威脅情報是對現(xiàn)有或即將發(fā)生的針對資產有威脅的了解，包括情景、機制、指標、影響和可操作的建議等，可以為主體提供應對威脅的策略。威脅情報顛覆了傳統(tǒng)的安全防御思維，將傳統(tǒng)的被動防御轉變?yōu)橹鲃臃烙?。威脅情報主要幫助安全管理人員及時了解系統(tǒng)的安全態(tài)勢，并對威脅動向做出合理的預判。
威脅情報的作用
1、安全模式突破和完善
基于威脅情報的防御思路是以威脅為中心的，因此，需要對關鍵設施面臨的威脅做全面的了解，建立一種新型高效的安全防御體系。這樣的安全防御體系往往需要安全人員對攻擊戰(zhàn)術、方法和行為模式等有深入的理解。
2、應急檢測和主動防御
基于威脅情報數(shù)據(jù)，可以不斷創(chuàng)建惡意代碼或行為特征的簽名，或者生成NFT(網絡取證工具)、SIEM/SOC（安全信息與事件管理/安全管理中心）、ETDR（終端威脅檢測及響應）等產品的規(guī)則，實現(xiàn)對攻擊的應急檢測。如果威脅情報是IP、域名、URL等具體上網屬性信息，則還可應用于各類在線安全設備對即有攻擊進行實時的阻截與防御。
3、安全分析和事件響應
安全威脅情報可以讓安全分析和事件響應工作處理變得更簡單、更高效。例如，可依賴威脅情報區(qū)分不同類型的攻擊，識別出潛在的APT高危級別攻擊，從而實現(xiàn)對攻擊的及時響應;可利用威脅情報預測既有的攻擊線索可能造成的惡意行為，從而實現(xiàn)對攻擊范圍的快速劃定；可建立威脅情報的檢索，從而實現(xiàn)對安全線索的精確挖掘。
威脅情報的四種類型
1、戰(zhàn)略威脅情報(Strategic Threat Intelligence)
提供一個全局視角看待威脅環(huán)境和業(yè)務問題，它的目的是告知執(zhí)行董事會和高層人員的決策。戰(zhàn)略威脅情報通常不涉及技術性情報，主要涵蓋諸如網絡攻擊活動的財務影響、攻擊趨勢以及可能影響高層商業(yè)決策的領域。
2、運營威脅情報(Operational Threat Intelligence)
與具體的、即將發(fā)生的或預計發(fā)生的攻擊有關。它幫助高級安全人員預測何時何地會發(fā)生攻擊，并進行針對性的防御。
3、戰(zhàn)術威脅情報(Tactical Threat Intelligence)
關注于攻擊者的TTP，其與針對特定行業(yè)或地理區(qū)域范圍的攻擊者使用的特定攻擊向量有關。并且由類似應急響應人員確保面對此類威脅攻擊準備好相應的響應和行動策略。
4、技術威脅情報(Technical Threat Intelligence)
主要是失陷標識，可以自動識別和阻斷惡意攻擊行為。
近年來，威脅情報行業(yè)發(fā)展迅速。企業(yè)通過建立威脅情報中心，可以從網絡犯罪、信譽數(shù)據(jù)庫、漏洞、惡意軟件等多個角度滿足不同用戶的特定需求。威脅情報的關鍵在于實現(xiàn)情報信息的共享，只有建立威脅情報共享機制，讓有價值的情報有效流通，才能真正建立威脅情報生態(tài)系統(tǒng)。