19. 「資通威脅情資」（Cyber Threat Intelligence，CTI）是指蒐集、分析和處理有關網宇威脅行為和漏洞的資訊，以幫助組織瞭解資安威脅 的狀況，主動做好威脅應對和預防措施，以保護組織的營運，並降低事件所造成的衝擊影響。若以提供高階主管的 CTI 類型應選擇下列何項較為合適？
(A) Strategic（戰略型）
(B) Tactical（戰術型）
(C) Technical（技術型）
(D) Operational（操作型）

答案分析

(A) Strategic（戰略型） —— 正確答案

• 對象： 決策者、高階主管（C-Level）。

• 內容： 著重於高層級的威脅趨勢、地緣政治影響、特定產業的風險評估以及潛在的財務衝擊。

• 目的： 協助制定長期的資安政策、預算規劃與資源配置。例如：「預測明年針對醫療產業的勒索軟體攻擊將增加 30%」，這類資訊能幫助主管決定是否增加資安預算。

其他選項說明與錯誤原因

(B) Tactical（戰術型）

• 對象： 資安管理員、架構師、技術主管。

• 內容： 著重於攻擊者的 TTPs（戰術 Tactics、技術 Techniques、程序 Procedures）。例如：攻擊者如何利用社交工程進入內網、使用何種滲透工具。

• 錯誤原因： 這類情資太過細節，高階主管通常不參與具體的防禦部署工作。

(C) Technical（技術型）

• 對象： SOC 分析師、資安監控人員。

• 內容： 具體的威脅指標（IoC，Indicators of Compromise），如惡意程式的 Hash 值、惡意網域的 IP 地址、特定惡意郵件的主題字串。

• 錯誤原因： 這是最底層、變動最快的情資，主要是給機器或第一線人員攔截攻擊用的，主管無法從中進行決策。

(D) Operational（操作型）

• 對象： 事件應變（IR）小組、威脅獵捕人員。

• 內容： 關於「即將發生」或「正在進行中」的特定攻擊資訊，包括攻擊者的身分、動機與攻擊時機。

• 錯誤原因： 雖然操作型情資能幫助了解當前的敵手，但它主要用於實戰攔截與應變，對高階主管所需的整體風險藍圖幫助有限。

資通威脅情資 (CTI) 四大分類對照表