網(wǎng)絡(luò)空間的安全對抗日趨激烈，僅僅防御是不夠的，更需要持續(xù)地檢測與響應(yīng)。要做到持續(xù)有效的檢測與快速的響應(yīng)，安全漏洞、安全情報(bào)必不可少。如果說了解漏洞信息是“知己”，那么掌握安全威脅則是“知彼”。
威脅情報(bào)在合規(guī)中的重要性等保2.0規(guī)范
明確提出測評需應(yīng)用“威脅情報(bào)檢測系統(tǒng)”。
二級、三級、四級要求：
企業(yè)需要部署“威脅情報(bào)檢測系統(tǒng)”
三級、四級要求：
引入威脅情報(bào)庫，并需要升級到最新版本
《網(wǎng)絡(luò)安全法》
對于能源等重要行業(yè)和領(lǐng)域在等保的基礎(chǔ)上進(jìn)行重點(diǎn)保護(hù)，構(gòu)建監(jiān)測分析平臺，加強(qiáng)對威脅的監(jiān)測能力。
2013年，Gartner 首次提出關(guān)于威脅情報(bào)的定義：威脅情報(bào)是關(guān)于現(xiàn)有或即將出現(xiàn)的針對資產(chǎn)有威脅的知識，包括了場景、機(jī)制、指標(biāo)、啟示和可操作建議等，且這些知識可為主體提供威脅的應(yīng)對策略。
Forrester 認(rèn)為威脅情報(bào)是針對內(nèi)部和外部威脅源的動(dòng)機(jī)、意圖和能力的詳細(xì)敘述，可以幫助企業(yè)和組織快速了解敵對方對自己的威脅信息，從而幫助提前威脅防范、攻擊檢測與響應(yīng)、事后攻擊溯源等能力。從以上定義來看，威脅情報(bào)需要圍繞決策這個(gè)核心點(diǎn)回答兩個(gè)問題：現(xiàn)存的知識與未來即將出現(xiàn)的風(fēng)險(xiǎn)。從這兩個(gè)問題可以看出，雖然是基于證據(jù)的知識，情報(bào)仍然具有不確定性。而對于威脅情報(bào)研究而言，關(guān)鍵就是降低其不確定性。因此，現(xiàn)存的知識對于未來的預(yù)測至關(guān)重要。
情報(bào)，對于客戶的核心價(jià)值最重要的就是“烽火”效應(yīng)。網(wǎng)絡(luò)攻防始終處在博弈的過程中，雙方的能力交錯(cuò)上升，對于防守一方來說，當(dāng)攻擊方發(fā)明了新的方法時(shí)，如果某一個(gè)體遭受攻擊后，在處理過程中把獲得的關(guān)鍵信息（即現(xiàn)存知識）共享出來，例如：IP等攻擊者的資源類信息，hash所指向的攻擊工具，則看到“烽火”的其它防守者可以進(jìn)行防御策略調(diào)整，避免潛在的損失風(fēng)險(xiǎn)(未來的風(fēng)險(xiǎn))。從防御者整體上來看，通過分享形成了群體損失減小的效應(yīng)。
再者，有效地進(jìn)行威脅情報(bào)的內(nèi)循環(huán)，可以使得企業(yè)/組織避免收到同樣攻擊的二次傷害或多次傷害。可見，威脅情報(bào)所形成的知識可以為企業(yè)/組織重復(fù)使用。在此之上，通過對威脅的分析，形成威脅情報(bào)并加以利用，不僅僅可以加強(qiáng)主動(dòng)防御實(shí)現(xiàn)降低或避免傷害，還可以針對對手方進(jìn)行策略應(yīng)對，從而形成主動(dòng)防御、震攝性防御，甚至可以是有效混淆、還擊的戰(zhàn)略。
當(dāng)前情報(bào)的主要應(yīng)用方式
情報(bào)訂閱
威脅情報(bào)廠商以明文方式呈現(xiàn)給客戶，可應(yīng)用于主動(dòng)防御模式，主要包括了威脅相關(guān)的IP、域名、URL、郵件以及HASH信息以及漏洞信息。通過研究全球主要威脅情報(bào)廠商可以看到，情報(bào)訂閱模式下，威脅情報(bào)廠商提供的信息至少包括威脅類型、指示器、信譽(yù)值，其日更新數(shù)量在千萬級。隨著威脅情報(bào)廠商提供的上下文信息增加，使用者可以采用更加豐富的篩選邏輯來根據(jù)應(yīng)用場景選擇威脅情報(bào)子集。但威脅情報(bào)廠商提供的情報(bào)訂閱越接近其原始數(shù)據(jù)，使用者才具有越高的使用自主權(quán)。
情報(bào)查詢服務(wù)
情報(bào)查詢的主要目的是獲取其上下文信息，用于溯源或者根據(jù)IOC的歷史信息判斷其未來的威脅性，可查詢的數(shù)據(jù)索引往往是數(shù)十億以上的量級。情報(bào)查詢，具有隱私數(shù)據(jù)外泄的風(fēng)險(xiǎn)，因此企業(yè)應(yīng)當(dāng)盡量避免唯一指向性查詢，采用具有信息混淆的方式向服務(wù)商提出查詢請求。
情報(bào)即服務(wù)
情報(bào)即服務(wù)，要求客戶和威脅情報(bào)廠商建立長期的、互信的服務(wù)機(jī)制。由威脅情報(bào)廠商利用其威脅情報(bào)源、威脅情報(bào)應(yīng)用能力，結(jié)合客戶的實(shí)際情況，進(jìn)行數(shù)據(jù)整理、分析，形成自有情報(bào)和決策信息。情報(bào)即服務(wù)的市場隨著戰(zhàn)略威脅情報(bào)的需求，將會持續(xù)增長。
情報(bào)網(wǎng)關(guān)
在情報(bào)訂閱服務(wù)中，我們可以知曉威脅情報(bào)日更新量在千萬級，而傳統(tǒng)的信息安全解決方案是無法實(shí)時(shí)應(yīng)用千萬級威脅情報(bào)的，需要有一種新的應(yīng)用形態(tài)即情報(bào)網(wǎng)關(guān)。根據(jù)Gartner的定義，威脅情報(bào)網(wǎng)關(guān)是利用大量箱內(nèi)威脅指標(biāo)數(shù)據(jù)集（支持?jǐn)?shù)百萬甚至數(shù)十億個(gè)威脅指標(biāo)）的網(wǎng)絡(luò)安全設(shè)備。
威脅情報(bào)服務(wù)開放平臺
1.IBM-X-Force
X-Force Exchange能夠?yàn)槿蛱峁⿲BM及第三方威脅數(shù)據(jù)資源的訪問，包括實(shí)時(shí)的攻擊數(shù)據(jù)。它整合了IBM的威脅研究數(shù)據(jù)和技術(shù)，包括了Qradar安全情報(bào)平臺、IBM客戶安全管理服務(wù)分析平臺。IBM聲稱該平臺集聚了超過700 TB的原始數(shù)據(jù)，并在不斷更新。X-Force Exchange的用戶可以共享利用多種數(shù)據(jù)資源，包括：世界上最大的漏洞目錄之一、基于每天150億起安全事件監(jiān)控的威脅情報(bào)、來自2700萬終端網(wǎng)絡(luò)的惡意威脅情報(bào)、基于250億網(wǎng)頁和圖片的威脅信息、超過 800萬封垃圾郵件和釣魚攻擊的深度情報(bào)、接近 100萬惡意 IP地址的信譽(yù)數(shù)據(jù)等。
2.微步在線
國內(nèi)做的最好的應(yīng)該是微步在線，微步不僅僅只有一個(gè)搜索功能，還建立了相應(yīng)的社區(qū)進(jìn)行情報(bào)共享，并實(shí)現(xiàn)了威脅情報(bào)的產(chǎn)品化。
3.360威脅情報(bào)中心
360威脅情報(bào)基礎(chǔ)信息查詢平臺向業(yè)界開放免費(fèi)查詢服務(wù)，這是國內(nèi)首個(gè)向公眾開放的威脅情報(bào)數(shù)據(jù)查詢服務(wù)平臺。360威脅情報(bào)基礎(chǔ)信息查詢平臺的上線標(biāo)志著國內(nèi)安全威脅情報(bào)共享進(jìn)入新階段，所有安全廠商、政企用戶的安全研究與分析人員在經(jīng)過線上注冊審核后，都可以免費(fèi)進(jìn)行查詢。
4.阿里云盾態(tài)勢感知
阿里云盾態(tài)勢感知是全球唯一能感知“滲透測試”的安全威脅服務(wù)平臺，如可以區(qū)分腳本小子和高級黑客、識別零日應(yīng)用攻擊、捕捉高隱蔽性的入侵行為、溯源追蹤黑客身份等。云盾平臺利用大數(shù)據(jù)，可對高級攻擊者使用的零日漏洞攻擊進(jìn)行動(dòng)態(tài)防御，如可以采用新型病毒查殺，并通過爬取互聯(lián)網(wǎng)泄露的員工信息，實(shí)時(shí)告警、杜絕黑客“社工”；能夠?qū)Ω鞣N潛在威脅及時(shí)識別和匯總分析；能夠?qū)崿F(xiàn)基于行為特征的Webshell檢測、基于沙箱的惡意病毒精確查殺等。
威脅情報(bào)未來的發(fā)展
威脅情報(bào)未來的一個(gè)重要發(fā)展領(lǐng)域是DRP（數(shù)字風(fēng)險(xiǎn)防護(hù)），DRP是與企業(yè)數(shù)字化轉(zhuǎn)型配套的安全解決方案。企業(yè)的數(shù)字足跡、數(shù)字資產(chǎn)甚至管理者的個(gè)人形象，隨著現(xiàn)代企業(yè)數(shù)字化進(jìn)程，都有可能成為下一個(gè)攻擊目標(biāo)。DRP作為一種新趨勢，國際上知名的威脅情報(bào)服務(wù)商，例如：Digital Shadows、Risk IQ、ZeroFox等，都在向著這個(gè)方向前進(jìn)。
研究和咨詢領(lǐng)域的”奧斯卡“ - Gartner報(bào)告
Gartner是個(gè)有著40年歷史的上市公司，位列美國最大的500家公司（S&P500）之中。它提供研究和咨詢服務(wù)，業(yè)務(wù)范圍涵蓋信息系統(tǒng)、財(cái)務(wù)、人力資源、客戶服務(wù)、法務(wù)合規(guī)、市場、銷售和供應(yīng)鏈等，作為世界上最為知名的IT咨詢和研究公司的Gartner，它的魔力象限可謂既簡潔明了，非常真實(shí)、權(quán)威。谷歌、微軟、甲骨文、IBM等科技巨頭都非常在意Gartner魔力象限的評價(jià)，并以上榜為榮；同時(shí)，世界五百強(qiáng)的CIO們在采購技術(shù)產(chǎn)品時(shí)，也大多將Gartner魔力象限作為一個(gè)重要評價(jià)依據(jù)。