什么是网络威胁情报？

本文讨论网络威胁情报（CTI）的含义、组成和类型，以及它在网络风险环境中的作用。

网络威胁情报是什么？

网络威胁情报（Cyber Threat Intelligence，简称 CTI）是对当前或潜在网络威胁进行收集、分析和共享的信息工作。它帮助组织理解威胁的性质，并在事件发生前采取防御措施。通过研究潜在攻击、攻击者的策略、技术和流程（TTP），以及全球网络安全趋势，CTI 让组织能够更早看见风险。

CTI 的价值不只是产生更多告警，而是为告警提供背景。安全团队可以据此更好地发现、分析和响应威胁。与依赖自动告警或静态特征的传统检测不同，CTI 试图帮助组织理解威胁环境，并据此预判可能的攻击路径。

为什么网络威胁情报重要？

• 主动防御：及时、准确的情报让组织在攻击发生前采取预防措施，降低入侵成功的可能性。
• 改善整体安全态势：组织能够看清自己面对的威胁，并部署与实际风险相匹配的控制措施。
• 加快事件响应：了解攻击性质、影响范围和攻击手法，可以加速遏制、修复与恢复。
• 降低风险：组织可以评估新威胁可能造成的后果，把资源投入最需要的位置。
• 协作与共享：组织、行业和政府之间交换信息，可以共同理解风险并协同应对。

网络威胁情报由什么组成？

一套有用的 CTI 工作通常包含几个彼此连接的环节：

• 数据收集：从内部系统、威胁信息源、开源情报（OSINT）、暗网监测和合作网络收集相关信息。
• 数据分析：识别模式、趋势和潜在威胁，理解攻击者的动机、技术与可能影响。机器学习、数据挖掘和统计分析都只能作为工具，不能替代判断。
• 威胁报告：把分析结果整理成包含威胁、攻击手法、失陷指标（IOC）和缓解建议的报告，交给安全团队、管理层和相关合作方。
• 威胁缓解：根据情报更新安全政策、修补漏洞、调整访问控制或部署新的防护工具。
• 持续监测：威胁不断变化，CTI 不能只做一次；持续监测才能及时发现新的风险。

网络威胁情报有哪些类型？

战略情报关注长期趋势和威胁环境，帮助管理层理解更大的风险，例如地缘政治变化、网络犯罪趋势和新型攻击路径。

战术情报关注攻击者使用的策略、技术和流程，帮助技术团队理解攻击如何发生、哪些弱点正在被利用，并尽早改善防御。

行动情报关注正在发生或即将发生的具体攻击活动，通常包含与恶意软件有关的 IP 地址、域名和哈希等失陷指标，支持快速响应。

技术情报聚焦漏洞、攻击向量、恶意软件特征和利用方式，帮助安全团队选择补丁和技术控制。

2025 年的威胁形势

攻击者会持续改变手法；勒索软件、数据泄露和高级持续性威胁，让传统防御越来越难以单独应对。

• 威胁持续演变，组织需要通过情报提前准备，而不是只在告警出现后反应。
• 攻击的频率和复杂度上升，关键基础设施、医疗、能源和金融服务的连续性受到更大关注。
• 合规要求促使组织证明自己已经采取合理的安全措施，但合规本身不能保证安全。
• 跨组织共享有助于改善整个数字生态的安全，但共享也需要清楚的来源、权限和责任边界。

网络威胁情报正在承担什么角色？

CTI 已经成为组织防御复杂网络威胁的重要能力。它让组织更清楚地理解威胁环境，并据此保护数据、资源和声誉。

但情报不是自动的安全保证。每个组织仍要验证信息、判断是否适用于自己的网络，并对修复、响应和恢复负责。工具可以放大观察能力，却不能替组织承担决定。

发表信息

NRS 于 2025 年 5 月 8 日首次发布本文，2026 年 4 月 6 日更新。

阅读英文版

如何使用这些信息

攻击指标会过期。请结合自己的权限、情报来源和响应流程加以验证，再采取行动。

从网络安全判断走向资源治理

NRS Shield 是运营商把个体风险转化为集体力量的地方；授权委托书则是你授予 NRS 为你的网络行动之权力的方式。