معلومات التهديدات هي بيانات حول التهديدات تُساعد المدافعين على اتخاذ قرارات أفضل. وتأتي هذه المعلومات من مصادر متعددة. تجمع مصادر مفتوحة المصدر مؤشرات من تقارير عامة. ويبيع موردون تجاريون معلومات مُنسقة مع سياقها. وتتبادل مجموعات صناعية المعلومات فيما بينها. وتصدر وكالات حكومية تحذيرات. تشمل البيانات الأولية عناوين IP، وأسماء النطاقات، وتجزئات الملفات، وتكتيكات المهاجمين. تكمن القيمة في التحليل. فمعرفة عنوان IP وحده لا يُعد معلومة، بل معرفة أن هذا العنوان ينتمي إلى مجموعة برامج فدية تستهدف مقدمي الرعاية الصحية تُعد معلومة.

تتنوع مستويات الاستخبارات. تُزوّد ​​الاستخبارات الاستراتيجية المديرين التنفيذيين بمعلوماتٍ حول طبيعة التهديدات. وتساعد الاستخبارات التشغيلية مديري الأمن على تخطيط الدفاعات. أما الاستخبارات التكتيكية، فتُزوّد ​​المحللين بمؤشراتٍ محددةٍ لحجبها. بينما تُوفّر الاستخبارات التقنية البيانات الأولية للأدوات. ويخدم كل مستوى فئةً مختلفةً من المستخدمين. يكمن التحدي في الكم الهائل من بيانات التهديدات، حيث يوجد الكثير منها، بينما ينقص السياق. إنّ إدخال كل مؤشرٍ في جدار الحماية يُؤدي إلى نتائج إيجابية خاطئة، ويحجب حركة البيانات المشروعة. تُركّز برامج الاستخبارات الفعّالة على الملاءمة. ما هي التهديدات التي تُهمّ هذه المؤسسة؟ ما هي القطاعات المستهدفة؟ ما هي التقنيات المُستخدمة؟ تُحدّد الإجابات ما يجب جمعه وما يجب تجاهله. لا تعني الاستخبارات معرفة كل شيء، بل معرفة ما يهمّ.

أنواع معلومات التهديدات

• استراتيجية - اتجاهات رفيعة المستوى لصناع القرار
• تفاصيل الحملة التشغيلية لمديري الأمن
• تكتيكي - مؤشرات للكشف والحجب
• البيانات التقنية - البيانات الأولية للأدوات والأتمتة

لا تكون معلومات التهديدات مفيدة إلا إذا أدت إلى تغيير القرار. أما البيانات التي تبقى في مصدر البيانات دون أن تُسهم في اتخاذ إجراء فهي مجرد ضجيج.