威脅情報應用實例與範例

威脅情報的常見範例包括：

• 入侵指標 (IOC)
• 戰術、技術與程序 (TTP)
• 攻擊者歸因
• 安全漏洞資訊
• 威脅情報動態饋給

無論是單獨使用或搭配使用，這些做法都能主動防範系統和機密資料遭受攻擊。

IOC 是鑑識構件，可指出環境中可能發生的安全事件。包括惡意 IP 位址、檔案雜湊、網域名稱和網址，可協助您偵測攻擊者是否入侵系統。當安全工具發現近期攻擊活動的 IOC 時，您可以立即調查該指標是否出現在環境中的任何位置。

TTP 說明威脅發動者的行動方式，以及他們用來取得存取權、橫向移動及達成目標的方法。瞭解這些模式後，即使特定 IOC 發生變化，您也能辨識出攻擊行為。如果知道特定威脅組織通常會使用魚叉式網路詐騙來取得初始存取權，就能針對這些行為設定偵測規則。

歸因情報可找出攻擊幕後的威脅組織，並揭露這些組織的常見目標、動機和能力。有了這些背景資訊，您就能評估貴組織是否在特定組織的攻擊目標範圍內。歸因也能協助您瞭解攻擊者的目標，例如試圖竊取智慧財產、部署勒索軟體或維持永久存取權。

針對讓攻擊者有機可乘的軟體弱點，安全漏洞情報會提供詳細資訊。包括 CVE 資料、漏洞攻擊可能性，以及威脅發動者在現實環境中積極鎖定的安全漏洞的相關資訊。安全漏洞情報會顯示攻擊者在攻擊活動中利用哪些缺陷，協助您區分理論風險與現有威脅。

動態饋給會提供來自多個來源的連續威脅資料串流，包括安全廠商、政府機關和資訊交流社群。這些動態饋給會更新防禦機制，抵禦新興威脅，無需手動研究。動態饋給的重點各不相同，有些廣泛涵蓋多種威脅類型，有些則專注於特定領域，例如網路釣魚網域或勒索軟體基礎架構。

採取以實際應用為重點的方法，可將威脅情報轉化為可做為行動依據的資訊，而非抽象概念。將威脅資料對應至特定安全功能，例如事件應變和安全漏洞管理，就能評估威脅資料對安全防護的影響，並更妥善地決定資源投資方向。

威脅情報可協助您在威脅入侵環境前，找出並封鎖威脅。只要事先瞭解攻擊者的基礎架構和手法，就能設定邊界防護措施來阻擋攻擊。舉例來說，如果情報顯示某個威脅組織正以特定命名模式註冊網域，您可以在 DNS 篩選中封鎖這些模式。

發生事件時，威脅情報可提供相關背景資訊，協助您瞭解面臨的狀況。您可以快速判斷攻擊範圍、找出相關指標，並瞭解攻擊者目標，更快遏止威脅。舉例來說，如果在端點偵測到可疑的 PowerShell 執行作業，類似攻擊的情報會告訴您接下來該注意什麼，例如攻擊者是否通常會嘗試橫向移動、竊取資料或憑證。

情報可引導您搜索環境中已存在的隱藏威脅。只要鎖定與所屬產業相關的已知 TTP 和 IOC，就能找出規避自動偵測的複雜攻擊。舉例來說，如果鎖定您所屬產業的威脅組織通常會透過管理工具使用寄生攻擊技術，您可以搜尋這些工具的異常使用情形。

Google Security Operations 的應用威脅情報功能，不僅能儲存入侵指標和攻擊者行為，還會運用 Google 對威脅情勢的瞭解 (包括 Mandiant 的新興威脅情報)，將相關知識應用於您的特定環境。系統會自動將威脅資料與安全遙測資料建立關聯，找出相關威脅，無需手動分析。您將獲得有優先順序和可做為行動依據的結果，其中會將事件、警告、資產和使用者串聯成連貫的事件，讓您掌握最新威脅。

需求導向做法會根據貴機構的實際需求，規劃如何收集及運用威脅情報。這個程序明確滿足威脅情報生命週期中所有利害關係人的特定需求。首先會提供威脅剖析，說明貴機構所屬產業和區域最相關的威脅。利害關係人分析會產生情報需求和用途，進而影響收集資訊規劃和收集資訊資產的發展。這些要素結合後，會形成服務線，產生符合利害關係人需求、格式和報表頻率的輸出內容。

這個做法需要多個要素搭配運作。在規劃及確定方向階段，需要確立組織需要的情報和原因。收集作業會從相關來源收集原始資料。處理作業會將資料轉換為結構化格式。分析作業會將處理後的資料轉化為可做為行動依據的洞察資料。傳遞作業則是將洞察資訊傳達給決策者和安全團隊，讓他們能據此採取行動。這個架構適用於多種用途，包括安全漏洞管理、威脅搜索和資安架構規劃。

將威脅情報應用於特定環境和安全性難題時，才能發揮最大價值。Google Threat Intelligence 結合了超過 500 個威脅發動者的監控洞察資料與自動偵測功能，可提供與您所屬產業和區域相關的優先情報。將這些功能整合至資安營運，就能從收集威脅資料轉為防範攻擊。

瞭解我們的威脅情報解決方案