威脅情報是指能夠幫助防禦者做出更明智決策的威脅資訊。它來自多種管道。開源資訊來源收集來自公開報告的指標。商業供應商出售經過篩選並包含上下文資訊的情報。行業組織在成員之間共享資訊。政府機構發布安全公告。原始資料包括IP位址、網域名稱、檔案雜湊值和攻擊者策略。其價值在於分析。僅憑IP位址本身並不能構成情報。只有當知道該IP位址屬於一個針對醫療保健機構的勒索軟體組織時，才能構成真正的情報。

情報分為不同層級。戰略情報讓高階主管了解威脅情勢。營運情報幫助安全經理制定防禦計畫。戰術情報為分析師提供具體的攔截指標。技術情報則為工具提供原始資料。每個層級服務於不同的受眾。挑戰在於數據量。威脅資料過多，而上下文資訊不足。將所有指標輸入防火牆會導致誤報，並攔截合法流量。有效的情報計劃注重相關性。哪些威脅對本組織至關重要？哪些行業是攻擊目標？攻擊者使用了哪些技術？這些問題的答案決定了應該收集哪些訊息，忽略哪些資訊。情報的目的並非了解一切，而是了解哪些資訊至關重要。

威脅情報類型

• 策略層面－面向決策者的高層次趨勢
• 行動－面向安全經理的活動詳情
• 戰術－偵測和攔截指標
• 技術數據－工具和自動化所需的原始數據

威脅情報只有在能夠改變決策時才有用。僅僅停留在資訊流中而從未用於指導行動的數據，只是噪音而已。