8、威胁情报收集与协作能力构建指南

威胁情报收集与协作能力构建指南

一、威胁情报收集能力（Level 1）

1.1 概述

威胁情报收集能力的 Level 1 旨在构建组织的收集能力，它包含四个阶段：初始阶段、A 阶段、B 阶段和 C 阶段。其目标是从几乎不收集情报，逐步过渡到收集大量信息，最终过滤掉不必要的信息，为组织准备更有用的情报产品。

1.2 初始阶段

在这个阶段，组织还没有威胁情报能力，此阶段的目标是识别威胁情报源。以下是一些可获取威胁情报的来源示例：
- AlienVault Open Threat Exchange ：号称是世界上第一个真正开放的威胁情报社区，全球超过 65,000 人使用，包括安全爱好者、研究人员和安全专业人员。信息由用户提供，需注意其潜在挑战。其仪表盘易于理解，用户可通过以下两种方式查看恶意软件集群可视化信息：
- 按类别查看 ：基于过去 24 小时内报告的活动。点击集群中的特定气泡，可获取有关报告的恶意软件类型的更多信息。
- 综合查看 ：显示过去 24 小时内集群中报告的所有恶意软件。右下角的报告计数以气泡大小表示，气泡越大，报告越多，可直观了解热门和冷门的恶意软件。
- AlienVault 脉冲 ：使用脉冲提供威胁及其指标（IoCs）的高级视图，可集成到一些网络安全工具中，如 pfSense 开源防火墙和 Suricata 开源威胁检测引擎。脉冲可进一步细分，如用户特定贡献、基于兴趣的群组、指标、恶意软件家族、行业和对手等。
- T