Entry № 859
运营威胁情报
运营威胁情报 是什么?
运营威胁情报中期情报,描述具体攻击活动、威胁行为者及其 TTPs,帮助防御者做好准备、开展威胁狩猎并优先安排控制。
运营威胁情报介于战略与战术之间。它描述谁正在攻击本组织、有哪些活跃的攻击活动、攻击者偏好的 TTPs 以及基础设施的构建方式。产出包括威胁行为者画像、攻击活动时间线、杀伤链叙述、MITRE ATT&CK 映射以及狩猎假设。检测工程师、威胁猎手、应急响应人员和 CTI 负责人据此推动主动防御,而非被动研判。运营情报的时效为数周到数月,通常通过 OSINT、厂商报告、事件复盘和暗网监控获得。
● 示例
- 01
某勒索集团画像,描述其通过有漏洞的 VPN 获得初始访问并使用 Cobalt Strike。
- 02
针对滥用某云存储跳转链接的钓鱼活动报告。
● 常见问题
运营威胁情报 是什么?
中期情报,描述具体攻击活动、威胁行为者及其 TTPs,帮助防御者做好准备、开展威胁狩猎并优先安排控制。 它属于网络安全的 防御与运营 分类。
运营威胁情报 是什么意思?
中期情报,描述具体攻击活动、威胁行为者及其 TTPs,帮助防御者做好准备、开展威胁狩猎并优先安排控制。
如何防御 运营威胁情报?
针对 运营威胁情报 的防御通常结合技术控制与运营实践,详见上方完整定义。