威胁情报应用场景和示例

威胁情报的常见示例包括：

• 失陷指标 (IOC)
• 战术、技术和程序 (TTP)
• 攻击者归因
• 漏洞信息
• 威胁情报 Feed

单独使用或结合使用时，它们都是一种预防性、主动式方法，可用于保护系统和敏感数据。

IOC 是指预示环境中可能发生安全事件的取证工件。其中包括恶意 IP 地址、文件哈希、域名和网址，可帮助您检测攻击者何时出现在您的系统中。当您的安全工具从最近的攻击活动中识别出 IOC 时，您可以立即调查该指标是否出现在您的环境中的任何位置。

TTP 描述了威胁行为者的运作方式以及他们用来获取访问权限、横向移动和实现目标的方法。了解这些模式有助于您识别攻击行为，即使特定 IOC 发生变化也是如此。当您知道某个特定威胁团体通常使用鱼叉式网络钓鱼来获得初始访问权限时，您可以围绕这些行为配置检测规则。

归因情报可识别攻击背后的威胁团体，并揭示其典型目标、动机和能力。这些背景信息有助于您评估您的组织是否属于特定团体的目标范围。归因还有助于您了解攻击者的目标，例如他们是试图窃取知识产权、部署勒索软件，还是保持持久访问。

漏洞情报提供有关攻击者可能利用的软件缺陷的详细信息。这包括 CVE 数据、漏洞利用可用性，以及有关威胁行为者在真实环境中主动利用的漏洞的信息。漏洞情报可显示攻击者在攻击活动中利用了哪些缺陷，帮助您区分理论风险和活跃威胁。

Feed 可从多个来源（包括安全供应商、政府机构和信息共享社区）持续提供威胁数据流。这些 Feed 可让您的防御系统及时更新，抵御新出现的威胁，而无需手动研究。Feed 的重点各不相同：有些 Feed 广泛涵盖多种威胁类型，而有些 Feed 则专注于特定领域，例如钓鱼式攻击域名或勒索软件基础设施。

以应用场景为中心的方法使威胁情报变得切实可行，而不是抽象的。将威胁数据映射到突发事件响应和漏洞管理等特定安全功能时，您可以衡量其对安全成果的影响，并更好地决定将资源投入到何处。

威胁情报可让您在威胁进入您的环境之前识别并阻止它们。通过提前了解攻击者的基础设施和方法，您可以配置防御措施，在边界处阻止攻击。例如，当情报显示某个威胁团体正在注册遵循特定命名模式的网域时，您可以在 DNS 过滤中阻止这些模式。

发生突发事件时，威胁情报会提供有关您所面临威胁的背景信息。您可以快速确定攻击范围、识别相关指标并了解攻击者目标，从而更快地遏制威胁。例如，如果您在端点上检测到可疑的 PowerShell 执行，那么有关类似攻击的情报会告诉您接下来要寻找什么，即攻击者通常会尝试横向移动、数据渗漏还是凭证窃取。

情报可指导您搜寻环境中已存在的隐藏威胁。通过关注与您所在行业相关的已知 TTP 和 IOC，您可以发现逃避自动检测的复杂攻击。例如，如果针对您所在行业的威胁团体通常使用利用管理工具的离地攻击方法，您可以搜寻这些工具的异常使用情况。

Google Security Operations 中的实用威胁情报不仅是存储失陷指标和攻击者行为，它利用 Google 对威胁形势的了解（包括 Mandiant 的新兴威胁情报），并将这些知识应用于您的特定环境。系统会自动将威胁数据与安全遥测数据相关联，以识别相关威胁，无需手动分析。您将获得优先处理的切实可行的结果，这些结果将事件、提醒、资产和用户联系起来，形成一个连贯的故事，让您能够及时应对最新威胁。

以需求为导向的方法会根据组织的实际需求，构建收集和使用威胁情报的方式。此流程明确满足了威胁情报生命周期中所有相关利益相关方的指定需求。首先，它会提供威胁概况，其中包含与您所在行业和区域最相关的威胁的背景信息。利益相关方分析会生成情报要求和应用场景，为收集规划和收集资产开发提供依据。这些要素共同构成了服务线，可生成满足利益相关方要求、格式和报告频率的输出。

这种方法包括多个协同工作的组成部分。规划和指导确定您需要哪些情报以及原因。收集从相关来源收集原始数据。处理将这些数据转换为结构化格式。分析将处理后的数据转化为富有实用价值的分析洞见。传播将这些分析洞见传递给决策者和安全团队，以便他们采取行动。您可以将此框架应用于多个应用场景，从漏洞管理到威胁搜寻，再到安全架构规划。

当您将威胁情报应用于特定环境和安全挑战时，它才能发挥最大价值。Google Threat Intelligence 结合了来自对 500 多个威胁行为者的监控的分析洞见与自动化检测功能，可为您提供与您所在行业和区域相关的优先情报。通过将这些功能集成到安全运维中，您可以从收集威胁数据转变为预防攻击。

探索我们的威胁情报解决方案