威脅偵測及回應 (TDR) 是一套全方位的網路資安解決方案，採用一整套的進階工具、技巧與技術來協助企業即時偵測、評估及回應 IT 基礎架構的潛在資安威脅。
威脅偵測及回應 (TDR) 結合了進階工具與創新的最佳實務來偵測、發掘及消除網路資安威脅，不讓威脅對企業造成傷害。
TDR 能即時監控網路流量、分析活動模式來預先偵測異常狀況以防範攻擊，並且發掘及消除企業 IT 基礎架構所面臨的風險，防範幾乎所有形式的網路威脅，包括：
- 資料外洩
- 勒索病毒、惡意程式、間諜程式
- 網路釣魚行動
- 虛擬加密貨幣挖礦
- 殭屍網路攻擊
- 身分威脅
- 分散式阻斷服務 (DDoS) 攻擊
- SQL 資料隱碼攻擊
- 跨網站腳本 (XSS)
- 來自現任和前任員工的內賊威脅
TDR 結合了各種工具和技巧，從入侵偵測系統 (IDS) 到威脅情報與資安事件管理 (SIEM)，來提升資安團隊對企業內環境的威脅回應能力，並搭配主動式資安曝險管理 (CREM) 方法來持續管理及降低風險。
威脅偵測及回應為何重要？
企業隨時可能面臨精密網路威脅的襲擊，這些威脅可能滲透企業系統、入侵資產、影響企業的網路。這些威脅為企業帶來了重大風險，包括財務損失、法規懲處，以及持續的商譽損失。
威脅偵測及回應可改善企業的資安狀況，提供即時的可視性來掌握實際及潛在的威脅。如此一來，企業的資安團隊就能主動採取一些步驟來盡速處理潛在威脅，防止駭客造成無法彌補的損失。
此外，TDR 還可以讓駭客更難潛入企業系統，因此有助於確保企業擁有適當的資料安全與隱私保障措施來符合 GDPR、HIPAA 和 CCPA 等所有的相關規範。
威脅偵測及回應如何運作？
絕大多數的威脅偵測及回應平台都包含五大防禦階段：監控與分析、威脅偵測、威脅評估、威脅回應，以及持續改進。
第 1 步：監控與分析
首先，TDR 會 7 天 24 小時持續監控及評估企業的整個網路來尋找潛在的風險或漏洞。它會學習網路平常的流量模式和活動，建立正常營運情況下的基準狀態。
第 2 步：威脅偵測
在學會辨識正常的 IT 和網路行為之後，TDR 會即時不斷分析整個企業環境，尋找任何可能是資安威脅徵兆的異常情況，包括：異常大量的檔案傳輸或未經授權的登入嘗試，以及使用未經授權的裝置，或是非預期的網路流量變化。
第 3 步：威脅評估
一旦發現了潛在的威脅，TDR 就會利用業界最新的威脅情報來判斷它是否為真實的攻擊或者是誤判，並且標記任何看起來不對勁的可疑活動。
第 4 步：威脅回應
接下來，TDR 平台會透過一系列的自動化動作、警報及策略來迅速果斷回應威脅，包括：隔離受影響的系統、隔離惡意檔案、攔截未經授權的存取嘗試，以及發送警報給負責網路安全的人員，告知他們可能需要採取其他行動。
第 5 步：持續改進
最後，TDR 平台會運用從威脅當中學到的知識來持續改進企業的網路資安。如此可降低類似攻擊再次發生的機率，同時還能確保企業安全，防範當前及未來的威脅。
威脅偵測及回應的成功要素之一，就是能夠藉由自動化回應來盡快偵測及防範威脅。此外，TDR 還能與現有的網路、端點及雲端防護框架無縫整合。這樣，企業就能建立一套多層式資安方法，徹底發揮 TDR 的進階功能，同時又不會破壞其現有網路資安基礎架構的完整。
威脅偵測及回應有哪些關鍵要素？
顧名思義，TDR 的主要元素就是威脅偵測及威脅回應。但這些元素又可細分成三個不同環節：威脅情報與分析、自動化偵測工具，以及事件回應。
威脅情報與分析
首先，TDR 會從可信賴的業界來源蒐集有關當前及新興威脅的最新情報，這樣就能隨時掌握最新的攻擊技巧，搶先駭客一步。
自動化偵測工具
接著，TDR 會運用各種自動化偵測工具與機器學習來即時交叉關聯、分析及綜合所有大量的原始資料，如此就能比傳統資安解決方案更快發掘、評估及回應威脅。
事件回應計畫
一旦偵測到威脅，TDR 就能擬定詳細的回應計畫來因應任何類型的事件，盡快將威脅隔離、減輕其危害，或將其消除。
事件回應計畫會列出資安團隊每一位成員的角色和責任，以免在遭遇攻擊時因為驚慌而無法迅速做出回應。此外，也包含如何發掘和分析攻擊、如何遏止或消除威脅，以及事件之後該如何完全復原的明確指示。
所以，事件回應計畫可大幅縮短攻擊回應時間，並減輕攻擊可能造成的損害。同時，也有助於回應團隊學習如何防範類似的威脅，降低未來類似攻擊的危險性。
一套多管齊下的方法
不僅如此，TDR 還結合了各種威脅偵測及回應工具來建立一套真正多管齊下威脅管理方法，包括：
- 端點偵測及回應 (EDR)：自動交叉關聯來自多個防護層的端點和伺服器資料，提供更快的偵測、更好的分析，以及更短的回應時間。
- 延伸式偵測及回應 (XDR)：運用 AI 和機器學習模型來搜查潛在的敵人，並且偵測、調查及回應威脅。
- 網路偵測及回應 (NDR)：保護網路的所有元素，從路由器、筆記型電腦，到智慧恆溫控制器以及其他未受管理的資產。
- 身分威脅偵測及回應 (ITDR)：發掘最有風險與最高權限的使用者，並在發現任何可疑活動時發出警報。
- 電子郵件偵測及回應 (EMDR)：將威脅偵測及回應延伸至使用者電子郵件、威脅記錄檔以及可疑行為。
- 雲端偵測及回應 (CDR)：保護雲端資產，如工作負載、容器、K8 叢集以及虛擬機器。
- 營運技術偵測及回應：提供營運技術 (OT) 與資訊技術 (IT) 環境的全方位檢視，讓您更清楚掌握裝置與網路層次的資安威脅。
- 防火牆服務 (FWaaS)：提供雲端式替代方案來取代傳統的現場防火牆。
- 託管式偵測及回應 (MDR)：一種負責監控網路攻擊徵兆的外包服務，並可在偵測到任何威脅時立即採取行動。
有效的威脅偵測及回應最佳實務範例
最有效的威脅偵測及回應解決方案，會結合各種產業標準最佳實務來發掘、評估及回應威脅，包括：
- 持續監控與評估：採用 SIEM、EDR 及 XDR 這類工具來持續監控和評估網路流量、資料及端點的狀況，這對於偵測異常、發掘漏洞以及即時因應威脅至關重要。
- 訓練與認知：儘管定期訓練可幫助資安團隊有效且高效率地應付資安威脅，但最嚴重的攻擊經常是起因於一般員工使用了強度不足的密碼，或是不小心開啟了不肖的電子郵件。提升整個企業對於網路資安與 TDR 的認知，就能防範這類風險，確保所有員工隨時保持警覺、掌握最新資訊、知道哪些可以做 (以及哪些不能做)，進而確保企業安全。
- 定期更新和升級技術：由於資安威脅會不斷演進，因此任何 TDR 解決方案都必須能獲得最新的威脅情報和技術。此外，定期的情報更新與技術升級，也能提升威脅偵測的準確性，協助企業回應新興威脅。
威脅偵測及回應未來將如何演變？
網路資安情勢正以驚人的速度發生改變，隨著威脅越來越精密，威脅偵測及回應也必須跟著調整才能應付威脅。
如同今日任何其他事物一樣，AI 可能很快就會在威脅偵測及回應的幾乎所有層面扮演更關鍵的角色。比方說，AI 能協助企業更準確地分析模式、將零信任架構導入網路，以及提升威脅偵測的成功率。除此之外，它還能「以其人之道、還治其人之身」，用 AI 來對抗 AI 驅動的攻擊，這類攻擊在每一種經濟領域都將越來越常見。
從更長遠來看，未來還可能必須整合像量子運算這樣的最新技術，才能讓未來的 TDR 解決方案能夠應付新的網路資安挑戰。
哪裡可以取得有關威脅偵測及回應的協助？
Trend Vision One™ Security Operations (SecOps) 能讓您企業借助 XDR、SIEM 和 SOAR 的強大威力來主動偵測、調查及回應威脅。交叉關聯來自端點、伺服器、電子郵件、身分、行動裝置、資料、雲端工作負載、OT 以及網路的事件與全球威脅情報來源，整理出最高優先次序、可化為行動的警報，同時將複雜的回應動作自動化。高準度的偵測事件能讓您看到攻擊的完整過程 (從事件發生根源、到事件的完整樣貌)，而我們的原生及第三方回應功能，則讓駭客無所遁形。