1. 威胁情报基础：到底什么是威胁情报？

大家好，我是老周。做安全这行十几年了，我见过太多团队买了天价设备，却还是被攻击打得措手不及。为什么？说白了，就是缺情报。

今天咱们聊聊威胁情报的基础。嗯，这部分内容虽然基础，但你要是理解透了，后面的狩猎工作会顺手很多。

1.1 什么是威胁情报？

官方定义我就不念了。我个人理解，威胁情报就是能帮你做决策的证据性知识。

举个例子：你收到一封邮件，说「检测到IP 1.2.3.4在扫描你」。这是数据，不是情报。但如果告诉你「这个IP属于某APT组织，他们最近在针对金融行业，建议立即封禁并排查内网」，这才是情报。

我在项目中遇到过不少团队，把一堆IP和域名堆在Excel里，管这叫「情报库」。其实那只是原始数据，离情报还差得远。

1.2 威胁情报生命周期

你想想看，情报不是天上掉下来的。它有一个完整的生命周期。我习惯把它分成六个阶段：

1. 需求定义：先搞清楚你要什么。比如「我想知道针对我们行业的钓鱼攻击手法」。
2. 收集：从各种渠道获取原始数据。开源情报、商业情报、内部日志，都算。
3. 处理：把原始数据变成机器可读的格式。去重、格式化、标准化。
4. 分析：这是最关键的环节。把处理后的数据关联起来，找出模式和意图。
5. 分发：把分析结果推送给需要的人。可能是SIEM、防火墙，也可能是邮件报告。
6. 反馈：收集使用效果，优化下一轮的情报生产。

1.3 情报的四种类型

情报按用途可以分为四类。我刚开始接触时也觉得分类很绕，后来用了一个比喻就清楚了：

类型	英文	面向谁	举个例子
战略情报	Strategic	高管、决策层	「地缘政治紧张，某国可能加大对我国关键基础设施的攻击」
战术情报	Tactical	安全运营团队	「攻击者使用鱼叉式钓鱼，附件是伪装成发票的恶意宏文档」
运营情报	Operational	威胁狩猎、应急响应	「该组织使用C2服务器xxx.xxx.xxx.xxx，通信协议为HTTPS，心跳间隔60秒」
技术情报	Technical	分析师、自动化工具	「恶意样本MD5: a1b2c3d4，使用的漏洞CVE-2023-xxxx，YARA规则如下」

为什么会这样分？因为不同角色需要的信息粒度不一样。你让CEO看YARA规则，他肯定一头雾水。你让分析师看地缘政治报告，他也觉得不接地气。

1.4 怎么判断情报好不好？

好的情报有几个特征，我总结为「三要一不要」：

• 要及时：过期的情报比没有情报更危险。你拿着去年的IOC去查今天的攻击，纯属浪费时间。
• 要准确：误报率要低。我见过一些商业情报源，误报率高达30%，用了反而增加工作量。
• 要可操作：情报必须能转化成具体动作。比如「封禁这个IP」「更新这条规则」「排查这个进程」。
• 不要脱离上下文：光给一个IP没有意义，要说明这个IP是谁在用、什么场景、置信度多高。

1.5 情报从哪里来？

情报来源很多，我一般分成三类：

• 开源情报（OSINT）：免费的，比如VirusTotal、AlienVault OTX、Twitter上的安全账号。优点是成本低，缺点是质量参差不齐。
• 商业情报：付费的，比如Recorded Future、Anomali、ThreatConnect。优点是质量高、更新快，缺点是贵。
• 内部情报：你自己产生的，比如历史告警、蜜罐数据、内部威胁分析。这是最贴合你环境的，但需要投入人力去生产。

我个人建议，初期先用开源情报练手，等团队成熟了再考虑商业情报。别一上来就买最贵的，用不起来就是浪费。

1.6 一个简单的例子

说了这么多，咱们看个实际场景。假设你是一家银行的威胁分析师：

1. 需求：想知道最近有没有针对银行的勒索软件攻击。
2. 收集：从Twitter、安全博客、内部蜜罐收集相关IOC。
3. 处理：把收集到的IP、域名、Hash去重，格式化成STIX标准。
4. 分析：发现某个IP在多个来源中出现，且关联到LockBit 3.0。
5. 分发：把情报推送到防火墙和EDR，自动封禁该IP，并生成告警。
6. 反馈：一周后检查，发现该IP没有再出现，确认封禁有效。

你看，这就是一个完整的情报生命周期。每一步都不可或缺。

嗯，这一章就到这里。下一章咱们聊聊怎么搭建一个简单的情报收集管道。到时候我会分享一些我踩过的坑，保证实用。