Cisco Secure Firewall 威胁智能导向器 概述
Cisco Secure Firewall 威胁智能导向器使用威胁情报数据进行操作，从而帮助您聚合情报数据，配置防御操作，并分析环境中的威胁。此功能旨在补充其他 Firepower 功能，可进一步加强对威胁的防御。
当在托管平台上配置 威胁智能导向器时，它会从威胁情报源摄取数据，并将数据发布到所有配置的托管设备（元素）。有关此版本中支持的托管平台和元素的更多信息，请参阅平台、元素和许可证要求。
源包含指示器，其中包含可观察对象。指示器传递与威胁相关的所有特征，而单个可观察对象表示与威胁相关的单个特征（例如 SHA-256 值）。简单指示器包含单个可观察对象，而复杂指示器包含两个或更多可观察对象。
可观察对象以及它们之间的 AND/OR 运算符构成指示器的模式，如下面的示例所示。
将可观察对象发布到元素后，在系统识别流量中的可观察对象时，元素会监控流量并将观察结果报告到 管理中心。
管理中心会从所有元素收集观察结果，根据 威胁智能导向器指示器评估观察结果，以及生成或更新与可观察对象的父指示器相关的事故。
当指示器的模式完成时，事件即完全实现。如果流量与指示器中的一个或多个可观察对象相匹配但未匹配整个模式，事故会部分实现。有关详细信息，请参阅观察和事故生成。
下图显示了系统配置示例中的数据流。
当 威胁智能导向器事故完全或部分实现时，系统会执行配置的操作（监控、阻止、部分阻止或无操作）。有关详细信息，请参阅影响所执行操作的因素。
威胁智能导向器和安全情报
作为访问控制策略的一部分，安全情报使用信誉情报来快速阻止与 IP 地址、URL 和域之间的往来连接。安全情报唯一地提供通过 Talos 情报小组 对业界领先的威胁情报的访问。有关安全情报的详细信息，请参阅关于安全情报。
威胁智能导向器增强了系统根据来自第三方来源的安全情报阻止连接的能力，如下所示：
-
威胁智能导向器 支持其他流量过滤条件 - 安全情报使您可以根据 IP 地址、URL 和（如果已启用 DNS 策略）域名来过滤流量。威胁智能导向器 还支持按这些条件进行过滤，并增加了对 SHA-256 散列值进行过滤的支持。
-
威胁智能导向器 支持其他情报注入方法 - 使用安全情报和 威胁智能导向器，可以通过手动上传平面文件或配置系统以从第三方主机检索平面文件，从而将威胁情报导入系统。威胁智能导向器 增强了管理这些平面文件的灵活性。此外，威胁智能导向器可以检索和摄取以结构化威胁信息表达式 (STIX™) 格式提供的情报。
-
威胁智能导向器提供对过滤操作的精细控制 - 使用安全情报，可以按网络、URL 或 DNS 对象指定过滤条件。安全情报对象（特别是列表和源）可以包含多个 IP 地址、URL 或 DNS 域名，但您只能根据整个对象来阻止或不阻止，而不是根据一个对象的单个组件来阻止。使用 威胁智能导向器，可以为单个条件（即简单指示器或单个可观察对象）配置过滤操作。
-
威胁智能导向器配置更改不需要重新部署 - 在访问控制策略中修改安全情报设置后，必须将更改的配置重新部署到受管设备。使用 威胁智能导向器，将访问控制策略初始部署到受管设备后，可以配置源、指示器和可观察对象而无需重新部署，系统会自动将新的 威胁智能导向器数据发布到这些元素。
有关安全情报或 威胁智能导向器 可以处理特定事件时系统操作的相关信息，请参阅威胁智能导向器-管理中心 操作优先级。
威胁情报导向器的性能影响
Cisco Secure Firewall Management Center
在某些情况下，您可能会发现存在以下情况：
-
在摄取特别大的 STIX 源时，系统可能会遇到一些小的性能问题，而且摄取完成时间可能会比预期的要长。
-
系统可能需要 15 分钟才能将新的或修改后的威胁智能导向器数据向下发布到元素。
受管设备
对性能没有特殊影响。威胁智能导向器 对性能的影响与 Cisco Secure Firewall Management Center安全情报功能完全相同。
）
）
）
）
）
）
）
）
）
）
）
) 可以显示在 Web 接口中的多个位置。您可以通过点击此按钮将可观察对象添加到任何这些位置的“不阻止”列表。
反馈