威脅情報

威脅情報提供已知攻擊者、惡意 IP、domain、URL、malware 特徵的結構化資訊。Panguard 自動查這些資料庫，判斷你系統上的活動是不是跟已知威脅有關。

你不需要懂技術細節。Guard 自動查詢，結果用白話跟你說。

5 個內建威脅情報 feed

abuse.ch 系列

來源	指標類型	說明
ThreatFox	IP、domain、URL、hash	malware 攻擊活動的入侵指標 (IoC) 資料庫
URLhaus	URL	malware 散布 URL 資料庫
Feodo Tracker	IP	殭屍網路 C2 server 追蹤

其他來源

來源	指標類型	說明
GreyNoise	IP	分辨針對性攻擊和大規模掃描
AbuseIPDB	IP	社群回報的惡意 IP 資料庫，附信心度評分

Feed 更新排程

Feed	更新頻率	查詢方式
ThreatFox	每小時	本地 cache
URLhaus	每小時	本地 cache
Feodo Tracker	每小時	本地 cache
GreyNoise	即時查詢	API call
AbuseIPDB	即時查詢	API call

1 小時的更新間隔可以改。頻寬有限的話可以調成 6 或 24 小時。

本地 Cache

查詢結果會 cache 在本地，避免重複查：

Cache 時間：依來源 1-24 小時
Cache 位置：Guard 資料目錄
過期的自動清掉

入侵指標 (IoC)

威脅情報追蹤這些指標類型：

類型	說明	範例
IP	已知惡意 IP	`203.0.113.50`
Domain	惡意 domain	`malware.example.com`
URL	惡意 URL	`http://evil.com/payload.exe`
File Hash	malware 指紋（SHA-256）	`e3b0c44298fc1c149a...`
Email	釣魚信地址	`phish@attacker.com`

自動查詢

Guard 偵測到可疑活動時自動查威脅情報：

偵測到可疑 IP 203.0.113.50 連線
       |
       v
  查 ThreatFox  -> 已知 C2 server
  查 AbuseIPDB  -> 被回報 1,247 次
  查 GreyNoise  -> 大規模掃描器
       |
       v
  結論：高風險 -- 自動封鎖 + 通知

Threat Cloud — 集體情報

除了公開 feed，Panguard 使用者還能貢獻和受益於 Threat Cloud — 社群驅動的集體情報網路，專注 ATR 規則共識。

結晶化飛輪

Threat Cloud 的核心價值是結晶化飛輪 — 自我強化的循環，把個別掃描發現提煉成社群確認的偵測規則：

  掃描 skill --> 發現問題 --> TC 提案 --> 共識（3+ 確認）--> 正式規則
       ^                                                          |
       └──────────────── 分發給所有掃描器 ─────────────────────────┘

每次循環都讓整個網路更強：

掃描 — 任何 Panguard 掃描器（CLI、Website、Guard）掃一個 MCP skill
提案 — 高嚴重性發現產生 ATR 提案，用 pattern hash 識別
確認 — 其他掃描器碰到同樣的 pattern hash 就確認
升格 — 3+ 次獨立確認後，自動升格為正式規則
分發 — 正式規則透過 GET /api/atr-rules 給所有掃描器
強化 — 掃描器載入新規則，偵測能力提升，產生更多提案

Pattern hash 格式是 scan:{skillName}:{findingSummary}，SHA-256 截斷成 16 個 hex 字元。因為所有掃描器用同一個 @panguard-ai/scan-core 函式庫，不管掃描從 CLI、Website 還是 Guard 來的，同樣的威脅 pattern 都會算出一樣的 hash。

LLM 審查

Threat Cloud 有自動化 LLM 審查員（Claude Sonnet 4），評估 ATR 提案的誤報風險、覆蓋度、偵測精確度和 YAML 有效性。提案可以純靠社群共識（3+ 確認）升格，也可以 LLM 核准加社群確認一起升格。

IoC Feed

Threat Cloud 也分發傳統 IoC feed（IP 黑名單、domain 黑名單）和社群 skill 黑名單。這些補充 ATR 規則 pipeline 在網路層級的偵測。

隱私和資料保護

隱私保證： 只上傳威脅指標（IP、hash、pattern）。絕不分享系統資訊、帳號名稱、內部 IP、檔案內容或任何個資。

隱私措施	細節
IP 匿名化	來源 IP 上傳前做 /16 匿名化
GDPR 合規	不收集也不儲存個資
零原始資料	不傳 log 內容、檔案內容、系統細節
零遙測	不收使用分析、crash report、行為追蹤
可以關掉	Threat Cloud 可以完全停用

離線模式

Panguard 完全支援離線。威脅情報 feed 連不上的時候：

Layer 1 規則引擎繼續跑，用本地 cache 的規則
之前 cache 的 feed 資料在過期前還能用
新的偵測只靠 ATR 規則和行為基線
分數會反映情報覆蓋率降低

# 關掉所有外部情報（純規則模式）
panguard guard start --offline

離線模式停用 Threat Cloud 和即時 feed 查詢。Cache 的資料在過期前照用。

看威脅情報

Guard 狀態

panguard guard status

  -- Threat Intelligence --------------------

  Feeds:        5 active, last update 2h ago
  IoC matched:  3 in last 24h
  Blocked IPs:  12 total

通知

威脅情報命中時，會依你的使用者角色用不同格式通知：

Boss 角色
Developer 角色
IT Admin 角色

[Panguard AI Security Alert]

Your server was communicating with a known malicious server.
That IP has been reported 1,247 times globally.
The connection has been automatically blocked. No action needed.

Risk level: High
Status: Automatically resolved

[Panguard AI Alert]

Threat Intel Match: 203.0.113.50
Source: AbuseIPDB (confidence: 98%), ThreatFox (tag: C2)
Process: curl (PID 5678) -> 203.0.113.50:443
Action: IP blocked via iptables
Rule: atr/network/c2-communication.yml

[Panguard AI - Remediation Guide]

Event: Communication with known C2 server detected
Severity: High
Action taken: Auto-blocked IP 203.0.113.50

Recommended next steps:
1. Check if process curl (PID 5678) is legitimate
2. If not, terminate: kill -9 5678
3. Check for other processes connecting to the same IP
4. Run a system scan: panguard scan

部署 Threat Cloud

部署你自己的 Threat Cloud server。

三層式 AI 漏斗

威脅情報怎麼整合進偵測 pipeline。

開始使用

核心概念

操作指南

設定

疑難排解

威脅情報

威脅情報

5 個內建威脅情報 feed

abuse.ch 系列

其他來源

Feed 更新排程

本地 Cache

入侵指標 (IoC)

自動查詢

Threat Cloud — 集體情報

結晶化飛輪

LLM 審查

IoC Feed

隱私和資料保護

離線模式

看威脅情報

Guard 狀態

通知

相關內容

部署 Threat Cloud

三層式 AI 漏斗

開始使用

核心概念

操作指南

設定

疑難排解

​威脅情報

​5 個內建威脅情報 feed

​abuse.ch 系列

​其他來源

​Feed 更新排程

​本地 Cache

​入侵指標 (IoC)

​自動查詢

​Threat Cloud — 集體情報

​結晶化飛輪

​LLM 審查

​IoC Feed

​隱私和資料保護

​離線模式

​看威脅情報

​Guard 狀態

​通知

​相關內容

部署 Threat Cloud

三層式 AI 漏斗

威脅情報

5 個內建威脅情報 feed

abuse.ch 系列

其他來源

Feed 更新排程

本地 Cache

入侵指標 (IoC)

自動查詢

Threat Cloud — 集體情報

結晶化飛輪

LLM 審查

IoC Feed

隱私和資料保護

離線模式

看威脅情報

Guard 狀態

通知

相關內容