IC 评分概览

Google Security Operations SIEM 中的应用威胁情报会使用指标置信度分数 (IC-Score) 评估和标记失陷指标 (IOC)。IC 评分会将来自 100 多个开源和 Mandiant 专有情报来源的信息汇总到一个评分中。系统会使用机器学习技术，根据各个情报来源提供的情报质量（由人工评估和大规模数据驱动方法确定）为其分配置信度。IC 得分可捕获给定指标与恶意活动相关联的概率（真正正例）。如需详细了解如何针对 IC 评分来源评估指标，请参阅 IC 评分来源说明。

IC 得分表示指标是恶意的概率，即真正例的概率。为了计算最终的恶意概率，机器学习模型会纳入指标的所有可用信息，并按每个信息来源学到的置信度进行加权。由于只有两种可能的结果（恶意或良性），因此在没有任何信息的情况下，所有指标一开始都具有 50% 的概率属于这两种结果之一。随着每增加一条信息，该基准得分都会向恶意概率 0%（已知良性）或恶意概率 100%（已知恶意）推移。Google Security Operations SIEM 会提取由 Applied Threat Intelligence 管理且 IC 得分高于 80 的失陷指标 (IOC)。下表介绍了可能得分的范围。

指标老化信息

IC-Score 系统会在后续评分事件期间纳入新信息、刷新丰富数据并删除旧信息。

• 在我们的某个 OSINT 来源或专有 Mandiant 监控系统中发现了指标的新观察结果

• 每个来源和丰富功能的指标专用超时期限

超时期限取决于相关来源或丰富信息中指标的上次出现日期。也就是说，自上次从给定来源观察到指标或通过丰富服务更新信息以来经过指定天数后，数据泄露分析会将信息视为过时，并停止在计算得分时将其视为有效因素。数据泄露分析会停止在计算得分时将超时期限视为有效因素。

下表介绍了与指标相关联的重要时间戳属性。

IC 评分来源说明

IC 评分说明器会显示指标得分的原因。说明文档会显示系统的哪些类别针对指标提供了哪些信心评估。为了计算 IC 得分，应用威胁分析会评估各种专有来源和第三方来源。每个来源类别和具体来源都有返回的恶意或良性判定响应的汇总计数，以及来源数据质量的评估。系统会综合这些结果来确定 IC 得分。下表详细说明了来源类别。