Entry № 1273
威胁情报
威胁情报 是什么?
威胁情报关于威胁与威胁行为者的、基于证据的知识——包含指标、TTP 和背景——用于指导安全决策与检测。
威胁情报是对攻击者、其动机、能力与基础设施的信息进行有组织的采集、加工、分析与分发。通过添加背景、可信度和目标受众,把原始数据(恶意样本、IP、域名、泄露凭据、暗网情报、漏洞报告)转化为可行动的情报。组织通常通过订阅源(STIX/TAXII、MISP)、威胁情报平台(TIP)、厂商报告和 ISAC 共享获取情报,用于丰富 SIEM 与 EDR 检测、指导补丁优先级和管理层风险决策。按受众和时间维度可分为战略级、运营级和战术级三类。
● 示例
- 01
某 ISAC 在新勒索软件分支发起攻击前数小时共享相关 IoC。
- 02
TIP 为 SIEM 事件添加攻击者归属、MITRE ATT&CK 技术编号和可信度评分。
● 常见问题
威胁情报 是什么?
关于威胁与威胁行为者的、基于证据的知识——包含指标、TTP 和背景——用于指导安全决策与检测。 它属于网络安全的 防御与运营 分类。
威胁情报 是什么意思?
关于威胁与威胁行为者的、基于证据的知识——包含指标、TTP 和背景——用于指导安全决策与检测。
如何防御 威胁情报?
针对 威胁情报 的防御通常结合技术控制与运营实践,详见上方完整定义。
威胁情报 还有哪些其他名称?
常见的别称包括: TI, 威胁情报。