sentinel, Lab
技战法概述
威胁情报是安全运营的核心驱动力，为安全团队提供关于攻击者意图、战术、技术和工具的结构化信息。企业面临两个核心问题：
- 情报消费的被动化：仅被动接收外部情报源推送，缺乏主动生产和利用能力
- 情报与运营的脱节：获取的情报未能有效转化为可执行的检测规则和防护措施
情报金字塔
| 层级 | 内容 | 价值 |
|---|---|---|
| 决策情报 | 业务决策 / 风险评估 | 最高 |
| 战术情报 | TTP / ATT&CK 映射 / 攻击链 | 高 |
| 运营情报 | 攻击活动 / 漏洞利用趋势 | 中 |
| 技术情报 | IOC / IP / Domain / Hash / YARA | 基础 |
三阶段技战法
| 阶段 | 名称 | 关键目标 |
|---|---|---|
| 阶段一 | 情报采集与标准化处理 | 建立多源采集渠道，STIX 标准化 |
| 阶段二 | 情报消费与能力转化 | 自动分发至安全设备，转化为检测能力 |
| 阶段三 | 内部情报生产与闭环反馈 | 从安全运营中生产情报，形成闭环 |
核心问题
| 问题 | 表现 |
|---|---|
| 情报消费被动化 | 仅被动接收推送，情报源单一 |
| 情报与运营脱节 | IOC 未自动推送到安全设备 |
| 情报缺乏反馈机制 | 命中率无人跟踪，质量无法提升 |
| 内部经验未沉淀 | 安全事件处理经验未转化为情报 |