什么是威胁情报？它为何如此重要？

威胁情报至关重要，因为企业并非总有足够的时间、预算或人员来同等重视每一个警报、漏洞或可疑事件。安全团队需要了解哪些威胁与其所在行业、地区、技术栈和风险配置文件相关。

随着威胁活动日益协调，且越来越难以与地缘政治、犯罪和供应链风险区分开来，这一点尤为重要。欧盟网络安全和信息安全局 (ENISA) 发布的《2025 年威胁形势报告》指出，威胁组织正在重复使用工具和技术，引入新的攻击模型，利用漏洞并相互协作，以削弱欧盟数字基础设施的韧性。

对于企业安全领导者而言，威胁情报的价值体现在实际层面。它有助于解答以下问题：谁可能成为我们的攻击目标？他们正在使用哪些技术？哪些漏洞正在被利用？我们应该监控哪些指标？哪些事件需要升级？以及我们应该首先改进哪些控制措施？

什么是威胁情报？

威胁情报是对现有或潜在网络威胁进行分析的信息，它可以帮助组织了解、检测、预防或应对攻击。

威胁情报不仅仅是原始的威胁数据。IP 地址、域名、哈希值和 CVE 等指标经过验证、丰富、优先级排序并与安全决策关联后，就变成了情报。

例如，原始指标可能显示某个域名与钓鱼活动有关。威胁情报则能解释该域名是否属于当前攻击活动的一部分、哪些行业正成为攻击目标、涉及哪些恶意软件或凭证窃取方法、基础设施是否仍然处于活动活动以及攻击活动可能如何发展、哪些系统或控制措施可能受到影响，以及防御者可能需要在哪些方面重点关注检测、监控或缓解措施。

良好的威胁情报应具备相关性、及时性、准确性和可操作性。它应该帮助安全团队做出决策或采取行动，而不仅仅是为本已嘈杂的环境添加更多信息。

为什么威胁情报对企业至关重要？

威胁情报之所以重要，是因为企业安全团队需要了解背景信息。如果没有威胁情报，他们的团队可能会在不了解其重要性的情况下检测到活动，在不知道哪些漏洞最有可能被利用的情况下修补漏洞，或者在不知道警报是否与已知攻击活动匹配的情况下调查警报。

现代企业运营涉及云服务、身份平台、终端、电子邮件、运营技术、第三方提供商和分布式网络。这种多样性造成了广泛的攻击面，威胁情报可以帮助安全团队了解攻击面的哪些部分对攻击者最具吸引力，以及当前哪些威胁最为相关。

威胁情报通过为安全领导者提供可用于风险讨论、事件准备和安全投资决策的证据，支持治理和弹性规划。对于跨多个地区、行业或供应商生态系统运营的组织而言，这种背景信息有助于安全团队了解外部威胁活动可能如何影响运营优先级。

威胁情报解决了什么问题？

威胁情报帮助组织更有效地分配有限的安全资源。

如果没有情报，安全团队可能仅根据严重性评分、警报数量或合规压力来确定优先级。这可能导致将精力浪费在看似严重但不太可能被利用的问题上，而更相关的风险却被忽视或未得到充分解决。

威胁情报增加了攻击者的背景信息，帮助团队了解哪些资产、漏洞和技术与实际攻击最为相关。

为什么这很重要？因为技术严重性与实际风险并不相同。隔离的内部系统上的关键漏洞可能不如互联网上被勒索软件组织积极利用的低评分漏洞那么紧迫。

威胁情报并不能取代资产管理、漏洞扫描、检测工程或事件响应。它的作用是使这些功能更加聚焦。

威胁情报的主要类型有哪些？

威胁情报主要分为战略情报、运营情报、战术情报和技术情报。这些分类至关重要，因为不同的团队需要不同程度的技术和运营细节。然而，这些分类之间经常存在重叠。一份战略报告可能包含技术指标、YARA 规则、Sigma 规则或其他检测内容，而技术情报只有在与战略、运营或战术背景相结合时才更有价值。

一个成熟的威胁情报项目通常需要所有四种类型的威胁情报，但并非每个团队都需要相同格式的情报。

什么是战略威胁情报？

战略威胁情报从业务、行业、区域或地缘政治层面解释高层次的网络风险。它帮助领导者理解某些威胁的重要性，为首席信息安全官 (CISO) 和风险团队提供评估潜在影响所需的背景信息，从而提升运营、韧性、安全性、投资优先级和信誉。

例如，战略情报可以解释勒索软件组织如何攻击医疗保健系统、地缘政治紧张局势如何影响关键基础设施，或者网络犯罪服务如何降低低技能攻击者的条目门槛。

这类情报对需要制定投资和治理决策的 CISO、董事会、风险委员会、法务团队和高管都非常有用。它可以支持安全战略、预算规划、危机准备、网络保险讨论或监管报告。

战略情报应避免技术过载——它的任务不是列出每个指标或恶意软件变种，而是解释正在发生的变化、其重要性以及组织应该考虑采取的措施。

从根本上讲，威胁情报的商业价值在于它将技术威胁活动与企业风险联系起来。

什么是作战威胁情报？

运营威胁情报解释了具体的攻击活动、攻击者的目标和攻击模式。它介于高层战略报告和实际操作的技术指标之间。

例如，运营情报可以描述针对欧洲制造商的勒索软件攻击活动，包括攻击者使用的初始访问方法、涉及的恶意软件、受影响的行业、可能的攻击者动机以及推荐的防御措施。

这类情报对SOC)负责人、事件响应团队、威胁猎手和安全架构师都非常有用。它可以帮助他们为最有可能影响其环境的威胁做好准备。

运营情报还可以帮助团队判断事件是孤立事件还是更大规模攻击活动的一部分。如果可疑域名、恶意软件样本或钓鱼诱饵与已知攻击者的基础设施相匹配，则可以更快地开展调查，并获得更全面的背景信息。

运营情报的价值在于其时效性。过时的攻击活动信息可能仍然有助于历史分析，但防御者需要了解基础设施、工具和技术目前是否仍然活动。

什么是战术威胁情报？

战术威胁情报解释了攻击者的行为方式。它侧重于战术、技术和程序（通常简称为 TTP）。战术是攻击者的目标，例如初始访问、权限提升或横向移动。技术是实现该目标的方法。程序是特定攻击者或攻击活动使用该技术的具体方式。

MITRE ATT&CK 框架被广泛应用，因为它提供了一个基于真实世界观察的、全球可访问的敌方战术和技术知识库。MITRE 将 ATT&CK 描述为私营部门、政府和网络安全产品社区所使用的威胁模型和方法的基础。

战术情报有助于防御者创建更有效的检测机制。团队不仅可以阻止已知的指标，还可以寻找即使在基础设施发生变化后也可能持续存在的攻击者行为。

例如，钓鱼域名可能很快消失，但攻击者在入侵后的行为可能持续存在。战术情报可以帮助安全团队更早地检测到这些行为。

什么是技术威胁情报？

技术威胁情报包含机器可读或分析师可读的指标，这些指标有助于识别恶意的或可疑活动。例如 IP 地址、域名、URL、文件哈希值、电子邮件发件人数据、恶意软件签名、SSL 证书、注册表项、命令与控制基础架构以及 YARA、Sigma 或检测规则。

技术情报可应用于安全信息和事件管理(SIEM)、事件检测与响应 (EDR)、扩展数据检测与响应 (XDR)、云安全、防火墙、电子邮件安全控制、沙箱系统和威胁情报平台。威胁情报提示 (TIP) 通常用于聚合、丰富、管理和分发情报给需要的工具和团队。

然而，技术情报存在局限性。指标的过期速度各不相同，过时的指标可能会产生误报、运行噪音，甚至阻止对不再恶意的基础设施的访问。IP 地址通常过期最快，因为它们经常更改；URL 的有效期可能更长，但恶意的内容可以很快被转移；文件哈希值可能无限期地与恶意的文件关联，但一旦攻击者停止使用这些文件，其运行相关性就会下降

什么是漏洞情报？

漏洞情报帮助组织了解哪些软件缺陷与其环境最相关，以及哪些缺陷最有可能被利用。

传统的漏洞管理通常从严重性评分开始。由 FIRST 维护的 CVSS（通用漏洞评分系统）提供了一种方法来捕捉漏洞的特征并生成一个数值分数，该分数可以帮助组织评估漏洞并确定修复的优先级。

严重级别有用，但它并非总能反映漏洞被利用的可能性。这时，漏洞利用情报和 EPSS（漏洞利用预测评分系统）等系统就能派上用场。EPSS 是一种数据驱动的机器学习模型，用于估算已发布的 CVE（通用漏洞披露标识符）在未来 30 天内被实际利用的概率。

对于企业团队而言，漏洞情报综合考虑了严重性、可利用性、资产暴露程度、业务关键性和活动威胁活动。这有助于团队优先修复关键漏洞。

实际问题不仅仅是“这个漏洞是否严重？”，而是“这个漏洞是否可被利用、是否已暴露、是否与我们的环境相关，以及是否对攻击者具有吸引力？”

什么是行业特定威胁情报？

行业特定威胁情报专注于与特定行业（例如金融、医疗保健、能源、制造、政府、电信和零售）最相关的威胁。

攻击者通常会专注于特定领域。勒索软件组织可能会以医疗保健提供商为目标，因为停机会造成压力；国家支持的犯罪分子可能会以能源、电信或公共管理部门为目标，以获得战略性访问权限；而欺诈组织可能会以银行、支付处理商或零售商为目标，因为这些机构的盈利途径更清晰。

行业特定情报有助于团队了解可能的攻击路径和攻击者的目标，还能支持行业层面的合作、信息共享和监管准备。

通用情报仍然有价值，但行业背景使其更具实用性。

哪些人可以从威胁情报中受益？

威胁情报惠及企业内的许多团队，而不仅仅是安全运营中心(SOC

威胁情报的价值在于，它能够在各个职能部门之间共享，而不是局限于某个工具或团队内部。

威胁情报如何帮助首席信息安全官 (CISO) 和安全领导者？

对于 CISO 而言，威胁情报有助于将技术威胁活动转化为业务风险。它支持更清晰地制定预算、风险承受能力、韧性和安全优先级决策。

CISO 不需要掌握每次攻击活动的所有入侵指标。他们需要了解哪些威胁与组织最为相关，哪些业务部门或地区面临风险，哪些控制措施存在薄弱环节，以及一次成功的攻击可能造成的影响。

战略情报还能帮助领导者以令人信服的方式向董事会和高管汇报情况。CISO 可以解释哪些攻击者、行业、方法或漏洞现在至关重要，以及原因，而不是仅仅说“威胁形势正在变化”。

这一点至关重要，因为企业网络安全通常是在事件发生后才受到评判。威胁情报有助于表明决策是基于证据而非猜测。

它还有助于确定韧性措施的优先级。如果情报显示某个行业正遭受身份泄露、远程访问和供应商访问等攻击，那么投资就可以转向身份安全、外部风险管理和第三方监控。

威胁情报如何帮助SOC)团队？

威胁情报可以帮助SOC团队减少干扰信息、丰富警报内容并检测相关的攻击者行为。

SOC)可能会收到来自终端、云平台、身份系统、电子邮件网关、防火墙和安全信息与事件管理(SIEM)规则的数千条警报。并非每条警报都具有同等的紧迫性。威胁情报可以帮助分析人员了解警报是否与已知的恶意的基础设施、活动的攻击活动、已被利用的漏洞或攻击者的行为相关。

MITRE ATT&CK 还能帮助SOC团队围绕攻击者的行为而非仅仅基于已知指标来构建检测机制。它为分析人员提供了一种通用语言，用于构建、比较和分析威胁情报，帮助他们以更可重复的方式将警报与攻击者的行为关联起来。

威胁情报还有助于改进检测工程。团队不再仅仅为已知指标编写规则，而是可以围绕可疑凭据访问、异常 PowerShell 使用、不寻常的远程服务执行或命令与控制模式等行为来构建检测机制。

威胁情报如何帮助事件响应？

威胁情报可以帮助事件响应团队了解已发生的情况、可能发生的情况以及需要关注的方向。

在事件发生期间，响应人员需要快速获得答案。这种恶意软件是否已知？基础设施是否活动？可能涉及哪些攻击者或攻击活动？接下来通常会攻击哪些系统？是否存在已知的持久化攻击方法？是否存在相关的指标需要在环境中进行搜索？

威胁情报可以加快范围界定和遏制速度。如果响应人员能够将观察到的活动与已知的攻击策略联系起来，他们就可以寻找可能的后续行动，例如凭证泄露、横向移动、数据暂存或勒索软件部署。

它还有助于事件后的改进。遏制之后，情报可以帮助团队识别哪些控制措施失效、哪些检测环节缺失以及哪些攻击技术应在未来的演练中涵盖。

事故响应很少仅仅是一个技术问题。法律、沟通、风险和管理团队可能需要了解该事件是更广泛的攻击活动的一部分，还是针对特定目标的攻击。威胁情报为这些决策提供了更充分的背景信息。

威胁情报如何帮助漏洞管理？

威胁情报可以帮助漏洞管理团队根据攻击活动、攻击者的兴趣和资产暴露情况来确定修复的优先级。

许多企业都有数千个已知漏洞。立即修补所有漏洞通常是不现实的，尤其是在包含遗留系统、运营技术、云工作负载和业务关键型应用程序的复杂环境中。

威胁情报有助于区分理论上的严重性和实际的紧迫性。如果一个漏洞没有暴露、未被用于活动活动或不存在于关键资产上，那么即使其严重性评分很高，也可能并非首要任务。相反，如果一个低严重性问题面向互联网、易于利用且已被勒索软件运营者利用，则可能非常紧急。

这就需要将漏洞情报、利用情报、资产上下文和业务关键性结合起来。EPSS 可以帮助评估利用概率，而 CVSS 则有助于表达技术上的严重性。

最强大的漏洞管理方案不仅会问“什么存在漏洞？”，还会问“什么存在漏洞、暴露、可被利用，并且与当前攻击者的行为相关？”

威胁情报如何支持第三方和供应链风险？

威胁情报可以帮助组织监控自身边界之外的风险。这包括供应商、托管服务提供商、云提供商、软件供应商、承包商、暴露的凭证、泄露的数据、钓鱼域名和易受攻击的外部基础设施。

供应链风险难以评估，因为企业依赖于它们无法完全控制的组织。供应商可能持有敏感数据、管理远程访问、提供软件更新或运营关键服务。

威胁情报可以帮助识别供应商的域名是否被冒用、与供应商关联的凭证是否出现在犯罪市场、技术提供商是否受到漏洞利用的影响，或者第三方平台是否成为攻击目标。

这并不能取代第三方风险管理、合同或审计，而是为它们增添了最新的威胁背景。

对于NIS2涵盖行业的企业而言，供应商和生态系统风险尤为重要，因为网络安全正日益被视为一个跨行业的韧性问题，而不仅仅是内部IT控制问题。

什么是威胁情报生命周期？

威胁情报生命周期是指用于定义情报需求、收集数据、分析数据、分发结果以及改进未来情报工作的过程。

一个常见的生命周期包含六个阶段：

1. 1. 指导2. 收集3. 处理4. 分析5. 分发反馈

威胁情报应从具体的运营或业务需求入手。例如，安全运营中心（SOC）负责人可能会问：“我们应该在制造环境中检测哪些勒索软件技术？”首席信息安全官 (CISO) 可能会问：“哪些地缘政治威胁可能影响我们在欧洲的业务？”漏洞经理可能会问：“本周我们应该修复哪些已暴露的漏洞？”

每个问题都需要不同的信息来源、分析方法和输出结果。生命周期管理确保情报工作专注于决策，而非数量。

在方向阶段会发生什么？

在企业项目中，方向阶段定义了组织需要了解的内容以及如何使用情报。对于安全厂商而言，该流程还受到他们能够收集的数据、研究能力以及其情报产品的目标受众的影响。

这是最重要的阶段，因为它决定了情报是否有效。诸如“向我们发送威胁情报”之类的模糊需求通常会造成干扰。而诸如“识别利用暴露的远程访问权限攻击欧洲制造商的活动勒索软件组织”之类的明确需求则有助于聚焦。

方向阶段应让将要使用情报的团队参与其中。董事会需要的情报与安全运营中心(SOC 分析师需要的情报不同。漏洞团队需要的情报与反欺诈团队需要的情报也不同。

良好的情报需求与决策紧密相关。它们可以支持补丁优先级排序、检测工程、事件准备、供应商监控、高管报告或特定行业的风险规划。

在这个阶段，团队可以定义受众、决策、时间范围、地域、行业、技术栈和所需的输出格式。

在收集和处理阶段会发生什么？

收集阶段从内部和外部来源收集相关信息。处理阶段将这些信息转换为可用的格式。

外部来源可能包括商业威胁情报、开源报告、行业共享社区、CERT 和 CSIRT 安全公告、暗网监控、恶意软件库、漏洞数据库、钓鱼信息源和公共框架。

内部来源可能包括SIEM日志、EDR 遥测数据、防火墙事件、电子邮件安全数据、事件报告、漏洞扫描、资产清单和云日志。

处理过程可能涉及去重、规范化、丰富化、转换、标记、评分和转换为标准格式。

标准至关重要，因为威胁情报通常需要在不同的工具和组织之间流动。OASIS 在其网络威胁情报技术委员会的领导下开发了 STIX 和 TAXII，以支持网络威胁情报的结构化建模、分析和共享。MISP 是另一个广泛使用的开源平台，用于收集、存储、分发和共享网络安全指标和威胁信息。

如果没有处理，情报可能会变得碎片化、重复或无法实施。

分析过程中会发生什么？

分析将处理后的数据转化为情报。在此过程中，分析人员会评估相关性、可靠性、置信度、影响和推荐的行动。

分析可以解答以下问题：

• 该指标是否仍然活动？
• 此次攻击活动是否与我们的行业或地区相关？
• 此次活动类似于哪个攻击者、恶意软件家族或技术？
• 哪些资产可能受到影响？
• SOC)应该检测哪些内容？
• 漏洞团队应该优先修复哪些漏洞？
• 高管应该了解哪些信息？

好的分析包含置信度，但并非所有结论都绝对确定。分析师可能会判断某个攻击活动可能与已知攻击者有关，某个基础设施可能与某个恶意软件家族有关联，或者某个行业可能正在遭受攻击。

安全决策本质上就包含不确定性，威胁情报的作用在于降低不确定性，而不是掩盖它的存在。

分析过程中，人类的专业知识仍然至关重要。自动化可以大规模地丰富和关联数据，但分析师需要提供判断、背景信息和操作解读。

分发和反馈环节会发生什么？

分发环节将情报传递给合适的人员、工具或工作流程，而反馈环节则表明情报是否有效。

高管团队、安全运营SOC)分析师、漏洞管理人员和架构师都需要不同格式和详细程度的情报。

威胁情报应该在工作发生的地方提供。这可能包括安全信息和事件管理(SIEM)、扩展灾难恢复 (XDR)、端点检测与响应 (EDR)、安全运营自动化与响应 (SOAR)、工单系统、漏洞管理工具、电子邮件安全控制、仪表板、报告或高管简报。

反馈环节则完成了闭环。如果分析人员提供的情报过于宽泛、滞后或难以使用，程序应进行调整。如果某个信息源产生误报，则需要进行优化。如果报告有助于预防或发现事件，则应记录其价值。

威胁情报和威胁狩猎有什么区别？

威胁情报和威胁狩猎相关但不完全相同。

威胁情报解释了关于威胁、攻击者、基础设施、漏洞和攻击行为的已知或疑似信息。威胁狩猎则是在环境中主动搜索入侵迹象或攻击者活动。

威胁情报可以指导威胁狩猎——例如，情报可能显示勒索软件组织正在使用特定的初始访问方法、持久化技术或命令行模式。威胁猎人随后可以搜索内部遥测数据以查找该行为的迹象。

威胁狩猎还可以创造新的情报。如果猎人发现以前未知的模式、可疑的基础设施或攻击者行为，则可以分析、记录该发现并与检测团队或更广泛的情报社区共享。

简单来说，威胁情报帮助团队了解要查找的内容，而威胁狩猎则寻找环境中正在发生或已经发生的证据。

威胁情报和威胁数据有什么区别？

威胁数据是原始信息，而威胁情报则添加了上下文、分析和决策价值。

威胁数据可以包括 IP 地址、域名、文件哈希值、恶意软件样本、漏洞标识符、电子邮件痕迹或日志事件。这些数据很有用，但它并不能自动告诉团队他们需要做什么。

威胁情报通过将指标与攻击活动、攻击者、行业、地区、技术和推荐措施关联起来，从而提供更全面的操作背景信息。

这一点至关重要，因为企业可能会被威胁数据淹没，而更多的数据来源并不总是意味着更高的安全性。在某些情况下，它们反而会增加噪音、误报和分析师的工作量。

这里有一个简单实用的测试：这些信息能否改进安全决策或工作流程？如果它不能帮助人们检测、预防、调查、确定优先级或解释威胁，那么它可能只是数据而非情报。

威胁情报和开源情报 (OSINT) 之间有什么区别？

开源情报 (OSINT) 是指从公开渠道获取的情报。威胁情报可以包含 OSINT，但其范围更广。

OSINT 的来源可能包括公开报告、博客、安全公告、代码库、域名记录、恶意软件分析、社交媒体、论坛、漏洞披露和公共数据集。这些来源可能很有价值，尤其是在与内部遥测数据和专家分析相结合时。

威胁情报还可能包括商业数据、私人研究、恶意软件遥测、传感器网络、封闭社区共享、事件响应结果、暗网监控和客户特定的数字足迹数据。

关键区别在于，开源情报 (OSINT) 描述的是信息来源类型，而威胁情报描述的是信息的目的和输出。当公共信息经过分析并应用于安全决策时，它就可以转化为威胁情报。

对许多组织而言，最佳方法并非公共信息与私有信息之争，而是要整合多个信息来源，对其进行验证，并在正确的流程中使用。

威胁情报如何才能发挥作用？

当威胁情报能够支持特定的决策或安全流程时，它就具有可操作性。

可操作的情报通常具备五个特点：

1. 相关性：它适用于组织的行业、地区、资产或风险配置文件
2. 时效性：它在采取行动仍然有效时出现
3. 准确性：它经过验证且来源明确
4. 上下文：它解释了具体含义，而不仅仅是指标
5. 可用性：它可以由人员或工具应用。

例如，“一个勒索软件组织正在活动”过于笼统。“该勒索软件组织正通过暴露的 VPN 设备攻击欧洲物流公司，并且已被观察到利用特定的 CVE 漏洞”则更具可操作性。它告诉团队应该检查什么、在哪里查找以及哪些风险可能需要紧急处理。

可操作性也取决于格式。首席信息安全官 (CISO) 需要从安全信息和事件管理(SIEM)系统获取不同的输出，安全运营中心(SOC 分析师需要足够的上下文信息才能快速展开调查，防火墙需要结构化的指标，而董事会则需要了解影响因素和应对方案。

有效的威胁情报需要融入工作流程和决策中。

企业应如何评估威胁情报来源？

企业应基于相关性、覆盖范围、准确性、时效性、透明度、集成性和运营契合度来评估威胁情报来源。

许多组织会使用来自多个来源的情报，尤其是信息源，因为没有哪个供应商能够全面覆盖所有攻击者、地区、行业、恶意软件家族、漏洞和基础设施组合。目标并非依赖单一来源，而是以一种既能提高覆盖范围又不会给分析师造成过重负担的方式整合多个来源。相关性至关重要。如果信息源只关注与组织地理位置、行业或技术栈无关的威胁，那么它的价值将十分有限。覆盖范围应包括组织关注的威胁领域，例如高级持续性威胁 (APT)、勒索软件软件、钓鱼、工业控制系统 (ICS)、云威胁、恶意软件、漏洞或数字足迹暴露。

准确性和时效性至关重要，因为过时或未经充分验证的指标会导致误报，浪费分析师的时间。透明的来源和置信度有助于团队了解情报的权重。

集成性也至关重要。无法在SIEM、XDR、EDR、SOAR、漏洞管理或事件响应工作流程中使用的情报可能会闲置。

最后，团队应评估人类的专业知识。自动化信息源固然有用，但复杂的问题往往需要分析师的解读，尤其是在定向攻击、地缘政治风险、工业环境和事件支持方面。

哪些常见错误会削弱威胁情报计划？

威胁情报计划常常因为过于注重数量而非决策而失败。

• 第一个错误是添加信息源却不定义情报需求、验证流程或操作工作流程。组织可能需要多个信息源，但每个信息源都应有明确的用途、可衡量的价值以及明确的检测、调查或优先级排序路径。
• 第二个错误是将指标视为整个计划的全部。指标固然有用，但它们只是情报的一个层面。团队还需要攻击活动背景、战术、技术和程序 (TTP)、漏洞情报、战略报告和特定行业的洞察。
• 第三个错误是未能将情报集成到工作流程中。PDF 报告可能对领导者有用，但SOC)团队需要将情报整合到工具和流程中。
• 第四个错误是未能衡量价值。团队应跟踪情报是否提高了检测能力、缩短了调查时间、改进了补丁优先级排序、支持了事件响应或为高管决策提供了信息。
• 第五个错误是忽视反馈。威胁情报应该随着组织的风险、资产和优先事项的变化而发展。

成熟的威胁情报计划应该包含哪些内容？

成熟的威胁情报计划应包括明确的需求、可靠的信息来源、专业的分析、工作流程整合和可衡量的结果。

企业至少应该明确谁可以使用威胁情报以及用于什么目的。常见用户包括首席信息安全官 (CISO)、SOC)团队、事件响应人员、漏洞团队、威胁猎手、安全架构师、欺诈团队和风险负责人。

成熟的程序将内部遥测与外部威胁可见性相结合。内部遥测提供环境可见性，而外部情报提供攻击者背景信息。两者结合比单独使用任何一种都更有效。

成熟的课程体系也会酌情采用结构化的框架和标准。MITRE ATT&CK 可以帮助组织敌对行为，STIX 和 TAXII 可以支持结构化交换，而 MISP 可以支持共享和社区工作流程。

目标不是收集所有信息，而是在正确的时间将正确的情报传递给正确的工作流程。

人工智能如何影响威胁情报？

人工智能对威胁情报的影响体现在两个方面：它帮助防御者处理更多数据，也帮助攻击者扩大恶意的活动规模。

• 对于防御者而言，人工智能可以加速信息丰富化、关联分析、摘要生成和大规模威胁分析。它可以帮助分析人员识别大型数据集中的模式，而这些模式很难通过人工审查来发现。但是，人工智能并不能取代威胁分析师或人类的判断。

• 对于攻击者而言，人工智能可以支持钓鱼、翻译、侦察、身份冒充和自动化。欧洲刑警组织警告称，人工智能可以帮助犯罪集团创建多语言信息、逼真的身份冒充以及自动化流程，从而增加检测难度。

人工智能并不能取代人工分析和操作判断。威胁情报仍然依赖于来源评估、置信度评估、上下文判断和决策。人工智能可以加速分析，但人类的专业知识对于确定情报的含义以及如何使用情报仍然至关重要。

人工智能在威胁情报方面的实际价值在于速度和规模。风险在于对未经充分验证的自动化结论过于自信。

企业应该首先如何利用威胁情报？

企业应该从情报需求入手，而不是工具。一个切实可行的起点是确定五个问题：

1. 哪些威胁行为者或攻击活动与我们的行业和地区相关？
2. 我们环境中的哪些漏洞正在被实际利用？
3. 我们的安全运营SOC）应该能够检测到哪些攻击者技术？
4. 哪些外部风险会增加我们的风险？
5. 领导层应该了解哪些威胁趋势？

一旦这些问题明确，团队就可以规划所需的来源、工作流程和输出。这样可以防止该程序变成一系列互不关联的信息源和报告。

组织还应明确情报的应用场景。例如，安全信息和事件管理(SIEM)中的警报增强、扩展检测与响应 (XDR) 中的检测工程、漏洞管理中的补丁优先级排序、首席信息安全官 (CISO) 的高管报告，或风险团队的供应商监控。

从小规模入手是明智之举。一个能够改进单一决策的专注情报工作流程，比一个无人问津的大型项目更有价值。

要点总结

威胁情报帮助企业了解哪些威胁至关重要、为何至关重要以及如何应对。其价值不在于收集更多数据，而在于将威胁数据转化为决策。

对于 CISO 而言，它支持基于风险的规划和高管沟通。对于安全运营中心(SOC)团队而言，它改进了警报分类、检测和响应。对于漏洞团队而言，它有助于确定修复优先级。对于事件响应人员而言，它加快了调查和遏制速度。对于风险团队而言，它为供应商、行业和监管方面的考量增添了最新的威胁背景。

最有效的项目是专注、及时且可操作的。它们明确情报需求，整合内部和外部资源，在适当情况下使用结构化框架，并将情报融入到决策工作流程中。

威胁情报并非独立的控制手段，而是一种决策支持能力，能够提升其他安全功能的精准度。

---

立即探索卡巴斯基威胁情报，助力威胁检测、调查、漏洞优先级排序和企业风险决策。

相关资源与延伸阅读

• ENISA 2025年威胁形势报告： https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025
• 欧盟委员会：NIS2指令： https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• MITRE ATT&CK（包括检测和威胁情报用例）： https://attack.mitre.org/
• OASIS网络威胁情报技术委员会：STIX和TAXII。（ OASIS Open ）
• MISP开源威胁情报平台： https://www.misp-project.org/
• FIRST漏洞利用预测评分系统： https://www.first.org/epss/
• 卡巴斯基威胁情报： kaspersky.com

威胁情报常见问题解答

什么是威胁情报？

威胁情报是指经过分析并可用于安全决策的网络威胁信息。它帮助组织了解潜在的攻击者、攻击方式、需要监控的指标以及需要优先考虑的风险。

威胁情报有哪四种类型？

主要有四种类型：战略威胁情报、运营威胁情报、战术威胁情报和技术威胁情报，每种类型都针对不同的安全和业务功能而设计。

威胁情报只对大型企业有用吗？

不是。小型组织也可以使用威胁情报，尤其可以通过托管服务、行业共享组织、安全工具和可信咨询机构来实现。关键在于相关性。少量针对性强的情报远比大量通用数据更有用。

威胁情报源和威胁情报是一样的吗？

不。威胁信息源提供原始指标或威胁数据，而威胁情报则在此基础上增加了上下文、分析和相关性。

威胁情报如何帮助防御勒索软件？

威胁情报可以识别勒索软件组织、初始访问方法、被利用的漏洞、受害行业、恶意软件基础设施以及常见的入侵后行为，从而帮助团队改进检测、确定补丁优先级并准备事件响应措施。

威胁情报如何帮助进行漏洞优先级排序？

威胁情报帮助团队根据漏洞的活动利用、暴露程度和攻击者的兴趣（而不仅仅是严重性）来确定漏洞的优先级。

什么是 MITRE ATT&CK？威胁情报与 MITRE ATT&CK 之间有什么关系？

MITRE ATT&CK 提供了一个结构化的攻击者策略和技术知识库。威胁情报团队使用它来一致地描述攻击者的行为、绘制攻击活动图谱并支持检测工程。

威胁情报和威胁狩猎有什么区别？

威胁情报解释相关的威胁和攻击者的行为，而威胁狩猎则主动搜索环境中的入侵迹象。

企业内部的威胁情报由谁负责？

所有权因组织而异。在一些组织中，威胁情报由SOC)负责；而在另一些组织中，则由专门的威胁情报团队、事件响应团队、安全运营团队或首席信息安全官 (CISO) 办公室负责。关键在于，威胁情报必须与使用它的团队紧密联系。

那么，威胁情报应该如何衡量呢？

有效的衡量指标包括：缩短调查时间、提高检测覆盖率、更好地确定漏洞优先级、加快事件范围界定、减少误报、改进高管报告，以及证明情报能够改变安全决策。