killvxk 管理情报生命周期
适用场景
在以下情况下使用本技能：
- 建立正式的 CTI 计划并定义其运营模式
- 与业务相关方进行季度情报需求审查
- 根据既定框架评估 CTI 计划成熟度（FIRST CTI-SIG 成熟度模型）
请勿使用本技能进行日常 IOC 分类或特定事件情报任务——这些任务使用操作情报工作流，而非生命周期管理。
前置条件
- 高层支持和已定义的 CTI 团队结构（1+ 专职分析师）
- 识别情报消费者的相关方地图（SOC、IR、高管团队、漏洞管理）
- 现有 Feed 订阅或 ISAC 成员资格作为收集基线
- CTI 平台（MISP、ThreatConnect、OpenCTI）用于生命周期管理
工作流程
步骤 1：规划和指导
与相关方定义优先情报需求（PIR）：
- 访谈 SOC 负责人、IR 团队、CISO、风险管理和产品安全
- 以结构化格式记录 PIR："[威胁行为者] 当前使用 [技术] 攻击 [关键资产] 的能力和意图是什么？"
- 每季度优先处理 5-10 个 PIR，每月审查
示例 PIR："勒索软件组织 Cl0p 目前是否正在使用 MoveIT 或 GoAnywhere 漏洞针对我们行业的组织？"
步骤 2：收集规划
将 PIR 映射到所需收集来源：
- 技术来源：商业 Feed、TAXII、ISAC 数据、蜜罐遥测、暗网监控
- 人力来源：厂商威胁简报、行业工作组、执法伙伴关系
- 内部来源：SIEM 日志、EDR 遥测、网络钓鱼提交邮箱
记录收集缺口和填补缺口的相关成本。
步骤 3：处理和规范化
实现自动化处理管道：
- 摄入 → 规范化为 STIX 2.1 → 去重 → 富化 → 置信度评分
- 在分析前拒绝无法验证或重复的指标
- 用来源、收集日期和有效期标记所有已处理数据
步骤 4：分析和生产
在三个级别生产情报：
- 战略：面向高层的季度威胁态势报告；行业趋势、地缘政治背景
- 操作：面向安全领导层的周度活动报告；活跃活动、对手活动
- 战术：面向 SOC 的每日 IOC 公告；带拦截/监控建议的可操作指标
应用结构化分析技术：竞争假设分析（ACH）、关键假设检查、魔鬼代言人。
步骤 5：传播
将产品格式与受众匹配：
- 高层管理者：带风险评级、业务影响和建议决策的 1 页 PDF
- SOC 分析师：SIEM 就绪的 IOC 列表、Sigma 规则、MISP 事件
- 漏洞管理：带 EPSS 分数和利用可能性的 CVE 列表
- IT/安全领导：带技术附录的完整情报报告
按产品类型应用 TLP 分类和分发列表。
步骤 6：反馈和评估
在传播后 5 个工作日内收集反馈：
- 产品是否解决了 PIR？
- 可操作性是否足够？
- 缺少哪些数据？
按季度跟踪指标：PIR 覆盖率、IOC 真正率、传播时间、相关方满意度（NPS 或结构化调查）。
核心概念
| 术语 | 定义 |
|---|---|
| PIR | 优先情报需求——驱动情报收集和分析的具体、可操作问题 |
| 情报生命周期 | 六阶段迭代过程：规划 → 收集 → 处理 → 分析 → 传播 → 反馈 |
| 战略情报 | 用于高层决策的长期威胁趋势分析；时间范围 6-24 个月 |
| 操作情报 | 用于安全计划决策的活动级别分析；时间范围 1-6 个月 |
| 战术情报 | 用于即时检测和拦截的具体 IOC 和 TTP；时间范围数小时至数天 |
| FIRST CTI-SIG | 事件响应和安全团队论坛——CTI 特别兴趣组成熟度模型 |
工具与系统
- ThreatConnect：内置情报生命周期工作流、PIR 跟踪和相关方报告仪表盘的 TIP
- MISP：支持从收集到共享的情报生命周期的开源 TIP
- OpenCTI：具有情报产品工作流管理的基于图形的 CTI 平台
- Recorded Future：具有与情报生命周期对齐的结构化情报报告的商业平台
常见陷阱
- 无指导的收集：在没有 PIR 的情况下摄入所有可用 Feed 会产生数据过载，没有可操作情报。
- 缺少反馈循环：没有结构化反馈，CTI 团队生产的报告无法满足相关方需求并失去组织相关性。
- 仅战术关注：过度强调 IOC 共享忽视了为安全投资和风险决策提供信息的战略情报。
- 无指标计划：没有跟踪检测贡献、真正率和相关方满意度就无法证明 CTI 计划价值。
- 资金不足的收集：没有适当的收集来源就无法回答 PIR；记录并上报缺口，而非生产低置信度估计。