威胁情报
威胁情报的价值，恰恰取决于它的针对性。一份可能适用于任何人的通用指标情报源，几乎不能告诉您任何可以采取行动的内容。真正有帮助的是了解哪些威胁行为者会针对像您这样的组织，他们当前使用什么技术，以及这对您所运行的具体系统意味着什么。
这意味着工作从您的实际情况出发，而不是从供应商的仪表板出发。行业、地域、您所运行的技术以及您实际的攻击面，都决定了什么值得关注。零售商和国防承包商不应当以同样的优先级权重使用同一个威胁情报源。
实践中是什么样子
我会追踪与您特定风险状况相关的信息，并把它转化为您的团队真正能用的内容：不是原始的 IOC 清单，而是对“这是否影响我们，我们该怎么做”的回答。这可能意味着在针对您所在行业的新技术出现在您的日志之前就发出提示，也可能是确认某个被广泛报道的漏洞其实并不涉及您运行的任何系统，了解这一点同样有价值。
不能改变决策的情报，不值得收集。我对带给您的任何内容所用的检验很简单：它是否会改变您打补丁的对象、监控的对象，或本季度向董事会汇报的内容？如果不会，那就是噪音，不管它看起来多么有趣。
它如何与您体系的其余部分衔接
当威胁情报直接输入检测规则、补丁优先级排序和事件响应规划时，价值最大，而不是躺在一份第一周之后就没人再读的报告里。我会让它与您已有的任何系统相衔接，而不是再成为一个孤立的情报源。
如果您想要与您的环境真正挂钩的情报，而不是通用的噪音，让我们聊聊。