什麼是威脅情報？

隨著網路犯罪分子利用人工智慧與自動化，更快執行複雜的網路攻擊，組織面臨越來越多的網路攻擊。被動式的安全策略——試圖識別並減輕正在進行的攻擊——無法擴展，且讓攻擊者有機會在事件修復前造成重大損害。

威脅情報是關於新興及持續攻擊行動的資訊，組織可用來預測、識別並回應針對他們的攻擊。本文將探討什麼是威脅情報、其核心組成部分，以及組織如何有效運用它。

了解威脅情報

威脅情報是組織可用來識別或防禦攻擊行動的資訊。例如，資安研究人員通常會散布已知惡意軟體的檔案雜湊值，以及攻擊行動中使用的 IP 位址和網域名稱。組織可以利用這些資料偵測系統中的惡意軟體，並阻擋通往已知惡意網域的連線。

威脅情報的核心組成部分

威脅情報透過三個主要階段建立：

• 資料收集：威脅情報從收集可能包含網路威脅資訊的資料開始。資安研究人員通常會收集開源情報（OSINT）、暗網資料以及惡意檔案或內容。內部威脅情報可以來自系統日誌、網路流量及組織網路的其他資訊。
• 分析：分析將原始數據轉化為有用的威脅情報。例如，資安公司可以分析惡意軟體樣本，了解其功能以及所接觸的 IP 位址和網域。組織可能會在其日誌中發現異常活動，顯示惡意軟體感染。
• 傳播：完成的威脅情報可以內部或外部傳播。資安公司可能會製作免費或商業的威脅情報串流，以通知其他組織潛在威脅。組織可能會利用這些資訊流或內部威脅情報來提升其安全解決方案的效能。

威脅情報的類型

威脅情報可以有多種形式，且針對不同的受眾。一些常見的類型包括：

• 策略性：策略性威脅情報提供關於網路威脅的高階資訊，主要針對高階主管。例如，釣魚攻擊普遍存在，這對策略規劃和預算分配可能很重要。
• 戰術：戰術威脅情報描述各種威脅行為者所採用的戰術、技術與程序（TTP）。例如，SOC 可能會利用威脅行為者的技術知識來識別其攻擊，或設計更有效的防禦措施。
• 技術層面：技術威脅情報通常包含入侵指標（IOC），如惡意軟體、檔案雜湊值或已知惡意網域。這些通常被安全工具使用，例如 先進威脅防護（ATP） 或 延伸偵測與回應（XDR） 解決方案，用以識別攻擊。

為什麼威脅情報在網路安全中很重要

威脅情報是資安的重要工具，因為它幫助資安團隊識別真正的威脅。知道檔案是惡意軟體或網域是惡意的，能加快決策與事件回應。

提升事件應變能力

威脅情報透過縮短回應時間與誤報，強化事件應變。例如，如果檔案的雜湊值與已知惡意軟體相符，SOC 分析師就能確定它確實是惡意軟體。除了加速威脅識別外，這個檔案雜湊值也有助於查詢更多威脅資訊，包括建議的修復措施。

主動防禦

威脅情報使資安團隊能更主動地利用威脅行為者的資訊來強化防禦。例如，特定威脅行為者通常利用特定漏洞來初步存取目標環境，這會促使安全團隊積極尋找並修補系統中該漏洞的實例，防止攻擊者利用該漏洞。

威脅情報的應用案例與挑戰

威脅情報可用於組織安全計畫的各個層級。技術IOC被安全工具吸收以識別與阻擋攻擊，而戰術與策略威脅情報則用於規劃防禦。這些資訊對企業安全計畫極為寶貴，但組織在建立與有效運用時可能遇到困難。

主要使用案例

威脅情報能直接轉化為對各種威脅的更佳安全防護。一些常見的應用包括：

使用情境	描述
阻擋惡意 IP 與網域	阻斷流向已知惡意網域可降低惡意軟體感染與憑證被盜的風險，並可能干擾惡意軟體指揮與控制（C2）流量
網路釣魚偵測	已知的惡意連結與附件可用於偵測並投放釣魚郵件
威脅行為者歸因	駭客組織的 TTP 資訊可用來辨識可能的網路攻擊者
脆弱性優先排序	已知被攻擊者積極利用的漏洞應優先進行修復

常見挑戰

威脅情報可以是有用的工具，但資料越多並不一定越好。若組織在未經管理的情況下全面整合所有威脅情報，可能會影響效能，並因低品質威脅情報而出現誤判。

企業也可能面臨建立內部威脅情報的困難。在大量安全資料與有限資源下，組織可能無法有效從內部資料中提取有用資訊。

Cato Networks 如何支援威脅情報

卡托的平台旨在最大化其威脅情報的效用。下表突顯 Cato 如何在企業規模下即時應用威脅情報。

特色	描述
即時威脅偵測	所有流量均以雲端邊緣最新情報分析
統一平台	威脅情報應用於使用者、站點與雲端
自動更新	雲端原生交付確保快速的防禦更新
集中式政策執行	基於威脅的控制由同一台主機管理

整合安全架構

Cato SASE 雲端平台將多項安全功能整合成一個單次運算引擎，能即時分析流量。威脅情報會在檢查點應用，提供額外背景以支持關鍵安全活動，如威脅狩獵與威脅偵測。

威脅情報來源與自動化

Cato運用精選的威脅情報源，從多個來源汲取靈感，提供對當前攻擊行動的全面可視化。SASE PoP 會即時接收更新的威脅情報，使新威脅能自動被偵測並封鎖於網路邊緣。

關於威脅情報的常見問題

威脅情報的目的為何？

威脅情報提供已知攻擊行動、惡意內容及駭客集團技術等資訊。它使資安團隊能更準確地偵測威脅並主動設計防禦措施。

威脅情報是如何被收集的？

威脅情報來自各種內部與外部來源。商業及開源資訊源是透過收集開源情報（OSINT）、暗網資料及分析惡意內容所得資訊產生的。組織可透過分析系統中的日誌與事件資料，自行產生威脅情報。

誰會使用威脅情報？

威脅情報被應用於從安全工具到高階主管的各個層級。安全工具利用入侵指標（IOC）來識別已知的惡意軟體或網路釣魚，而SOC與高層則利用戰術與策略情報設計防禦並執行策略規劃。

Cato Networks 如何傳遞威脅情報？

Cato Networks 根據其全球網路中檢查的流量產生威脅情報。這些資料會即時傳送至 SASE PoP，以識別威脅並加強所有流量、用戶、應用程式及網站的防護。

以威脅情報打造更智慧的防禦

威脅情報本質上是從安全資料中提煉出有用的洞見，用以強化安全計畫。將威脅情報與安全工具整合至關重要，以使企業安全架構能跟上現代且不斷演變的威脅。

Cato SASE 雲端平台在其單次檢測引擎中運用整合的威脅情報，能即時識別網路流量中的威脅。憑藉其整合的網路與安全功能，Cato 是 

這是整合情報、檢查與執法於邊緣的理想平台。

了解 Cato Network 的雲端原生 SASE 平台如何整合威脅情報，協助您的組織即時偵測並回應威脅，並透過以下方式 排程示範.