什么是网络威胁情报？

跳到主体内容

威胁情报是识别和分析网络威胁的过程。“威胁情报”一词可以指关于潜在威胁收集的数据或收集、处理和分析该数据以更好了解威胁的过程。威胁情报包括筛选数据、根据上下文检查数据以发现问题并针对发现的问题部署解决方案。

得益于数字技术，当今世界比以往任何时候都更加互联。但这种增加的连接性也带来网络攻击的风险增加，例如安全漏洞、数据盗窃和恶意软件。网络安全的一个关键方面是威胁情报。继续阅读以了解威胁情报是什么、为何如此重要以及如何应用。

什么是威胁情报？

威胁情报的定义有时会与其他网络安全术语混淆。最常见的是，人们将“威胁数据”与“威胁情报”混为一谈——但两者并不相同：

威胁数据是一个可能的威胁列表。
威胁情报着眼于更大的图景——通过质询数据和更广泛的背景来构建可以为决策提供信息的叙述。

从本质上讲，威胁情报使组织能够做出更快、更明智的安全决策。它鼓励在对抗网络攻击时采取主动而非被动的行为。

威胁情报为什么重要？

威胁情报是任何网络安全生态系统的重要组成部分。网络威胁情报计划（有时称为 CTI）可以：

防止数据丢失：通过结构良好的 CTI 计划，组织可以发现网络威胁并防止数据泄露释放敏感信息。
提供安全措施指导：通过识别和分析威胁，CTI 可发现黑客使用的模式，帮助组织实施安全措施以防范未来攻击。
告知他人：黑客每天都在变得更加聪明。为了跟上发展步伐，网络安全专家与 IT 社区分享他们所看到的策略，以创建集体知识库，从而打击网络犯罪。

威胁情报的类型

网络安全威胁情报通常分为三类：战略、战术和运营。我们来依次看看它们。

战略威胁情报：

这通常是为非技术受众（例如公司或组织的董事会）设计的高级分析。它涵盖了可能影响更广泛业务决策的网络安全主题，着眼于总体趋势和动机。战略威胁情报通常基于公开来源（例如媒体报道、白皮书和研究），这意味着任何人可以访问它们。

战术威胁情报：

它侧重于近期的未来，为技术更熟练的受众设计。它识别简单的危害指标 (IOC)，以允许 IT 团队搜索和消除网络中的特定威胁。IOC 包括错误 IP 地址、已知恶意域名、异常流量、登录警报或文件/下载请求增加等元素。战术情报是生成的最直接的情报形式，通常自动化进行。它的寿命通常很短，因为许多 IOC 很快就会过时。

运营威胁情报：

每一次网络攻击背后都有一个“谁”、“为什么”和“如何”。运营威胁情报旨在通过研究过去的网络攻击来回答这些问题，得出有关意图、时机和复杂性的结论。与战术情报相比，作战威胁情报需要更多资源，并且生命周期更长。这是因为网络攻击者无法像更改工具（例如特定类型的恶意软件）那样轻松更改战术、技术和程序（称为 TTP）。