网络威胁情报与国家网络空间战略入门

网络威胁情报（Cyber Threat Intelligence，CTI）是关于攻击者的循证知识：他们是谁、想要什么、如何行动、使用什么工具。防御方用它来预判、发现和应对攻击。它是情报周期在网络空间中的应用。许多机构购买了“威胁情报源”就以为自己有了威胁情报，但一份恶意IP地址清单只是数据。只有结合本机构的风险和决策进行分析，它才成为情报。

网络威胁情报的三个层次

层次	受众	关注的问题	典型产品
战略层	董事会、高管、政策制定者	谁可能攻击我们？为什么？威胁态势如何变化？	年度威胁评估、国家级攻击者或勒索软件经济的简报
运营层	安全主管、应急响应人员	哪些攻击活动正针对我们的行业？下一步可能怎么做？	攻击活动报告、攻击者画像
战术/技术层	安全运营中心、检测工程师	攻击在我们的网络中是什么样子？	失陷指标（IOC）、检测规则、恶意代码分析

常用分析框架

网络杀伤链（洛克希德·马丁公司，2011）把一次入侵分为侦察、武器化、投递、利用、安装、命令与控制、达成目标七个阶段。其核心思想是：防御方可以在任何阶段打断链条，越早发现，代价越小。

钻石模型（Caltagirone、Pendergast 与 Betz，2013）用相互关联的四个要素描述每一次入侵事件：攻击者、能力、基础设施和受害者。分析人员可以在要素之间“跳转”，把零散事件关联成攻击活动，例如从一个恶意样本追溯到其基础设施，再发现其他受害者。

MITRE ATT&CK 是一个基于真实观察、公开的攻击者战术（目标，如持久化、横向移动）与技术（实现目标的方式）知识库，已成为业界的通用语言。分析人员把威胁报告映射到ATT&CK技术，防御方据此衡量自己的检测覆盖率。这样，关注点就从IP地址、文件哈希等攻击者很容易更换的脆弱指标，转向难以改变的攻击行为。安全业界把这一思路称为“痛苦金字塔”。

情报共享

任何单一机构都无法独自看清威胁全貌，因此共享是网络威胁情报的核心：

行业共享组织（ISAC/ISAO）把金融、医疗、能源等行业的机构联合起来。
国家级CERT/CSIRT及网络安全主管部门发布预警并协调响应。
STIX（描述威胁信息的格式）和TAXII（交换协议）等标准，让共享可以由机器自动完成。
**交通灯协议（TLP）**标注信息可传播的范围：TLP:RED、AMBER、GREEN 或 CLEAR。

美国国家标准与技术研究院的SP 800-150指南，介绍了如何建立共享关系、保护敏感数据以及决定共享什么。

各国网络空间战略

21世纪以来，几乎所有主要国家都发布了网络空间或信息安全战略。它们在侧重点上的差异，对分析人员十分重要：

美国及其盟友强调保护关键基础设施、政企合作、把安全责任更多转向软件厂商和服务提供商，以及进攻性与防御性网络能力的作用。
欧盟倚重法规。NIS2指令（2022）把网络安全和事件报告义务扩展到更多行业和中型实体，后续立法还对联网产品的安全提出了要求。
中国以网络主权为核心理念。《网络安全法》（2016）、《数据安全法》（2021）和《个人信息保护法》（2021）构建了涵盖网络安全、数据分类分级和数据出境的综合制度。
俄罗斯长期使用更宽泛的信息安全概念。它不仅包括系统安全，还包括信息内容及其对社会的影响，这一理念贯穿其信息安全学说及其在联合国提出的倡议。研究俄罗斯网络空间安全战略的演变，需要从其历次国家安全战略和信息安全学说入手。

由北约合作网络防御卓越中心组织国际法专家编写的《塔林手册》，分析了现有国际法如何适用于网络行动。它不是有约束力的条约，但在网络空间主权、使用武力和国家责任等问题的讨论中被广泛引用，中国学者也对其提出了不少批评与回应。

如何建设网络威胁情报能力

明确需求：哪些资产最重要？哪些威胁对本行业、本规模的机构而言是现实的？情报要支持哪些决策？
先利用内部来源：日志、安全事件和钓鱼邮件报告，揭示了谁在真正攻击你。
有选择地引入外部来源：共享组织、政府预警、厂商报告和开源信息。
结合自身环境分析：把威胁映射到ATT&CK技术，检查自己能否检测到。
按层次交付：给工程师检测规则，给管理者攻击活动简报，给高管风险评估。
衡量成效：看检测数量、阻止的事件、缩短的响应时间和支持的决策，而不是接入了多少条指标。

发展趋势

AI正在同时改变攻防双方。攻击者用它以任何语言撰写逼真的钓鱼邮件、发现漏洞并扩大行动规模；防御者用它分诊告警、总结报告和分析恶意代码。AI系统本身也正成为攻击目标，面临提示词注入、数据投毒和模型窃取等威胁，MITRE的ATLAS知识库已开始系统整理这类攻击技术。网络威胁情报的基本功依然是情报工作的基本功：明确的需求、严谨的分析、诚实的置信度，以及真正支持决策的产品。