---
title: '威脅情報'
description: '即時威脅情報 feed 和 Threat Cloud 集體情報網路。'
icon: 'globe'
---

# 威脅情報

威脅情報提供已知攻擊者、惡意 IP、domain、URL、malware 特徵的結構化資訊。Panguard 自動查這些資料庫，判斷你系統上的活動是不是跟已知威脅有關。

<Info>你不需要懂技術細節。Guard 自動查詢，結果用白話跟你說。</Info>

---

## 5 個內建威脅情報 feed

### abuse.ch 系列

| 來源                                           | 指標類型              | 說明                                    |
| ---------------------------------------------- | --------------------- | --------------------------------------- |
| [ThreatFox](https://threatfox.abuse.ch)        | IP、domain、URL、hash | malware 攻擊活動的入侵指標 (IoC) 資料庫 |
| [URLhaus](https://urlhaus.abuse.ch)            | URL                   | malware 散布 URL 資料庫                 |
| [Feodo Tracker](https://feodotracker.abuse.ch) | IP                    | 殭屍網路 C2 server 追蹤                 |

### 其他來源

| 來源                               | 指標類型 | 說明                                   |
| ---------------------------------- | -------- | -------------------------------------- |
| [GreyNoise](https://greynoise.io)  | IP       | 分辨針對性攻擊和大規模掃描             |
| [AbuseIPDB](https://abuseipdb.com) | IP       | 社群回報的惡意 IP 資料庫，附信心度評分 |

---

## Feed 更新排程

| Feed          | 更新頻率 | 查詢方式   |
| ------------- | -------- | ---------- |
| ThreatFox     | 每小時   | 本地 cache |
| URLhaus       | 每小時   | 本地 cache |
| Feodo Tracker | 每小時   | 本地 cache |
| GreyNoise     | 即時查詢 | API call   |
| AbuseIPDB     | 即時查詢 | API call   |

<Tip>1 小時的更新間隔可以改。頻寬有限的話可以調成 6 或 24 小時。</Tip>

### 本地 Cache

查詢結果會 cache 在本地，避免重複查：

- Cache 時間：依來源 1-24 小時
- Cache 位置：Guard 資料目錄
- 過期的自動清掉

---

## 入侵指標 (IoC)

威脅情報追蹤這些指標類型：

| 類型          | 說明                    | 範例                          |
| ------------- | ----------------------- | ----------------------------- |
| **IP**        | 已知惡意 IP             | `203.0.113.50`                |
| **Domain**    | 惡意 domain             | `malware.example.com`         |
| **URL**       | 惡意 URL                | `http://evil.com/payload.exe` |
| **File Hash** | malware 指紋（SHA-256） | `e3b0c44298fc1c149a...`       |
| **Email**     | 釣魚信地址              | `phish@attacker.com`          |

### 自動查詢

Guard 偵測到可疑活動時自動查威脅情報：

```
偵測到可疑 IP 203.0.113.50 連線
       |
       v
  查 ThreatFox  -> 已知 C2 server
  查 AbuseIPDB  -> 被回報 1,247 次
  查 GreyNoise  -> 大規模掃描器
       |
       v
  結論：高風險 -- 自動封鎖 + 通知
```

---

## Threat Cloud -- 集體情報

除了公開 feed，Panguard 使用者還能貢獻和受益於 Threat Cloud -- 社群驅動的集體情報網路，專注 ATR 規則共識。

### 結晶化飛輪

Threat Cloud 的核心價值是結晶化飛輪 -- 自我強化的循環，把個別掃描發現提煉成社群確認的偵測規則：

```
  掃描 skill --> 發現問題 --> TC 提案 --> 共識（3+ 確認）--> 正式規則
       ^                                                          |
       └──────────────── 分發給所有掃描器 ─────────────────────────┘
```

每次循環都讓整個網路更強：

1. **掃描** -- 任何 Panguard 掃描器（CLI、Website、Guard）掃一個 MCP skill
2. **提案** -- 高嚴重性發現產生 ATR 提案，用 pattern hash 識別
3. **確認** -- 其他掃描器碰到同樣的 pattern hash 就確認
4. **升格** -- 3+ 次獨立確認後，自動升格為正式規則
5. **分發** -- 正式規則透過 `GET /api/atr-rules` 給所有掃描器
6. **強化** -- 掃描器載入新規則，偵測能力提升，產生更多提案

Pattern hash 格式是 `scan:{skillName}:{findingSummary}`，SHA-256 截斷成 16 個 hex 字元。因為所有掃描器用同一個 `@panguard-ai/scan-core` 函式庫，不管掃描從 CLI、Website 還是 Guard 來的，同樣的威脅 pattern 都會算出一樣的 hash。

### LLM 審查

Threat Cloud 有自動化 LLM 審查員（Claude Sonnet 4），評估 ATR 提案的誤報風險、覆蓋度、偵測精確度和 YAML 有效性。提案可以純靠社群共識（3+ 確認）升格，也可以 LLM 核准加社群確認一起升格。

### IoC Feed

Threat Cloud 也分發傳統 IoC feed（IP 黑名單、domain 黑名單）和社群 skill 黑名單。這些補充 ATR 規則 pipeline 在網路層級的偵測。

---

## 隱私和資料保護

<Warning>
  **隱私保證：** 只上傳威脅指標（IP、hash、pattern）。絕不分享系統資訊、帳號名稱、內部
  IP、檔案內容或任何個資。
</Warning>

| 隱私措施       | 細節                                 |
| -------------- | ------------------------------------ |
| **IP 匿名化**  | 來源 IP 上傳前做 /16 匿名化          |
| **GDPR 合規**  | 不收集也不儲存個資                   |
| **零原始資料** | 不傳 log 內容、檔案內容、系統細節    |
| **零遙測**     | 不收使用分析、crash report、行為追蹤 |
| **可以關掉**   | Threat Cloud 可以完全停用            |

---

## 離線模式

Panguard 完全支援離線。威脅情報 feed 連不上的時候：

- Layer 1 規則引擎繼續跑，用本地 cache 的規則
- 之前 cache 的 feed 資料在過期前還能用
- 新的偵測只靠 ATR 規則和行為基線
- 分數會反映情報覆蓋率降低

```bash
# 關掉所有外部情報（純規則模式）
panguard guard start --offline
```

<Note>離線模式停用 Threat Cloud 和即時 feed 查詢。Cache 的資料在過期前照用。</Note>

---

## 看威脅情報

### Guard 狀態

```bash
panguard guard status
```

```
  -- Threat Intelligence --------------------

  Feeds:        5 active, last update 2h ago
  IoC matched:  3 in last 24h
  Blocked IPs:  12 total
```

### 通知

威脅情報命中時，會依你的使用者角色用不同格式通知：

<Tabs>
  <Tab title="Boss 角色">
    ```
    [Panguard AI Security Alert]

    Your server was communicating with a known malicious server.
    That IP has been reported 1,247 times globally.
    The connection has been automatically blocked. No action needed.

    Risk level: High
    Status: Automatically resolved
    ```

  </Tab>
  <Tab title="Developer 角色">
    ```
    [Panguard AI Alert]

    Threat Intel Match: 203.0.113.50
    Source: AbuseIPDB (confidence: 98%), ThreatFox (tag: C2)
    Process: curl (PID 5678) -> 203.0.113.50:443
    Action: IP blocked via iptables
    Rule: atr/network/c2-communication.yml
    ```

  </Tab>
  <Tab title="IT Admin 角色">
    ```
    [Panguard AI - Remediation Guide]

    Event: Communication with known C2 server detected
    Severity: High
    Action taken: Auto-blocked IP 203.0.113.50

    Recommended next steps:
    1. Check if process curl (PID 5678) is legitimate
    2. If not, terminate: kill -9 5678
    3. Check for other processes connecting to the same IP
    4. Run a system scan: panguard scan
    ```

  </Tab>
</Tabs>

---

## 相關內容

<CardGroup cols={2}>
  <Card title="部署 Threat Cloud" icon="cloud" href="/guides/threat-cloud-deployment">
    部署你自己的 Threat Cloud server。
  </Card>
  <Card title="三層式 AI 漏斗" icon="brain-circuit" href="/concepts/three-layer-ai">
    威脅情報怎麼整合進偵測 pipeline。
  </Card>
</CardGroup>
