managing-intelligence-lifecycle

# 管理情报生命周期

## 适用场景

在以下情况下使用本技能：
- 建立正式的 CTI 计划并定义其运营模式
- 与业务相关方进行季度情报需求审查
- 根据既定框架评估 CTI 计划成熟度（FIRST CTI-SIG 成熟度模型）

**请勿使用**本技能进行日常 IOC 分类或特定事件情报任务——这些任务使用操作情报工作流，而非生命周期管理。

## 前置条件

- 高层支持和已定义的 CTI 团队结构（1+ 专职分析师）
- 识别情报消费者的相关方地图（SOC、IR、高管团队、漏洞管理）
- 现有 Feed 订阅或 ISAC 成员资格作为收集基线
- CTI 平台（MISP、ThreatConnect、OpenCTI）用于生命周期管理

## 工作流程

### 步骤 1：规划和指导

与相关方定义优先情报需求（PIR）：
- 访谈 SOC 负责人、IR 团队、CISO、风险管理和产品安全
- 以结构化格式记录 PIR："[威胁行为者] 当前使用 [技术] 攻击 [关键资产] 的能力和意图是什么？"
- 每季度优先处理 5-10 个 PIR，每月审查

示例 PIR："勒索软件组织 Cl0p 目前是否正在使用 MoveIT 或 GoAnywhere 漏洞针对我们行业的组织？"

### 步骤 2：收集规划

将 PIR 映射到所需收集来源：
- 技术来源：商业 Feed、TAXII、ISAC 数据、蜜罐遥测、暗网监控
- 人力来源：厂商威胁简报、行业工作组、执法伙伴关系
- 内部来源：SIEM 日志、EDR 遥测、网络钓鱼提交邮箱

记录收集缺口和填补缺口的相关成本。

### 步骤 3：处理和规范化

实现自动化处理管道：
- 摄入 → 规范化为 STIX 2.1 → 去重 → 富化 → 置信度评分
- 在分析前拒绝无法验证或重复的指标
- 用来源、收集日期和有效期标记所有已处理数据

### 步骤 4：分析和生产

在三个级别生产情报：
- **战略**：面向高层的季度威胁态势报告；行业趋势、地缘政治背景
- **操作**：面向安全领导层的周度活动报告；活跃活动、对手活动
- **战术**：面向 SOC 的每日 IOC 公告；带拦截/监控建议的可操作指标

应用结构化分析技术：竞争假设分析（ACH）、关键假设检查、魔鬼代言人。

### 步骤 5：传播

将产品格式与受众匹配：
- 高层管理者：带风险评级、业务影响和建议决策的 1 页 PDF
- SOC 分析师：SIEM 就绪的 IOC 列表、Sigma 规则、MISP 事件
- 漏洞管理：带 EPSS 分数和利用可能性的 CVE 列表
- IT/安全领导：带技术附录的完整情报报告

按产品类型应用 TLP 分类和分发列表。

### 步骤 6：反馈和评估

在传播后 5 个工作日内收集反馈：
- 产品是否解决了 PIR？
- 可操作性是否足够？
- 缺少哪些数据？

按季度跟踪指标：PIR 覆盖率、IOC 真正率、传播时间、相关方满意度（NPS 或结构化调查）。

## 核心概念

| 术语 | 定义 |
|------|-----------|
| **PIR** | 优先情报需求——驱动情报收集和分析的具体、可操作问题 |
| **情报生命周期** | 六阶段迭代过程：规划 → 收集 → 处理 → 分析 → 传播 → 反馈 |
| **战略情报** | 用于高层决策的长期威胁趋势分析；时间范围 6-24 个月 |
| **操作情报** | 用于安全计划决策的活动级别分析；时间范围 1-6 个月 |
| **战术情报** | 用于即时检测和拦截的具体 IOC 和 TTP；时间范围数小时至数天 |
| **FIRST CTI-SIG** | 事件响应和安全团队论坛——CTI 特别兴趣组成熟度模型 |

## 工具与系统

- **ThreatConnect**：内置情报生命周期工作流、PIR 跟踪和相关方报告仪表盘的 TIP
- **MISP**：支持从收集到共享的情报生命周期的开源 TIP
- **OpenCTI**：具有情报产品工作流管理的基于图形的 CTI 平台
- **Recorded Future**：具有与情报生命周期对齐的结构化情报报告的商业平台

## 常见陷阱

- **无指导的收集**：在没有 PIR 的情况下摄入所有可用 Feed 会产生数据过载，没有可操作情报。
- **缺少反馈循环**：没有结构化反馈，CTI 团队生产的报告无法满足相关方需求并失去组织相关性。
- **仅战术关注**：过度强调 IOC 共享忽视了为安全投资和风险决策提供信息的战略情报。
- **无指标计划**：没有跟踪检测贡献、真正率和相关方满意度就无法证明 CTI 计划价值。
- **资金不足的收集**：没有适当的收集来源就无法回答 PIR；记录并上报缺口，而非生产低置信度估计。