威胁情报是指能够帮助防御者做出更明智决策的威胁信息。它来源于多种渠道。开源信息源收集来自公开报告的指标。商业供应商出售经过筛选并包含上下文信息的情报。行业组织在成员之间共享信息。政府机构发布安全公告。原始数据包括IP地址、域名、文件哈希值和攻击者策略。其价值在于分析。仅凭IP地址本身并不能构成情报。只有当知道该IP地址属于一个针对医疗保健机构的勒索软件组织时，才能构成真正的情报。

情报分为不同层级。战略情报让高管了解威胁​​形势。运营情报帮助安全经理制定防御计划。战术情报为分析师提供具体的拦截指标。技术情报则为工具提供原始数据。每个层级服务于不同的受众。挑战在于数据量。威胁数据过多，而上下文信息不足。将所有指标都输入防火墙会导致误报，并拦截合法流量。有效的情报计划注重相关性。哪些威胁对本组织至关重要？哪些行业是攻击目标？攻击者使用了哪些技术？这些问题的答案决定了应该收集哪些信息，忽略哪些信息。情报的目的并非了解一切，而是了解哪些信息至关重要。

威胁情报类型

• 战略层面——面向决策者的高层次趋势
• 行动——面向安全经理的活动详情
• 战术——检测和拦截指标
• 技术数据——工具和自动化所需的原始数据

威胁情报只有在能够改变决策时才有用。仅仅停留在信息流中而从未用于指导行动的数据，只是噪音而已。