1. 威胁情报基础：定义、分类与生命周期模型
大家好，欢迎来到威胁情报狩猎与溯源实战的第一章。
说实话，很多人一听到「威胁情报」这四个字，就觉得特别高大上。好像是什么机密组织在搞的黑客追踪术。其实没那么玄乎。
我个人理解，威胁情报就是——能帮你做安全决策的证据。
你想想看，如果你只知道一个IP地址在扫描你，那是数据。但如果你知道这个IP属于某个APT组织，他们最近在针对你的行业钓鱼，那就是情报。区别在哪？在于上下文和可操作性。
1.1 威胁情报的定义
官方定义有很多版本。Gartner的说法是：威胁情报是关于IT或信息资产面临的现有或潜在威胁的、基于证据的知识。包括上下文、机制、指标、影响和建议。
嗯，太绕了。我一般跟团队这么讲：
威胁情报 = 威胁数据 + 上下文分析 + 行动建议
说白了，就是告诉你「谁在打你、用什么打、为什么打、以及你该怎么防」。
我在项目中遇到过不少甲方，买了各种威胁情报源，结果每天收到几万条告警。为什么？因为他们拿到的只是数据，不是情报。没有经过筛选和关联的数据，反而是噪音。
1.2 威胁情报的分类
情报分类有很多维度。我个人习惯按使用层级来分，这样更贴近实战。业界主流分四类：战略、战术、运营、技术。
| 分类 | 受众 | 内容特点 | 时效性 |
|---|---|---|---|
| 战略情报 | CISO、高管 | 地缘政治、行业趋势、攻击者动机 | 月/季度 |
| 战术情报 | 安全分析师 | TTPs、攻击手法、工具使用 | 周/月 |
| 运营情报 | 蓝队、SOC | 攻击活动、团伙动向、基础设施 | 天/周 |
| 技术情报 | 检测工程师 | IOC（IP、域名、Hash） | 小时/天 |
1.2.1 战略情报
这类情报最「虚」，但也最值钱。它不告诉你具体哪个IP在攻击，而是告诉你「为什么有人要攻击你」。
举个例子。我记得有一次帮一家能源公司做威胁评估。技术层面看，他们防护做得不错。但战略情报显示，某个国家级APT正在针对该国能源基础设施进行长期渗透。这个信息直接改变了他们的安全策略——从「防脚本小子」升级到「防APT」。
战略情报的坑在哪？我曾经见过一些报告，通篇都是「某国黑客组织威胁上升」这种正确的废话。真正好的战略情报，一定要结合你的业务场景。
1.2.2 战术情报
这类情报我最喜欢。它讲的是攻击者的手法——TTPs（战术、技术、流程）。
比如，某个勒索软件团伙喜欢用RDP爆破进入内网，然后用PsExec横向移动。这就是战术情报。知道了这个，你就可以针对性地部署RDP登录审计和PsExec的监控规则。
我的建议：战术情报是溯源的核心。如果你只知道IOC，攻击者换个IP你就抓瞎了。但如果你知道他的TTPs，他换一百个IP你也能认出来。
1.2.3 运营情报
运营情报介于战术和技术之间。它关注的是具体的攻击活动。
比如：「APT29近期使用了一个新的C2域名，针对疫苗研究机构进行钓鱼攻击。」这就是运营情报。它告诉你谁在行动、目标是谁、用了什么基础设施。
我在做威胁狩猎时，最依赖的就是运营情报。它能帮我快速缩小排查范围。
1.2.4 技术情报
技术情报就是大家最熟悉的IOC——IP、域名、URL、文件Hash。这是最「硬」的情报，可以直接喂给防火墙、EDR、SIEM。
但这里有个大坑：技术情报的时效性极短。
注意：一个恶意IP的平均存活时间可能只有几小时到几天。我曾经见过有人把三个月前的IOC导入防火墙，结果误封了一堆正常业务。技术情报必须自动化、实时化才有意义。
1.3 情报生命周期模型
情报不是静态的。它有一个从产生到消亡的过程。业界最经典的模型是情报生命周期，通常包含6个阶段。
- 需求定义——你要解决什么问题？
- 收集——从哪获取原始数据？
- 处理——清洗、格式化、去重。
- 分析——关联上下文，提炼出情报。
- 分发——推送给需要的人或系统。
- 反馈——效果如何？是否需要调整？
很多人觉得这个模型太理论。其实不然。我举个真实案例。
有一次，我们需要追踪一个针对金融行业的钓鱼团伙。
- 需求定义：搞清楚他们的钓鱼手法和基础设施。
- 收集：从沙箱、邮件网关、暗网论坛收集样本和域名。
- 处理：提取出所有域名、IP、证书指纹。
- 分析：发现他们喜欢用相似域名（比如bank0famerica.com），并且所有域名都解析到同一个C2服务器。
- 分发：把域名列表推给DNS防火墙，把C2 IP加入封禁列表。
- 反馈：一周后，发现该团伙换了新的域名和IP。我们根据之前的TTPs，又抓到了新的一批。
你看，这个循环一直在转。情报的价值就在于持续迭代。
核心要点：没有反馈的情报是死的。很多团队只做到「分发」就停了，结果下次攻击来了还是手忙脚乱。一定要建立反馈机制，让情报越用越准。
1.4 避坑指南
最后，分享几个我踩过的坑。
- 不要迷信情报源：我曾经同时接了5个商业情报源，结果重复率超过60%。选1-2个高质量的，比堆数量强。
- 不要忽略内部情报：很多团队只关注外部威胁情报，却忘了自己内部的安全日志就是最好的情报来源。你被攻击过，那就是最真实的情报。
- 不要追求100%准确：情报永远有噪音。我见过有人花大量时间清洗数据，结果错过了攻击窗口。接受一定的误报，用自动化手段快速过滤。
好了，第一章就到这里。下一章我们会深入讲情报收集的实战技巧，包括如何搭建自己的情报收集管道。到时候见。