第二章：利用 CTI 增强安全监控CH.02

安全监控团队中的角色

要了解 CTI 如何融入监控，我们首先必须关注人为因素。典型的监控团队是分层的，CTI 为每一层提供不同的服务：

管理警报过载

“警报疲劳”是网络安全中最令人衰弱的问题之一。当分析师每天受到数千个严重警报的轰炸时，就会发生脱敏。关键警告被遗漏，或者“误报”消耗了宝贵的时间。

CTI 解决警报过载的方法不是增加更多警报，而是丰富现有警报。与其向分析师呈现通用的“检测到恶意软件”警报，情报驱动的系统可以将该警报与外部数据关联起来。

如果入侵检测系统 (IDS) 标记了与可疑服务器的连接，CTI 可以立即验证该服务器目前是否处于活动状态并由已知的威胁行为者托管，或者它是否是一个现在良性的停放域名。通过自动抑制情报确认为低风险的警报（例如来自已知研究型大学的扫描活动），CTI 大大减少了队列，使分析师能够专注于高保真事件。

背景信息的力量

没有背景的警报仅仅是数据；有背景的警报是一个故事。CTI 在监控中的主要价值是提供通常需要数小时人工研究才能收集到的背景信息。

考虑防火墙拦截与外部 IP 地址连接的场景。

深度优先处理事件

并非所有警报都是平等的。访客 Wi-Fi 网络上的通用广告软件感染与域控制器上的潜在 Rootkit 风险不同。CTI 实现了“基于风险的优先级排序”。

通过将内部资产映射到外部威胁形势，监控团队可以动态调整警报的严重性。如果情报报告表明特定的勒索软件组织正在利用 VPN 集中器中的漏洞，那么任何与 VPN 异常相关的警报——即使是轻微的——都应提升为关键优先级。

CTI 允许 SOC 根据意图和能力而不仅仅是技术严重性评分来确定优先级。如果情报证实某个“中等”严重性的漏洞正被针对组织特定行业的攻击者在野外积极利用，那么该漏洞将变为“关键”。

场景：链接和增强通知

让我们研究一下 CTI 如何增强通知的实际工作流程：

分析师现在甚至在打开工单之前就已经有了行动指南。

加速忽略决策

知道不调查什么往往比知道调查什么更有价值。SOC 时间的很大一部分浪费在追逐“幽灵”上——看起来可疑的合法管理活动，或者是永远不会成功的扫描流量。

CTI 通过提供“白名单”情报来加速忽略决策（减少误报）。例如，如果针对向未知 IP 的大量数据传输触发了警报，CTI 可能会将该 IP 识别为 Microsoft 更新服务器或受制裁业务应用程序使用的内容分发网络 (CDN)。

此外，“负面情报”在这里也有帮助。如果警报针对情报来源确认几个月前已清理或关闭的入侵指标 (IoC) 触发，分析师可以降低事件的优先级，因为知道基础设施不再受对手控制。

超越初步筛选

虽然 CTI 对于分流至关重要，但其作用不仅限于初步筛选。它将 SOC 从守门员转变为猎人。

一旦扑灭了眼前的火灾，三级分析师就会使用 CTI 执行“回顾性分析”。他们利用新情报——也许是今天发布的关于六个月前使用的攻击技术的报告——并搜索历史日志。“我们三个月前是否看到过这种行为并错过了？”

这将监控带入了持续改进的领域。通过不断将新情报输入旧数据，监控团队确保最终检测到“无声”的失败。它创建了一个反馈循环，监控能力与对手同步发展，确保组织不仅仅是在盯着墙看，而是在积极扫描地平线。

第三章：危机管理中的 CTICH.03

持续存在的障碍

危机管理并非存在于真空中；它继承了组织安全态势的系统性弱点。CTI 有助于缓解这些持续存在的障碍，但首先必须了解它们。

被动处理的循环

没有情报，危机管理本质上是被动的。团队在漏洞被利用后才打补丁。他们在数据被泄露后才重置密码。这种“打地鼠”的方法既累人又无效，因为对手掌握着主动权。

减少危机中的下意识反应

恐慌会导致糟糕的决策，例如不必要地关闭关键业务收入流或擦除取证所需的证据。CTI 通过用事实代替恐惧来减少下意识反应。

预测可能的风险

CTI 将时间线向左移动。通过分析对手过去的活动，CTI 可以预测他们的下一步行动。如果已知攻击者在部署勒索软件之前会在网络中停留三天，并且他们在第一天就被发现，危机团队就知道他们有一个特定的干预机会窗口。

排列紧迫性

在大规模违规中，一切看起来都像是优先事项。CTI 根据对手的目标排列紧迫性。如果攻击者是出于经济动机，保护支付网关优先于电子邮件服务器。如果他们追求的是知识产权，研发数据库就成为主要的防线。

通过 CTI 加强危机管理

将 CTI 整合到危机工作流程中，将响应从技术演习转变为战略行动。

CTI 的实际应用

危机管理中 CTI 的核心特征

为了在危机中有效，CTI 必须坚持四个核心特征：

总之，CTI 充当网络危机风暴中的雷达。它使组织能够看穿混乱，预测对手的行动，并以精确和信心走向恢复。

第四章：应用 CTI 进行漏洞缓解CH.04

量化漏洞挑战

这些数字令人咋舌。每年披露成千上万个新漏洞，从晦涩软件中的小错误到普遍使用的操作系统中的关键缺陷。扫描工具在企业网络中运行，返回数千页的报告，列出每一个未打补丁的服务器和过时的应用程序。

面对如此庞大的工作量，团队通常默认采用“先进先出”的方法，或者只是尝试修补所有评级为“高”或“关键”的漏洞。然而，资源是有限的。试图修复每一个弱点是导致倦怠和操作瘫痪的根源。挑战不在于发现缺陷；挑战在于知道哪些缺陷重要。

并非所有未知缺陷都需要立即行动

情报主导缓解的核心前提很简单：并非所有漏洞都是平等的。漏洞仅仅是一个潜在的门。如果那扇门位于没人去的地下室，在锁着的栅栏后面，而且只有半个地球之外对你的大楼不感兴趣的人知道如何打开它，它需要立即修复吗？可能不需要。

CTI 有助于区分可能被利用的缺陷和正在被利用的缺陷。统计数据一致表明，只有一小部分已发布的漏洞会被攻击者武器化。很大一部分“关键”漏洞在野外没有已知的利用代码。投入紧急资源修补这些理论风险会分散对勒索软件活动中正在被积极利用的较低评级漏洞的注意力。

打补丁的紧迫性

紧迫性应由威胁现实决定，而不仅仅是供应商的严重性。CTI 将“威胁”变量注入风险方程。

如果 CTI 揭示 VPN 网关中的特定漏洞正被自动僵尸网络积极扫描，那么修补该特定网关的紧迫性就变得绝对必要。相反，需要物理访问机器才能触发的内部文档查看器中的关键缺陷可能会被降低优先级。CTI 允许团队创建一个根据对手行为变化的动态“待办事项”列表，确首先堵住最危险的漏洞。

通过可行性评估威胁

有缺陷的强度评分： 对漏洞进行排名的行业标准是通用漏洞评分系统 (CVSS)。虽然有用，但 CVSS 提供了技术严重性的衡量标准，而不是风险。一个漏洞可能因为允许远程代码执行而获得完美的 10.0 分，但如果触发它的条件极其复杂且不太可能，那么现实世界的风险就很低。这种对静态评分的依赖导致了优先级排序中的“有缺陷的强度评分”。

CTI 的演变：缺陷数据库

现代 CTI 已从简单的威胁源演变为全面的漏洞情报数据库。这些专门的来源跟踪缺陷的生命周期。它们监控：

• 概念验证 (PoC) 可用性： 研究人员是否发布了展示如何入侵的代码？
• 利用工具包包含： 此缺陷现在是否包含在暗网出售的自动黑客工具中？
• 行为者采用： 哪些特定群体正在使用此缺陷？

CTI 和真实威胁评估

缺陷的风险随时间变化。CTI 跟踪这一时间表，告诉修补团队何时该冲刺，何时该慢跑。

潜在利用和实际利用之间存在巨大鸿沟。“潜在”意味着代码有缺陷。“实际”意味着对手已经开发出滥用该缺陷的脚本并向目标开火。CTI 通过提供“野外利用”指标来弥合这一差距。当情报证实漏洞正从“潜在”转向“实际”时，缓解时间表从几周压缩到几小时。

场景：合并数据源

想象一家拥有 5,000 个端点的制造公司。CTI 如何过滤噪音？

行动： 他们没有试图修补 500 个缺陷，而是立即对这 50 台特定机器部署补丁或变通方案。他们用 10% 的努力有效地消除了最可能的攻击媒介。

协调团队和高管的观点

漏洞管理经常在安全部门（希望打补丁）和 IT 运营部门（希望保持正常运行时间）之间引起摩擦。CTI 充当中立仲裁者。

当安全部门要求打补丁需要重启服务器时，运营部门经常会推迟。然而，如果安全部门能出示一份情报报告，显示竞争对手昨天正是利用那个完全相同的未修补缺陷被入侵，对话就会改变。CTI 通过围绕业务风险和生存而非合规性复选框来构建讨论，从而协调高管、IT 和安全部门的观点。它提供了“为什么”来证明“修复”造成的中断是合理的。

第五章：领导角色的 CTI 策略CH.05

监督危险

有效的监督需要超越组织边界的视野。只看内部仪表板的领导者就像只看仪表板仪器开车的司机，忽略了前方的道路。CTI 提供了“挡风玻璃视图”，让领导者在障碍物、急转弯和迎面而来的车辆撞击车辆之前很久就能看到它们。

内部指标的局限性

传统上，安全领导层严重依赖内部指标：“我们拦截了多少病毒？”“我们安装了多少补丁？”“我们的正常运行时间是多少？”

虽然这些运营指标衡量了努力，但它们并未衡量风险。一个团队可以拦截 10,000 次自动扫描（高努力），但漏掉一次有针对性的入侵（高风险）。仅依赖内部数据会产生虚假的安全感。它创造了一个回音室，组织因打昨天的仗而沾沾自喜。

CTI 打破了这种孤立。它提供了外部基准。CTI 不会问“我们修补了一切吗？”，而是提示问题，“我们修补了特定对手目前正在利用的漏洞吗？”它将指标从“活动量”转变为“防御相关性”。

缩小优先级

没有哪个组织拥有无限的预算。领导层的主要职能是资源分配——决定在哪里下注。CTI 对于“缩小优先级”至关重要。

如果情报显示针对零售业的攻击中有 80% 涉及通过网络钓鱼窃取凭证，那么零售业 CISO 就会知道投资多因素认证 (MFA) 和反网络钓鱼培训比为很少成为目标的遗留协议购买昂贵的专用防火墙更为重要。CTI 允许领导者对好的想法说“不”，以便他们可以对关键的想法说“是”。

对策：人员、方法和系统

有效的防御依赖于三位一体：人员 (Staff)、流程 (Methods) 和技术 (Systems)。CTI 指导这些对策的平衡。

主动警报

对于领导层来说，“意外”就是失败。CTI 提供作为预警系统的“主动警报”。战略情报报告可以警告可能导致网络外溢的地缘政治不稳定，或其他地区可能刺激激进黑客主义的立法变化。例如，如果 CTI 确定激进黑客组织正在针对在特定地区开展业务的公司，CISO 可以在任何攻击发生之前主动向董事会和公共关系团队通报情况。这使组织能够提前准备危机沟通和防御姿态变更，将潜在危机转化为受控事件。

资源分配

预算防御往往是 CISO 最艰难的战斗。CFO 将安全视为成本中心。CTI 通过为“资源分配”提供基于证据的理由来改变叙述。

促进对话

由于“语言障碍”，安全部门经常与业务的其他部分隔离开来。CTI 充当翻译者，在技术团队和业务部门之间“促进对话”。当 CISO 使用威胁情报解释“对手 X 针对制药行业的知识产权以伪造药物”时，研发主管立即了解了其中的利害关系。它将对话从“IT 问题”转移到“业务保护”。这种共同理解促进了协作，使安全成为共同责任，而不是 IT 障碍。

赋能决策者

CTI 赋能决策者承担经过计算的风险。在商业中，完全的安全是不可能的；敏捷性是必需的。考虑并购 (M&A) 场景。企业想要收购一家较小的竞争对手。

弥合安全知识缺陷

董事会成员很少是网络专家。他们是金融、法律或运营方面的专家。CTI 通过将威胁置于背景中来弥合“知识缺陷”。给董事会的战略情报简报不应列出 CVE。它读起来应该像一份商业情报报告：“我们亚洲业务的主要威胁目前是由于即将举行的贸易峰会而引发的国家支持的间谍活动。我们已经增加了该地区的监控。”这种沟通水平建立了信任。当董事会了解威胁的性质时，他们更有可能支持防御策略。

利用见解实现卓越监督

最终，CTI 将领导层从“签署支票”的角色转变为“战略防御”。它允许 CISO 从消防员转变为将军。通过利用见解，领导层可以预测趋势，而不是对头条新闻做出反应。他们可以根据对手的能力衡量其计划的成熟度。卓越的监督意味着不仅知道你是安全的，而且知道你针对什么也是安全的。它创建了一个可辩护的安全策略——一个能够经受住审计员、监管机构和股东审查的策略，因为它是基于证据，而不是假设。

第六章：将 CTI 整合到危险评估中CH.06

结构化危险框架

要了解情报适用的位置，首先必须查看几乎所有结构化危险框架（如 NIST 或 ISO 27005）中使用的标准方程：风险 = 可能性 × 影响。

在许多组织中，这个方程的计算严重偏向于内部数据。可能性通常是基于内部历史猜测的（“我们以前没被黑过，所以可能性很低”）。影响是基于资产价值估算的（“此服务器保存客户数据，所以影响很高”）。

这种方法是有缺陷的，因为它忽略了外部环境。这就像只看家里的温度计来预测天气一样。CTI 通过提供准确衡量“威胁”组件所需的外部背景来完善框架，这直接驱动了可能性。由 CTI 增强的结构化框架将“可能性”进一步分解为威胁事件频率（攻击发起的频率如何？）和漏洞难度（他们成功的难度有多大？）。CTI 用关于对手能力和意图的硬数据填充这些变量。

强调指标和清晰度

主观性是有效危险评估的敌人。当一位分析师说风险为“高”而另一位说为“中”时，分歧通常是由于缺乏明确的定义。CTI 非常强调指标和清晰度来解决这个问题。

CTI 驱动的评估不使用“勒索软件风险很高”这种说法，而是使用精确的语言：“行动者组 X 有针对运输部门的已证实意图（可能性），并且他们拥有利用我们特定 VPN 集中器的能力（脆弱性）。”

这种清晰度允许进行“定量风险分析”。组织可以开始使用概率和财务数字，而不是模糊的颜色。CTI 提供数据集——例如针对同行组织的攻击频率——使风险管理者能够说，“根据当前的威胁趋势，未来 12 个月内发生勒索软件事件的概率为 30%”，而不仅仅是将电子表格单元格标记为红色。

CTI 在可能性估算中的作用

可能性是风险评估中最难确定的变量，而正是在这里 CTI 增加了最大的价值。没有情报，可能性仅仅是“可能”。任何事情都是可能的——流星可能会击中数据中心——但风险管理侧重于概率。

CTI 通过分析三个因素来提炼可能性估算：

通过基于这些情报输入动态调整可能性，风险评估成为活文档，而不是每年归档一次的静态报告。

CTI 和影响计算

虽然“影响”感觉像是一个纯粹的内部指标（停机成本、法律费用），但 CTI 在通过“损失幅度”分析验证这些计算方面发挥着至关重要的作用。

人类在估计灾难方面非常糟糕。我们往往要么灾难化，要么低估。CTI 通过提供类似受害者的案例研究，将影响计算建立在现实基础之上。

二次损失

CTI 还有助于计算“二次损失”。情报可以揭示特定攻击媒介的受害者经常面临随后的监管罚款或集体诉讼。通过考虑在其他违规行为中观察到的这些外部后果，组织可以获得潜在财务爆炸半径的真实图景。

总之，将 CTI 整合到危险评估中，将这一过程从合规性练习转变为战略工具。它确保当领导层问“我们面临多大风险？”时，答案是基于街头现实，而不仅仅是电子表格理论。

第七章：用于反欺诈计划的 CTICH.07

正面迎击对手

对抗欺诈需要从防御性监控转变为攻击性侦察。你不能等待欺诈交易发生；你必须识别其设置。正面迎击对手意味着在他们出击之前监控他们活动的领域。它涉及跟踪相似域名的注册，监控被盗凭证的销售，以及渗透出售欺诈工具包的社区。在欺诈领域，情报就是预防。

了解对手档案

要击败骗子，你必须了解他们的行当。欺诈对手与国家资助的间谍或混乱的激进黑客有很大不同。他们受经济利益驱动，通常规避风险，并且像企业一样运作。

地下网络和隐蔽市场

在线欺诈的引擎是地下经济。在暗网以及越来越多的 Telegram 等加密消息平台上，存在着一个活跃的市场。

CTI 分析师监控这些市场。如果组织的名称出现在“RDP 访问”的列表中，这是欺诈攻击或勒索软件部署的明确前兆。

专属群组

高端欺诈不对公众开放。精英网络犯罪集团在“专属群组”或封闭论坛中运作。进入通常需要审查或加密货币押金。在这些受信任的圈子里，复杂的计划被孵化出来，例如“鲸鱼网络钓鱼”（针对高净值个人）或协调的 ATM 提现。CTI 提供商经常维护虚假身份以获得进入这些群组的权限，收集关于新技术和目标的情报。

优势与弱点

对手具有匿名性和不对称性的优势——他们只需要成功一次，而防御者必须每次都成功。然而，他们也有弱点。每个欺诈计划都需要基础设施：接收资金的银行账户，托管虚假登录页面的域名，以及发送威胁的电子邮件地址。这些都会留下数字足迹。

• 操作安全 (OpSec) 失败： 罪犯经常在不同的论坛上重复使用密码或用户名，使分析师能够将暗网身份与现实世界的社交媒体档案联系起来。
• 提现瓶颈： 被盗资金必须被清洗。CTI 跟踪“骡子”账户和加密货币混合器的使用，通常允许执法部门拦截资金。

链接元素以进行欺诈防御

CTI 的力量在于“枢轴分析”——将一条数据链接到另一条数据以揭示整个网络。如果分析师发现一个网络钓鱼网站，他们不仅会屏蔽该 URL。他们会查看 WHOIS 数据、SSL 证书序列号和托管服务提供商。这可能揭示同一行为者注册了 50 个针对不同银行的其他域名。通过链接这些元素，组织可以屏蔽整个基础设施，而不仅仅是单个站点。

通过链接这些元素，组织可以屏蔽整个基础设施，而不仅仅是单个站点。

场景档案

在打击欺诈的斗争中，CTI 扭转了局面。它剥去了攻击者的匿名性并破坏了他们的基础设施，证明虽然你无法阻止罪犯撒谎，但你绝对可以阻止你的组织相信他们。

第八章：CTI 检查模型CH.08

对手破坏序列 (Cyber Kill Chain)

网络安全中最基础的模型广为人知的网络杀伤链，或称“对手破坏序列”。该模型由洛克希德·马丁公司开发，假设网络攻击不是单一事件，而是一个由七个不同阶段组成的线性过程。其核心理念很简单：如果防御者破坏了这些阶段中的任何一个，整个攻击链就会断裂，对手就会失败。

通过将事件映射到此序列，CTI 分析师可以确定他们在何时捕获了攻击。检测扫描（侦察）与检测数据离开网络（目标行动）截然不同。

破坏序列的缺点

虽然推出时具有革命性，但破坏序列在现代格局中有明显的局限性：

• 边界偏见： 专为外部“砸抢”式攻击设计。对内部威胁不太有效。
• 线性僵化： 攻击并不总是线性的。对手可能会通过 VPN 使用合法凭证完全跳过恶意软件安装。
• 以恶意软件为中心： 侧重于武器。现代“无文件”攻击使用内置系统工具（寄生攻击）。

多面对手图 (钻石模型)

为了解决现代威胁的复杂性，分析师经常转向入侵分析的钻石模型，或称“多面对手图”。与线性的破坏序列不同，此模型侧重于四个核心节点之间的关系：对手、基础设施、能力和受害者。

这四个节点由代表关系的线连接。对手使用基础设施针对受害者部署能力。

适应性与问题

该图表的主要优势在于其对“枢轴分析”的适应性。它允许分析师根据共同特征对入侵进行分组。如果分析师检测到针对受害者（节点 4）使用特定恶意软件能力（节点 3）的攻击，他们可以查看历史数据。“我们以前见过这种能力吗？”如果答案是肯定的，并且在前一种情况下它是由特定 IP 地址基础设施（节点 2）使用的，分析师可以推断当前攻击也可能使用该基础设施，或者是由同一对手（节点 1）进行的。此模型将分析转化为连接点的几何练习。

然而，钻石模型是资源密集型的。它需要一个成熟的 CTI 计划和庞大的历史数据库才能有效。对于没有历史日志的小型团队来说，知道“对手 X 使用能力 Y”是学术性的而非可操作的。此外，在处理“假定身份”或代理基础设施时，当对手节点隐藏在层层假旗之后时，可能会变得混乱。

对手战术目录 (MITRE ATT&CK)

CTI 检查的当前行业标准是 MITRE ATT&CK 框架，它作为一个全面的“对手战术目录”。虽然杀伤链描述阶段（高层），钻石模型描述关系，但战术目录详细描述了行为。它是黑客方法的巨大周期表，细分为战术（目标，例如“特权提升”）和技术（如何实现，例如“引导或登录自动启动执行”）。

目录将焦点从“什么击中了我们？”（静态指标如 IP 地址）转移到“他们是如何击中我们的？”（行为分类）。

行为分类

这种行为分类至关重要，因为：

总之，这些模型并非相互排斥；它们是互补的。破坏序列帮助高管了解时间表，多面图帮助分析师发现联系，战术目录帮助工程师建立具体防御。它们共同构成了 CTI 观察战场的透镜。

第九章：启动您的 CTI 计划CH.09

避免从原始数据流开始

新 CTI 计划中最常见的错误是“源优先”谬误。组织订阅多个威胁源——恶意 IP 和哈希列表——并将其直接导入其 SIEM（安全信息和事件管理）系统。

结果几乎总是灾难性的。安全团队瞬间被成千上万的误报淹没。防火墙阻止 IP 地址不是情报；这是防火墙规则。没有背景，原始数据流是噪音，不是信号。CTI 计划绝不应从数据获取开始；它必须从制定问题开始。

定义 CTI 需求和目标

在购买任何工具之前，组织必须定义其“优先情报需求” (PIRs)。这是领导层为了管理风险需要回答的高级问题。如果你不知道你在找什么，你就找不到它。需求驱动收集。

要解决的关键问题

为了确立这些需求，CTI 团队必须采访整个业务的利益相关者。他们必须解决关键问题：

• 我们的“皇冠上的宝石”是什么？ 是客户数据、专有算法还是制造正常运行时间？
• 我们的风险承受能力是多少？ 我们能承受 4 小时的停机时间，还是 4 分钟？
• 什么让 CISO 彻夜难眠？ 是数据泄露、监管罚款还是国家级攻击？

这些问题的答案构成了计划的指南针。如果“皇冠上的宝石”是研发数据库，CTI 团队将其收集重点放在工业间谍活动行为者上，忽略通用的银行木马。

确定高影响力群体

CTI 计划无法立即为每个人服务。至关重要的是确定组织内的高影响力消费群体，并为他们量身定制初始输出。

成就的关键要素

三个支柱支持 CTI 计划：人员、流程和技术。

通过监督取得早期成功

为了获得长期资金，计划必须迅速展示价值。这是通过“速赢”实现的。

尽可能精简运营

随着计划的发展，手动任务成为瓶颈。将 IP 地址从 PDF 复制粘贴到防火墙是浪费人才。精简涉及自动化枯燥的工作。如果报告了钓鱼邮件，脚本应该自动提取 URL，对照声誉引擎（如 VirusTotal）进行检查，并更新工单。这释放了人类分析师去确定是谁发送了邮件以及为什么。

将 CTI 嵌入工作流程和系统

生活在门户中的情报是垂死的情报。CTI 必须嵌入到团队已经使用的工具中。

• 对于 SOC： 将指标直接推送到 SIEM 监视列表。
• 对于应急响应： 将威胁档案集成到票务系统（如 Jira 或 ServiceNow）中。
• 对于高管： 通过电子邮件或移动仪表板提供简报，而不是他们会忘记的单独登录。

目标是降低消费摩擦。如果用户必须点击五次才能看到情报，他们就不会使用它。

寻求专家指导以建立内部技能

寻求帮助并不丢人。建立一个成熟的计划需要数年时间。组织可以通过寻求专家指导来加速这一进程。这可能意味着聘请顾问帮助定义 PIR，或引入托管服务提供商 (MSP) 处理日常源策展，而内部团队专注于战略分析。外部指导的目标应该是知识转移——建立内部力量，以便组织最终能够自给自足。

从小处着手，逐步扩展

启动 CTI 计划的口号是“大处着眼，小处着手”。不要试图跟踪世界上的每一个 APT 组织。从跟踪最有可能攻击你特定行业的三个组织开始。不要试图立即制作每日、每周和每月的报告。从一份扎实的双周摘要开始。

一个提供准确、及时和相关情报的适度计划绝对优于一个提供噪音的庞大计划。信任是情报的货币；它是点滴积累而成的，却可能瞬间流失。通过从小处着手并确保高质量，CTI 团队建立了随着时间推移扩大其范围和影响力所需的信誉。

第十章：组建主要 CTI 团队CH.10

专注而融合

最成功的 CTI 团队在一个悖论上运作：他们必须专注，但又要融合。为了产生公正的评估，CTI 团队需要一定程度的独立性。他们必须能够客观地分析威胁，而不受出于政治原因“淡化”风险的压力。然而，孤立是致命的。坐在没有窗户的房间里制作没人阅读的报告的 CTI 团队是一项失败的投资。

该团队必须深入融合到安全组织的结构中。他们应该参加 SOC 站立会议，参与红队规划会议，并列席漏洞管理会议。这种融合确保了他们的情报需求与业务的运营现实保持一致。

偏向于专门的单位

在成熟的早期阶段，组织通常将 CTI 职责作为“副业”分配给现有员工——要求 SOC 分析师在停机时间“做一些情报工作”。这种方法很少成功。情报分析需要与事件监控不同的思维空间。

监控通常是被动且快节奏的（清空队列）。情报是主动的、深入的，并且需要持续的专注。在处理工单和研究对手基础设施之间不断切换会导致倦怠，并在两个领域都产生平庸的结果。强烈倾向于建立一个专门的单位。即使只是一名全职人员，专门为 CTI 设立一个角色也可以发展所需的专门手艺和长期跟踪，以了解持久性威胁。

基于组织结构的安置

CTI 团队应该坐在哪里？答案取决于组织的目标。

基本技能

在为 CTI 团队招聘时，技术能力是必要的，但还不够。你可以教一个聪明人如何使用 TIP 或如何阅读 PCAP；你无法轻易教他们如何批判性思考。

背景的多样性是一项巨大的资产。将计算机科学家与政治科学家、记者或前执法人员混合在一起的团队通常优于完全由程序员组成的团队，因为他们通过不同的镜头看待威胁。

CTI 的类别

团队必须结构化以交付三类主要情报：

• 战略： 高管的高层趋势。（所需技能：商业敏锐度和地缘政治分析）。
• 运营： 威胁猎人的 TTP 和行为。（所需技能：取证和详细技术分析）。
• 战术： 自动化系统的 IoC。（所需技能：数据工程和脚本编写）。

获取和增强威胁细节

人类优势

技术收集数据；人类获取情报。CTI 中的“人类优势”是在灰色地带导航的能力。自动爬虫可以抓取暗网论坛，但需要人类分析师来理解俚语、检测讽刺，或意识到正在出售的“新”勒索软件实际上是针对其他罪犯的骗局。

补充渠道与合并输入

主要 CTI 团队不应仅依赖内部日志。他们必须培养补充渠道，如 OSINT、HUMINT 和 TECHINT。当这些输入合并时，奇迹就会发生。

合并这些输入允许团队增强威胁细节。他们不仅可以告诉 CISO 存在漏洞，还可以告诉该漏洞已被武器化、可用且有针对性。

自动化的贡献

面对大量的威胁，CTI 团队无法手动处理所有事情。自动化的贡献是处理数量，以便人类处理价值。自动化应处理摄取、丰富和分发。这释放了分析师专注于“竞争假设分析” (ACH) 和复杂调查。

与 CTI 网络协作

最后，没有 CTI 团队是一座孤岛。对手分享信息；防御者也必须这样做。与 CTI 网络（如信息共享和分析中心 (ISAC) 或私人信任小组）合作是一种力量倍增器。CTI 团队必须是这些网络的积极参与者。只索取（只消费）的人最终会被排斥；给予者（贡献目击和分析）建立社会资本，在危机期间获得回报。通过组建一个平衡技术技能与批判性思维、自动化枯燥工作并广泛合作的团队，组织建立了一种有弹性、响应迅速且受人尊敬的 CTI 能力。

结论完

指南的基本见解

在这些章节中，出现了几个核心主题，作为成功 CTI 计划的支柱：

优先处理相关危险

本指南最重要的收获之一是从“全面安全”向“威胁知情安全”的转变。组织经常耗尽精力试图修补每个漏洞并阻止每个潜在的攻击媒介。这种方法是不可持续且低效的。

CTI 允许领导层优先处理相关危险。通过了解针对您行业和地理位置的特定对手，您可以做出无情的优先级决策。

提高生产力以增强防御

最后，我们必须认识到 CTI 是生产力倍增器。在一个饱受倦怠和警报疲劳困扰的行业中，CTI 是节省时间的过滤器。

• 对于 SOC： 通过驳回良性流量减少误报。
• 对于应急响应： 通过提供对手的行动指南 (TTPs) 加速遏制。
• 对于领导层： 通过消除恐惧、不确定性和怀疑 (FUD) 来简化决策。

对手不断进化、分享信息并调整战术。为了跟上步伐，我们也必须这样做。通过建立一个专注、融合且以人为本的 CTI 能力，您的组织不仅建立了一堵更高的墙；还建立了一个更聪明的防御。

附录：CTI 目标与摘要APX

本附录作为本书涵盖的核心概念、模型和目标的快速参考指南。使用此摘要来审核您当前的 CTI 计划或培训新团队成员。

三个情报级别 (受众)

情报周期 (流程)

关键分析模型 (框架)

风险评估公式

关键成功因素

• 从小处着手： 别想一口吃成胖子。从一个利益相关者开始。
• 定义需求： 没有 PIR 绝不收集数据。
• 自动化数量： 使用工具进行摄取。
• 人性化价值： 使用分析师进行复杂评估。
• 协作： 加入 ISAC 并分享情报。