/加密/混淆對抗靜態掃描 | Rootkit (核心/用戶模式)、多態引擎、加密殼、無檔案攻擊 (PowerShell/WMI/註冊檔) | 核心完整性保護 (HVCI/VBS)、行為分析 (EDR)、記憶體掃描、UEFI Secure Boot、啟動項/服務/排程審計 |
| 破壞性 | 破壞 CIA 三要素：機密性 (竊取資料)、完整性 (竄改/刪除/加密檔案)、可用性 (格式化硬碟、刪除分區表、耗盡資源、DDoS、勒索加密) | CIH 刷 BIOS、WannaCry 加密勒索、NotPetya 破壞 MBR、資料竊取木馬、礦機耗盡 CPU/GPU | 離線備份 (3-2-1)、權限最小化、應用程式控制 (AppLocker/WDAC)、網路分段限制橫向移動、勒索軟體防護 (受控資料夾存取) |
| 可觸發性 | 內建觸發邏輯：時間/日期 (如 4/26 CIH)、檔案類型/名稱、特定資料/登錄鍵值、網路連線狀態、用戶操作 (開啟特定程式)、系統事件 (登入/關機/掛載媒體) | 邏輯炸彈、定時炸彈、條件觸發下載器、特定標的攻擊 (檢測虛擬機/沙箱/分析工具則不執行) | 沙箱動態分析 (模擬時間/環境/用戶行為)、威脅情報 IOC 比對、行為阻斷 (EDR 規則攔截可疑 API 序列) |
結語：病毒技術不斷演進 (無檔案、AI 生成變種、供應鏈攻擊)，但**核心特徵不變**。防禦體系需覆蓋**預防 (減少攻擊面)、偵測 (行為/特徵/信譽)、響應 (隔離/根除/恢復)、預測 (威脅情報/紅隊演練)**全生命週期。