Entry № 1254
战术威胁情报
战术威胁情报 是什么?
战术威胁情报关于对手工具、指标和特征的短期、高度技术化情报,由 SOC 分析师和安全工具消费以检测和拦截攻击。
战术威胁情报是 CTI 中最底层、最技术化的部分。它提供原子化指标(哈希值、IP 地址、域名、URL、YARA 规则、Sigma 规则)以及对攻击者操作手法的简短描述,防御者可直接应用于 SIEM、EDR、防火墙和代理。由于攻击者很容易修改这些工件,战术情报保质期短,必须持续更新。它主要由 SOC 分析师、检测工程师和自动化平台通过 STIX/TAXII 或商业订阅消费。与 TTP 层面的洞察结合,可加速研判和规则调优。
● 示例
- 01
列出某恶意软件家族 C2 域名的 IoC 订阅。
- 02
用于内存中检测某特定加载器变种的 YARA 规则。
● 常见问题
战术威胁情报 是什么?
关于对手工具、指标和特征的短期、高度技术化情报,由 SOC 分析师和安全工具消费以检测和拦截攻击。 它属于网络安全的 防御与运营 分类。
战术威胁情报 是什么意思?
关于对手工具、指标和特征的短期、高度技术化情报,由 SOC 分析师和安全工具消费以检测和拦截攻击。
如何防御 战术威胁情报?
针对 战术威胁情报 的防御通常结合技术控制与运营实践,详见上方完整定义。
战术威胁情报 还有哪些其他名称?
常见的别称包括: 技术情报。