Tehdit istihbaratı, savunmacıların daha iyi kararlar almasına yardımcı olan tehditler hakkındaki bilgidir. Birçok kaynaktan gelir. Açık kaynaklı beslemeler, kamu raporlarından göstergeler toplar. Ticari satıcılar, bağlam içeren derlenmiş istihbarat satar. Sektör grupları üyeler arasında bilgi paylaşır. Devlet kurumları uyarılar yayınlar. Ham veriler IP adreslerini, alan adlarını, dosya özetlerini ve saldırgan taktiklerini içerir. Değer, analizdedir. Tek başına bir IP adresi istihbarat değildir. IP adresinin sağlık hizmeti sağlayıcılarını hedef alan bir fidye yazılımı grubuna ait olduğunu bilmek istihbarattır.

İstihbarat farklı seviyelerde gelir. Stratejik istihbarat, yöneticileri tehdit ortamı hakkında bilgilendirir. Operasyonel istihbarat, güvenlik yöneticilerinin savunma planlamasına yardımcı olur. Taktik istihbarat, analistlere engellenecek belirli göstergeler sunar. Teknik istihbarat, araçlar için ham verileri sağlar. Her seviye farklı bir kitleye hizmet eder. Zorluk, veri miktarındadır. Çok fazla tehdit verisi var ve yeterli bağlam yok. Her göstergeyi bir güvenlik duvarına beslemek, yanlış pozitiflere yol açar ve meşru trafiği engeller. Etkili istihbarat programları, ilgili konulara odaklanır. Bu kuruluş için hangi tehditler önemlidir? Hangi sektörler hedefleniyor? Hangi teknikler kullanılıyor? Cevaplar, neyin toplanacağını ve neyin göz ardı edileceğini şekillendirir. İstihbarat, her şeyi bilmekle ilgili değildir. Önemli olanı bilmekle ilgilidir.

Tehdit istihbaratı türleri

• Stratejik — karar vericiler için üst düzey trendler
• Operasyonel — güvenlik yöneticileri için kampanya detayları
• Taktiksel — tespit ve engelleme göstergeleri
• Teknik — araçlar ve otomasyon için ham veriler

Tehdit istihbaratı ancak bir kararı değiştiriyorsa faydalıdır. Bir veri akışında bekleyen ve hiçbir zaman eyleme yol açmayan veriler sadece gürültüdür.