威胁情报.

威胁情报是对攻击者、其动机、能力与基础设施的信息进行有组织的采集、加工、分析与分发。通过添加背景、可信度和相关受众,把原始数据(恶意样本、IP、域名、泄露凭据、暗网情报、漏洞报告)转化为可行动的情报。大多数情报项目都会运行某种形式的情报循环——方向、采集、加工、分析、分发和反馈——从而使产出与具体决策挂钩,而非停留在原始订阅源。

一个实用的优先级模型是 David Bianco 的 Pyramid of Pain(痛苦金字塔,2013):按攻击者更改某类指标的痛苦程度对其排序。哈希值和 IP 地址位于底部(可轻易轮换),往上依次是域名、主机与网络工件、工具,顶端则是 TTP——攻击者难以轻易舍弃的行为。在 TTP 层面进行检测(映射到 MITRE ATT&CK)带来的代价远高于封堵一个一次性 IP。组织通过结构化格式与订阅源交换情报——STIX/TAXII、MISP、厂商报告和行业 ISAC——用于丰富 SIEM 与 EDR 检测、指导补丁工作(例如将 CISA KEV 条目与暴露资产关联)以及支撑管理层的风险决策。情报通常按受众和时间维度分为战略、运营和战术三个级别;这门学科的价值取决于相关性、及时性和准确性,而非指标的数量。

flowchart LR
  A[方向<br/>情报需求] --> B[采集<br/>feeds、OSINT、暗网]
  B --> C[加工<br/>归一化、去重]
  C --> D[分析<br/>背景、归属、ATT&CK]
  D --> E[分发<br/>STIX/TAXII、TIP、报告]
  E --> F[消费方<br/>SIEM、EDR、IR、高管]
  F --> A