managing-intelligence-lifecycle

管理情报生命周期

适用场景

在以下情况下使用本技能：

• 建立正式的 CTI 计划并定义其运营模式
• 与业务相关方进行季度情报需求审查
• 根据既定框架评估 CTI 计划成熟度（FIRST CTI-SIG 成熟度模型）

请勿使用本技能进行日常 IOC 分类或特定事件情报任务——这些任务使用操作情报工作流，而非生命周期管理。

前置条件

• 高层支持和已定义的 CTI 团队结构（1+ 专职分析师）
• 识别情报消费者的相关方地图（SOC、IR、高管团队、漏洞管理）
• 现有 Feed 订阅或 ISAC 成员资格作为收集基线
• CTI 平台（MISP、ThreatConnect、OpenCTI）用于生命周期管理

工作流程

步骤 1：规划和指导

与相关方定义优先情报需求（PIR）：

• 访谈 SOC 负责人、IR 团队、CISO、风险管理和产品安全
• 以结构化格式记录 PIR："[威胁行为者] 当前使用 [技术] 攻击 [关键资产] 的能力和意图是什么？"
• 每季度优先处理 5-10 个 PIR，每月审查

示例 PIR："勒索软件组织 Cl0p 目前是否正在使用 MoveIT 或 GoAnywhere 漏洞针对我们行业的组织？"

步骤 2：收集规划

将 PIR 映射到所需收集来源：

• 技术来源：商业 Feed、TAXII、ISAC 数据、蜜罐遥测、暗网监控
• 人力来源：厂商威胁简报、行业工作组、执法伙伴关系
• 内部来源：SIEM 日志、EDR 遥测、网络钓鱼提交邮箱

记录收集缺口和填补缺口的相关成本。

步骤 3：处理和规范化

实现自动化处理管道：

• 摄入 → 规范化为 STIX 2.1 → 去重 → 富化 → 置信度评分
• 在分析前拒绝无法验证或重复的指标
• 用来源、收集日期和有效期标记所有已处理数据

步骤 4：分析和生产

在三个级别生产情报：

• 战略：面向高层的季度威胁态势报告；行业趋势、地缘政治背景
• 操作：面向安全领导层的周度活动报告；活跃活动、对手活动
• 战术：面向 SOC 的每日 IOC 公告；带拦截/监控建议的可操作指标

应用结构化分析技术：竞争假设分析（ACH）、关键假设检查、魔鬼代言人。

步骤 5：传播

将产品格式与受众匹配：

• 高层管理者：带风险评级、业务影响和建议决策的 1 页 PDF
• SOC 分析师：SIEM 就绪的 IOC 列表、Sigma 规则、MISP 事件
• 漏洞管理：带 EPSS 分数和利用可能性的 CVE 列表
• IT/安全领导：带技术附录的完整情报报告

按产品类型应用 TLP 分类和分发列表。

步骤 6：反馈和评估

在传播后 5 个工作日内收集反馈：

• 产品是否解决了 PIR？
• 可操作性是否足够？
• 缺少哪些数据？

按季度跟踪指标：PIR 覆盖率、IOC 真正率、传播时间、相关方满意度（NPS 或结构化调查）。

核心概念

术语	定义
PIR	优先情报需求——驱动情报收集和分析的具体、可操作问题
情报生命周期	六阶段迭代过程：规划 → 收集 → 处理 → 分析 → 传播 → 反馈
战略情报	用于高层决策的长期威胁趋势分析；时间范围 6-24 个月
操作情报	用于安全计划决策的活动级别分析；时间范围 1-6 个月
战术情报	用于即时检测和拦截的具体 IOC 和 TTP；时间范围数小时至数天
FIRST CTI-SIG	事件响应和安全团队论坛——CTI 特别兴趣组成熟度模型

工具与系统

• ThreatConnect：内置情报生命周期工作流、PIR 跟踪和相关方报告仪表盘的 TIP
• MISP：支持从收集到共享的情报生命周期的开源 TIP
• OpenCTI：具有情报产品工作流管理的基于图形的 CTI 平台
• Recorded Future：具有与情报生命周期对齐的结构化情报报告的商业平台

常见陷阱

• 无指导的收集：在没有 PIR 的情况下摄入所有可用 Feed 会产生数据过载，没有可操作情报。
• 缺少反馈循环：没有结构化反馈，CTI 团队生产的报告无法满足相关方需求并失去组织相关性。
• 仅战术关注：过度强调 IOC 共享忽视了为安全投资和风险决策提供信息的战略情报。
• 无指标计划：没有跟踪检测贡献、真正率和相关方满意度就无法证明 CTI 计划价值。
• 资金不足的收集：没有适当的收集来源就无法回答 PIR；记录并上报缺口，而非生产低置信度估计。