Intelijen ancaman adalah informasi tentang ancaman yang membantu pihak yang bertugas melindungi aset membuat keputusan yang lebih baik. Informasi ini berasal dari berbagai sumber. Sumber terbuka mengumpulkan indikator dari laporan publik. Vendor komersial menjual intelijen yang telah dikurasi dengan konteks tertentu. Kelompok industri berbagi informasi di antara anggotanya. Badan pemerintah menerbitkan peringatan. Data mentah mencakup alamat IP, nama domain, hash file, dan taktik penyerang. Nilainya terletak pada analisis. Alamat IP saja bukanlah intelijen. Mengetahui bahwa IP tersebut milik kelompok ransomware yang menargetkan penyedia layanan kesehatan adalah intelijen yang sesungguhnya.

Intelijen hadir dalam berbagai tingkatan. Intelijen strategis memberi informasi kepada para eksekutif tentang lanskap ancaman. Intelijen operasional membantu manajer keamanan merencanakan pertahanan. Intelijen taktis memberi analis indikator spesifik untuk diblokir. Intelijen teknis menyediakan data mentah untuk alat-alat. Setiap tingkatan melayani audiens yang berbeda. Tantangannya adalah volume. Terlalu banyak data ancaman dan tidak cukup konteks. Memasukkan setiap indikator ke dalam firewall akan menciptakan false positive dan memblokir lalu lintas yang sah. Program intelijen yang efektif berfokus pada relevansi. Ancaman apa yang penting bagi organisasi ini? Sektor mana yang menjadi target? Teknik apa yang digunakan? Jawaban-jawaban tersebut membentuk apa yang harus dikumpulkan dan apa yang harus diabaikan. Intelijen bukanlah tentang mengetahui segalanya. Ini tentang mengetahui apa yang penting.

Jenis-jenis intelijen ancaman

• Strategis — tren tingkat tinggi untuk para pengambil keputusan
• Operasional — detail kampanye untuk manajer keamanan
• Taktis — indikator untuk deteksi dan pemblokiran
• Teknis — data mentah untuk alat dan otomatisasi

Intelijen ancaman hanya berguna jika dapat mengubah suatu keputusan. Data yang hanya tersimpan di umpan berita dan tidak pernah memengaruhi tindakan hanyalah gangguan.