Thông tin tình báo về mối đe dọa là thông tin về các mối đe dọa giúp các nhà phòng thủ đưa ra quyết định tốt hơn. Thông tin này đến từ nhiều nguồn. Các nguồn cấp dữ liệu mở thu thập các chỉ số từ các báo cáo công khai. Các nhà cung cấp thương mại bán thông tin tình báo được chọn lọc kèm theo ngữ cảnh. Các nhóm ngành chia sẻ thông tin giữa các thành viên. Các cơ quan chính phủ công bố các khuyến cáo. Dữ liệu thô bao gồm địa chỉ IP, tên miền, mã băm tệp và chiến thuật của kẻ tấn công. Giá trị nằm ở việc phân tích. Chỉ riêng địa chỉ IP không phải là thông tin tình báo. Việc biết rằng địa chỉ IP đó thuộc về một nhóm ransomware nhắm mục tiêu vào các nhà cung cấp dịch vụ chăm sóc sức khỏe mới là thông tin tình báo.

Thông tin tình báo có nhiều cấp độ. Thông tin tình báo chiến lược cung cấp cho các nhà quản lý cấp cao về bối cảnh các mối đe dọa. Thông tin tình báo hoạt động giúp các nhà quản lý an ninh lập kế hoạch phòng thủ. Thông tin tình báo chiến thuật cung cấp cho các nhà phân tích các chỉ báo cụ thể cần chặn. Thông tin tình báo kỹ thuật cung cấp dữ liệu thô cho các công cụ. Mỗi cấp độ phục vụ một đối tượng khác nhau. Thách thức nằm ở khối lượng dữ liệu. Có quá nhiều dữ liệu về mối đe dọa nhưng lại thiếu ngữ cảnh. Việc đưa mọi chỉ báo vào tường lửa sẽ tạo ra các cảnh báo sai và chặn lưu lượng truy cập hợp pháp. Các chương trình tình báo hiệu quả tập trung vào tính phù hợp. Những mối đe dọa nào quan trọng đối với tổ chức này? Những lĩnh vực nào bị nhắm mục tiêu? Những kỹ thuật nào được sử dụng? Câu trả lời sẽ định hình những gì cần thu thập và những gì cần bỏ qua. Tình báo không phải là biết mọi thứ, mà là biết điều gì quan trọng.

Các loại thông tin tình báo về mối đe dọa

• Chiến lược — các xu hướng cấp cao dành cho người ra quyết định
• Thông tin hoạt động — chi tiết chiến dịch dành cho các nhà quản lý an ninh
• Chiến thuật — các chỉ báo để phát hiện và ngăn chặn
• Dữ liệu kỹ thuật — dữ liệu thô cho các công cụ và tự động hóa

Thông tin tình báo về mối đe dọa chỉ hữu ích nếu nó thay đổi quyết định. Dữ liệu chỉ nằm im trên bảng tin mà không bao giờ được dùng để đưa ra hành động thì chỉ là nhiễu loạn.