8、威胁情报集成与协作能力构建

威胁情报集成与协作能力构建

在当今数字化时代，威胁情报的有效收集、整合与协作对于组织的安全至关重要。本文将详细介绍威胁情报的收集与整合过程，以及如何建立有效的协作能力来支持网络情报项目。

威胁情报收集能力（Level 1）

威胁情报收集能力的构建分为四个阶段，旨在从少量或无情报收集，逐步过渡到大量信息收集，并最终过滤出有用的情报产品。

初始阶段（Phase initial）

在这个阶段，组织尚未具备威胁情报能力，目标是识别威胁情报源。以下是一些常见的威胁情报源：
- AlienVault Open Threat Exchange ：这是全球首个真正开放的威胁情报社区，拥有超过65,000名用户，包括安全爱好者、研究人员和安全专业人士。该工具由社区驱动，信息由用户提供。其仪表盘易于理解，用户可以通过两种方式可视化恶意软件集群：
- 按类别（BY CATEGORY） ：基于过去24小时内报告的活动，点击集群中的特定气泡可获取更多关于报告的恶意软件类型的信息。
- 组合（COMBINE） ：显示过去24小时内所有报告的恶意软件集群，气泡大小代表报告数量，可直观了解热门和冷门的恶意软件。
- AlienVault OTX使用脉冲（pulse）提供威胁及其指标（IoCs）的高级视图 ：这些脉冲可集成到一些网络安全工具中，如pfSense和Suricata。脉冲还可进一步细分，包括用户特定贡献、基于兴趣的群组贡献、指标使用、恶意软件家族、行业和对手等。
-