什麼是情境感知？

網路安全中的情境感知並不是什麼新奇觀點。它正在發生，非常真實，而且是任何組織成員都應具備的關鍵能力。在你獲得這項技能之前，你無法防禦不斷演變的安全風險。而在本指南中，我們將告訴你它是什麼，以及你需要了解的所有內容。你將更清楚地知道如何定義情境感知，並能向團隊成員充分說明情境感知的意義、概念與策略。讓我們開始吧。

什麼是情境感知？

情境感知是指感知你所處環境中事物的能力。它是一種理解其意義、預測其近期狀態，並據此做出明智決策的技巧或直覺。這是一項動態的技能與特質，可幫助你安全地評估績效、管理風險，並在複雜環境中有效應對。

情境感知的目的是：

• 描繪你環境中不同元素與事物之間的關係
• 了解你的起點以及你正在處理的內容
• 更好地理解與感知資訊、獲得整體視角，並做出審慎決策
• 根據上述理解預測未來的可能性與結果

為什麼情境感知很重要？

情境感知之所以重要，是因為它可以降低風險、減少損害並挽救生命。它可以改善你對威脅的回應，並幫助你更有效地協調行動。它也有助於你在各種情境中理解團隊動態，並使你的組織整體能夠有效回應並適應不同情況。

了解周遭環境對於做出重要決策至關重要。它也有助於節省時間與資源。你需要情境感知來進行關鍵事件管理，以確保在自然災害、緊急情況期間的業務持續性，並處理其他類型的安全事件。

它也是員工安全的一項關鍵策略，而情境感知可以幫助你制定正確的溝通協定，並使用適當的技術來處理不同事件。它是危機管理與溝通的一部分，也是組織整體發展的關鍵組成要素。

情境感知的重要性

如果沒有制定情境感知策略，你就無法真正信任組織的系統與工作流程如何運作，也無法知道它們是否有效。從這個角度來看，情境感知對於量化組織的可信度非常重要。你的操作人員將依賴情境感知網路機制的真實性與準確性。

這將協助他們做出關鍵決策、保護環境，並幫助他們完成任務。態勢感知之所以重要，是因為它結合了人類情報、測量、影像與特徵情報，以及其他類型的地理空間情報。它可讓您追蹤環境中正在發生的情況、維護資產與通訊的清單，並進一步深入挖掘以找出潛在的利用點。您可以參考並繪製活動分布，並全面掌握周遭環境。

網路情境感知有哪些好處？

1. 主動式威脅偵測

這是一種簡單的方法，可透過聚焦相關資訊來幫助組織中的人員識別任何潛在風險。一旦了解後，人們就可以採取所需措施，以防止其演變為全面性的網路攻擊。組織中的團隊也可以具備偵測可能顯示威脅之異常狀況的能力。

2. 更明智的決策方式

當網路威脅來襲時，快速決策能力是必要條件。各種方法，例如強化監控，都可以提升情境感知，進而增強決策能力。情境感知的各個面向可提供對安全態勢的全面視圖，幫助組織做出明智決策。如此一來，他們便能根據攻擊的潛在性或強度排定優先順序，並進一步站上第一線加以緩解。

3. 容易適應

隨著新的弱點與網路威脅每天不斷出現，適應它們是關鍵。持續改進對於適應並面對新的網路威脅至關重要，可確保策略持續精進與更新。由於情境感知可幫助組織掌握所需知識，因此它也是協助安全專業人員預先調整策略並以更一致方式回應的絕佳方法。

4. 法規遵循

一旦個人已經採用運用網路情境感知的方法，他們就相對更容易透過輕鬆維護注重細節的紀錄來滿足法規與合規要求。了解人為因素，例如分心、壓力以及資訊呈現方式如何影響績效，對於維持法規遵循與情境感知扮演關鍵角色。這份注重細節的紀錄將確保組織能夠輕鬆遵循既定的安全政策與標準，而這些政策與標準會在評估或必要稽核時使用。

5. 成本效益高

組織使用情境感知方法的主要原因之一，是因為它們具有很高的成本效益，能透過及早偵測網路威脅來降低財務衝擊。動態系統中的情境感知可透過在複雜環境中實現更佳決策與績效來有效管理成本。一旦問題解決，系統停機時間與復原措施都可降至最低。

從偵測到預測：情境感知的主要階段

網路情境感知是一個龐大的概念，需要循序漸進的理解方式。此過程包含 3 個主要階段：

• 感知： 這是網路情境感知的第一個也是最重要的階段。在此階段中，個人可以輕鬆識別環境中正在發生的相關面向。一個人可以輕鬆從不同的底層來源收集資料，識別網路中存在的資產，並偵測顯示安全威脅的不規則模式。
• 理解： 在感知之後，理解是第二個階段，負責詮釋的角色。一旦個人在分析各種元素之間互動的同時接收到資訊，最困難的工作其實已經完成。它從資料關聯開始，到識別威脅的性質，最後再採取必要步驟，以將組織可能面臨的風險降到最低。
• 預測： 這是最後一個階段，用於預期未來狀態。此步驟可幫助個人預測潛在攻擊。一旦完成預測，此人便可輕鬆制定措施並實施必要策略，以遏止威脅的影響。

網路情境感知的關鍵要素是什麼？

網路情境感知並不是可以量化為單一定義的事物，而是由多個要素所支撐並組成。這些要素結合後，便能形成對網路環境的全面理解。以下提及的要素最常用於輕鬆偵測、分析與快速回應，而這些能力對於對抗網路威脅至關重要。

1. 資料蒐集

這是談到網路情境感知時的首要要素。在複雜的作業環境中，由於資料量龐大且涉及的細節繁複，資料蒐集的挑戰會被放大，這可能導致資訊過載，尤其對新手而言更是如此。從網路流量、日誌，甚至使用者活動中蒐集歷史資料是必要的。這裡的資料至關重要，因為它能讓人更容易理解安全環境及其層級。

2. 威脅情報

為了將網路威脅風險控制在可接受範圍內，必須納入對內部與外部因素的最新知識。這正是威脅情報的重要性所在，因為它提供即時且具情境脈絡的資訊，使組織能夠輕鬆識別並緩解威脅。心智模型在理解與詮釋威脅情報方面扮演關鍵角色，因為它們可幫助個人與團隊評估並解讀複雜環境，提升情境感知，並促進在高壓情況下做出更佳回應。

3. 網路監控

為了偵測任何類型的異常以及與網路威脅相關的未經授權存取，網路監控被視為極其重要的要素。持續監控有助於維持情境感知，因為它讓個人能建立系統的準確心智模型，而這對有效決策至關重要。透過在網路情境感知中大量運用網路監控，人們可以觀察網路流量與通訊模式的即時行為。

4. 弱點管理

僅靠偵測並不是降低挑戰的關鍵。對情勢認知不足可能會在 弱點管理 中導致重大風險，因為這可能會妨礙識別關鍵威脅與根本問題。弱點管理可協助修補與補救工作，將目標鎖定在最棘手或最脆弱的威脅上，並在其遭到利用之前加以處理。在此過程中，也能確保正確偵測系統內部的安全優勢與弱點。

5. 事件偵測與分析

在任何事件發生之前就有所察覺非常重要。提升情勢認知對事件偵測與分析至關重要，因為它能增強決策能力並實現及時回應。正如人們所說「預防勝於治療」，這同樣適用於網路情勢認知。一旦偵測到威脅或收到預警，就能更容易及時回應並介入以降低威脅。

6. 風險評估與人為因素

對任何威脅進行深入評估，都有可能降低其對我們系統造成影響的機率，從而避免可能的中斷。透過風險管理，在了解已評估風險的等級後，可以採取特定且強度有限的措施，朝向更安全穩健的解決方案邁進。

7. 情勢報告

每分鐘提供即時更新以及詳細報告，有助於改善安全態勢。團隊情勢認知對有效的情勢報告至關重要，因為它可確保所有團隊成員對相關任務與環境具有共同理解。因此，統計報告有助於讓利害關係人充分掌握資訊。這也進一步簡化其風險承擔與決策流程，同時確保最高程度的問責性與完整透明度。

網路情勢認知範例

在網路安全領域中，有非常多情勢認知的範例可供討論。讓我們先從情勢認知的基礎層級開始。當您的安全團隊忙於蒐集資料時，他們可能會注意到登入失敗嘗試突然增加。這種情況可能發生在有人試圖從異常地理位置的伺服器登入時。因此，這種警覺感或日誌分析就是情勢認知的一個例子。

1. 接著，我們有可標記網路活動的入侵偵測系統。當您看到大量資料從內部伺服器傳輸到未知的外部位址，尤其是在非營業時間內，就會知道有事情正在發生。您的端點偵測與回應解決方案也可以偵測試圖存取受保護記憶體位置的新程序與未經授權的程序。
2. 談到理解您的安全情境時，您的 SOC 分析師也可以透過關聯登入失敗、網路資料傳輸與端點活動來建立認知。他們可以將事件串聯起來，並判斷某台伺服器是否剛遭入侵，且目前正在外洩敏感資料。
3. 醫療服務提供者可以使用網路情勢認知資安解決方案，將弱點掃描資料與新發布的威脅情報結合。他們可以了解專門鎖定其未修補作業系統的最新惡意軟體變種，並據此更新其醫療裝置。這有助於保護敏感的病患記錄，並防止對手破壞其醫療診斷與治療流程。
4. 銀行可以使用 User and Entity Behavior Analytics (UEBA) 系統來了解財務團隊員工展現出的典型行為。情勢認知可協助企業偵測員工是否突然開始從其從未使用過的伺服器存取並下載財務資料。
5. 在工業控制系統中，您可以使用網路情勢認知解決方案，從 SCADA 系統與內部日誌蒐集資料。任何繼電器設定中的微小異常波動都不會是隨機的，且可能顯示即將到來的協同式網實體攻擊跡象，讓您能據此做好準備。

談到預測未來結果時，情境感知在資安中的一些行動範例包括：您如何利用目前的惡意軟體感染情況，來推估並預測攻擊者下一步可能採取的行動。您可以預測，他們是否更有可能利用已遭入侵的伺服器，在接下來幾小時內橫向移動至其他網路，並觸及主要財務或目標資料庫。您也可以推估網路區段遭入侵的可能結果，以及何時應封鎖特定 IP 位址。您可以預測公司的弱點、未修補的問題，並讓團隊根據不同風險等級來優先安排修補工作。

The Industry’s Leading AI SIEM

Target threats in real time and streamline day-to-day operations with the world’s most advanced AI SIEM from SentinelOne.

Get a Demo

結論

用簡單實際的話來說，網路情勢認知有四個組成部分：「知道應該知道什麼、追蹤現況、推斷何時 could/should be 與 is 不一致，以及必須對已接收到的資訊採取行動」。

與網路情勢認知相關的有效技術，涉及對網路威脅如何演變的深入理解。藉由運用機器學習與 人工智慧 等超現代技術，組織可以即時降低威脅。這種全面性的情勢認知方法聽起來很困難，但最終證明對業務持續營運以及防範各類風險極為重要。誰不喜歡對任何即將發生的情況先收到提醒呢？我們都喜歡，對吧？這就是網路情勢認知的運作方式。讓您掌握現在、接下來，以及更前方的情況。