战略威胁情报.

战略威胁情报处于经典三层模型(战略、运营、战术)的顶端,它把复杂的威胁态势转化为对业务有意义、面向非技术高层的洞见。它关注攻击者的动机、地缘政治、行业特定的风险趋势、监管变化以及威胁未来可能的演进方向,而不是驱动日常检测的 IOC 与 TTP。

它通过情报循环(规划指引、采集、处理、分析、分发、反馈)产出,融合多源素材:OSINT、厂商与 ISAC 的成品报告、政府通告(CISA、英国 NCSC、ENISA)以及公开的地缘政治分析。其产物是叙述性报告、仪表盘和董事会简报,用于制定安全战略、论证预算、界定风险偏好,并影响并购或供应链决策。例如,一揽子制裁或一场新的冲突,往往会可靠地重塑与国家相关的攻击者的活动,而战略级 CTI 会在这种联系抵达 SOC 之前就将其点明。

与按分钟刷新的战术情报源不同,战略情报以周到季度的节奏运行。它要求分析师兼具网络安全深度、结构化的分析技艺、业务素养与地缘政治视野——更接近情报分析师,而非 SOC 工程师。

flowchart TD
  G[地缘政治、OSINT、政府通告] --> IC[情报循环]
  TAC[战术层: IOC] --> IC
  OPS[运营层: 攻击活动与 TTP] --> IC
  IC --> STR[战略分析]
  STR --> BRF[董事会简报与报告]
  BRF --> DEC[战略、预算、风险偏好]