什么是网络威胁情报？

本文最初发表于 2025 年 5 月，讨论网络威胁情报（CTI）的含义、组成、类型以及它在当时网络风险环境中的作用。原文完整保留；其中关于 2025 年的判断属于当时的出版语境，不应被误读为今天的统计结论。

网络威胁情报是什么？

网络威胁情报（Cyber Threat Intelligence，简称 CTI）是对当前或潜在网络威胁进行收集、分析和共享的信息工作。它帮助组织理解威胁的性质，并在事件发生前采取防御措施。通过研究潜在攻击、攻击者的策略、技术和流程（TTP），以及全球网络安全趋势，CTI 让组织能够更早看见风险。

CTI 的价值不只是产生更多告警，而是为告警提供背景。安全团队可以据此更好地发现、分析和响应威胁。与依赖自动告警或静态特征的传统检测不同，CTI 试图帮助组织理解威胁环境，并据此预判可能的攻击路径。

为什么网络威胁情报重要？

• 主动防御：及时、准确的情报让组织在攻击发生前采取预防措施，降低入侵成功的可能性。
• 改善整体安全态势：组织能够看清自己面对的威胁，并部署与实际风险相匹配的控制措施。
• 加快事件响应：了解攻击性质、影响范围和攻击手法，可以加速遏制、修复与恢复。
• 降低风险：组织可以评估新威胁可能造成的后果，把资源投入最需要的位置。
• 协作与共享：组织、行业和政府之间交换信息，可以共同理解风险并协同应对。

网络威胁情报由什么组成？

一套有用的 CTI 工作通常包含几个彼此连接的环节：

• 数据收集：从内部系统、威胁信息源、开源情报（OSINT）、暗网监测和合作网络收集相关信息。
• 数据分析：识别模式、趋势和潜在威胁，理解攻击者的动机、技术与可能影响。机器学习、数据挖掘和统计分析都只能作为工具，不能替代判断。
• 威胁报告：把分析结果整理成包含威胁、攻击手法、失陷指标（IOC）和缓解建议的报告，交给安全团队、管理层和相关合作方。
• 威胁缓解：根据情报更新安全政策、修补漏洞、调整访问控制或部署新的防护工具。
• 持续监测：威胁不断变化，CTI 不能只做一次；持续监测才能及时发现新的风险。

网络威胁情报有哪些类型？

战略情报关注长期趋势和威胁环境，帮助管理层理解更大的风险，例如地缘政治变化、网络犯罪趋势和新型攻击路径。

战术情报关注攻击者使用的策略、技术和流程，帮助技术团队理解攻击如何发生、哪些弱点正在被利用，并尽早改善防御。

行动情报关注正在发生或即将发生的具体攻击活动，通常包含与恶意软件有关的 IP 地址、域名和哈希等失陷指标，支持快速响应。

技术情报聚焦漏洞、攻击向量、恶意软件特征和利用方式，帮助安全团队选择补丁和技术控制。

为什么 2025 年的语境仍然值得保留？

原文在 2025 年指出，攻击者会持续改变手法，勒索软件、数据泄露和高级持续性威胁让传统防御越来越难以单独应对。保留这段历史语境，可以让读者看到当时的判断是如何形成的。

• 威胁持续演变，组织需要通过情报提前准备，而不是只在告警出现后反应。
• 攻击的频率和复杂度上升，关键基础设施、医疗、能源和金融服务的连续性受到更大关注。
• 合规要求促使组织证明自己已经采取合理的安全措施，但合规本身不能保证安全。
• 跨组织共享有助于改善整个数字生态的安全，但共享也需要清楚的来源、权限和责任边界。

网络威胁情报正在承担什么角色？

CTI 已经成为组织防御复杂网络威胁的重要能力。它让组织更清楚地理解威胁环境，并据此保护数据、资源和声誉。

但情报不是自动的安全保证。每个组织仍要验证信息、判断是否适用于自己的网络，并对修复、响应和恢复负责。工具可以放大观察能力，却不能替组织承担决定。

来源与出版记录

查看英文原始文章 NRS 于 2025 年 5 月 8 日首次发布本文，2026 年 4 月 6 日记录了源页面修改。新版保留原始论述和发布日期，并把原先的页面目录和编辑器布局整理为可引用的章节。

查看英文原始文章 原始文章、日期和章节身份保留在这里，便于核对这篇历史出版物。

NRS 编辑说明 · 2026 年 10 月 6 日

本文讨论的是安全信息如何支持判断，不是实时威胁通报。攻击指标可能过期，读者应在自己的权限、来源和响应流程内验证。

从网络安全判断走向资源治理

如果组织的业务还依赖稳定的 IP 资源，应另外审查地址登记、运营连续性、合同和治理风险。NRS Shield 与 POA 代表授权属于单独决定，需要明确范围、期限和撤回方式。阅读本文、加入 NRS 或请求帮助，都不会自动产生 POA。