威胁情报按用途大致分为几类：战略情报描述整体态势与趋势，用于决策与投入方向；运营情报说明攻击者的目标行业与常用手法，用于防御重点安排；战术情报描述攻击者的技术与工具，用于检测规则设计；技术情报则是具体的地址、域名和文件特征，用于即时匹配与封禁。不同层级的情报服务对象不同，混用会导致效果打折。
有效的做法是先明确要支持哪些决策：是判断某个漏洞是否需要紧急处置，是决定某个行业的攻击趋势是否影响自身，还是需要立即批量封禁一批地址。没有问题牵引的情报订阅，最终只会变成一个无人查看的列表。
第一，评估。从时效性、准确性、相关性三个维度评估情报质量。过期的技术特征价值有限，与本行业无关的情报优先级应降低。
第二，映射。把情报与本地资产和检测能力对应起来。某个漏洞被利用的情报，需要确认自身是否存在该组件、是否暴露在互联网、是否有可用检测手段。
第三，转化。把战术情报写成检测规则或狩猎线索，把技术特征接入匹配与封禁流程。转化后应验证规则是否真的能命中，避免只入库不生效。
第四，回溯。新增规则或特征后，应回溯历史数据，查看过去一段时间是否存在相关痕迹。这一步经常能发现之前遗漏的活动。
第一，直接批量封禁未经确认的技术特征，造成业务误伤。合理的做法是先观察匹配情况，确认无业务影响后再实施阻断。
第二，只关注技术特征而忽略战术情报。地址和域名会快速更换，而手法相对稳定，后者的价值更持久。
第三，情报与资产数据脱节。不知道自身有什么，就无法判断情报是否相关。
第四，缺少反馈。检测规则的命中情况应回流到情报评估，形成筛选机制。
可以跟踪几项指标：情报转化为检测规则的数量与命中率、由情报触发的处置数量、以及情报预警与内部发现之间的时间差。时间差越小，说明情报运营越有效。对于长期没有产生任何价值的订阅源，应考虑替换而不是继续付费。
威胁情报的价值不在订阅清单的长度，而在它改变了多少决策和检测动作。以决策问题为起点，通过评估、映射、转化和回溯形成循环，情报才能真正进入日常运营。
售后客服
企业微信
