威脅情報
威脅情報提供已知攻擊者、惡意 IP、domain、URL、malware 特徵的結構化資訊。Panguard 自動查這些資料庫，判斷你系統上的活動是不是跟已知威脅有關。你不需要懂技術細節。Guard 自動查詢，結果用白話跟你說。
5 個內建威脅情報 feed
abuse.ch 系列
其他來源
Feed 更新排程
本地 Cache
查詢結果會 cache 在本地，避免重複查：- Cache 時間：依來源 1-24 小時
- Cache 位置：Guard 資料目錄
- 過期的自動清掉
入侵指標 (IoC)
威脅情報追蹤這些指標類型：自動查詢
Guard 偵測到可疑活動時自動查威脅情報：Threat Cloud — 集體情報
除了公開 feed，Panguard 使用者還能貢獻和受益於 Threat Cloud — 社群驅動的集體情報網路，專注 ATR 規則共識。結晶化飛輪
Threat Cloud 的核心價值是結晶化飛輪 — 自我強化的循環，把個別掃描發現提煉成社群確認的偵測規則：- 掃描 — 任何 Panguard 掃描器（CLI、Website、Guard）掃一個 MCP skill
- 提案 — 高嚴重性發現產生 ATR 提案，用 pattern hash 識別
- 確認 — 其他掃描器碰到同樣的 pattern hash 就確認
- 升格 — 3+ 次獨立確認後，自動升格為正式規則
- 分發 — 正式規則透過
GET /api/atr-rules給所有掃描器 - 強化 — 掃描器載入新規則，偵測能力提升，產生更多提案
scan:{skillName}:{findingSummary}，SHA-256 截斷成 16 個 hex 字元。因為所有掃描器用同一個 @panguard-ai/scan-core 函式庫，不管掃描從 CLI、Website 還是 Guard 來的，同樣的威脅 pattern 都會算出一樣的 hash。
LLM 審查
Threat Cloud 有自動化 LLM 審查員（Claude Sonnet 4），評估 ATR 提案的誤報風險、覆蓋度、偵測精確度和 YAML 有效性。提案可以純靠社群共識（3+ 確認）升格，也可以 LLM 核准加社群確認一起升格。IoC Feed
Threat Cloud 也分發傳統 IoC feed（IP 黑名單、domain 黑名單）和社群 skill 黑名單。這些補充 ATR 規則 pipeline 在網路層級的偵測。隱私和資料保護
離線模式
Panguard 完全支援離線。威脅情報 feed 連不上的時候：- Layer 1 規則引擎繼續跑，用本地 cache 的規則
- 之前 cache 的 feed 資料在過期前還能用
- 新的偵測只靠 ATR 規則和行為基線
- 分數會反映情報覆蓋率降低
離線模式停用 Threat Cloud 和即時 feed 查詢。Cache 的資料在過期前照用。
看威脅情報
Guard 狀態
通知
威脅情報命中時，會依你的使用者角色用不同格式通知：- Boss 角色
- Developer 角色
- IT Admin 角色
相關內容
部署 Threat Cloud
部署你自己的 Threat Cloud server。
三層式 AI 漏斗
威脅情報怎麼整合進偵測 pipeline。