2025年数字安全需求洞察报告-威胁情报

核心观点与关键发现

• 威胁情报的核心价值在于将未知变为已知，提升安全从被动到主动的能力，并对已知威胁进行精准判断，提高响应资源效率。
• 实网攻防场景已从“0day漏洞为主的消耗战”转变为“钓鱼社工为主的持久战”，对威胁情报的需求更符合常态化要求。
• 以失陷验证类情报为主的出站情报价值占比越来越高，因其覆盖范围明确且更新灵活。
• 管理层更关注“漏报”问题，执行层更关注“误报”问题，导致对情报的需求出现分化。
• 威胁情报的价值难以量化，推动服务化交付成为趋势，为用户提供情绪价值。
• 建议从检出率、准确性、时效性、保密性四个方面构建不同优先级的情报能力。

威胁情报相关概念

• 入站情报：关注外部威胁源针对特定组织的攻击信息，如同边界“预警雷达”。
• 出站情报：关注组织内部系统或网络向外发送的潜在威胁信息，如同内部“安检站”。
• 开源情报（OSINT）：通过公开信息源收集、整理和分析情报。
• 闭源情报：不公开的情报，需通过商业合作或限制访问获取。
• 漏洞情报：关于软件、硬件、网络系统中安全漏洞的详细信息，包含开源和闭源两种来源。

威胁情报五大应用场景

1. 攻防对抗类安全产品更新赋能：通过周期性或实时性情报数据提升产品效率与效果。
2. 实网攻防演练/重保场景中的溯源分析研判：利用实时情报数据进行及时响应和精准溯源。
3. 新漏洞安全事件的应急响应：提供漏洞影响范围、利用条件等信息，协助定位风险资产和制定缓解策略。
4. 数据泄露实时监测与通报：利用情报提升监测与通报效率，如监测社交媒体、新闻报道等。
5. 黑灰产情报应用于业务风控：提供黑IP、Bot、黑灰产工具等情报，支持业务风控场景。

威胁情报五大需求变化

1. 实网攻防常态化：需求更符合常态化，如针对业务软件、办公系统软件供应链漏洞情报需求增加。
2. 失陷验证类情报需求更强烈：出站情报价值占比高，更新灵活且覆盖范围明确。
3. 管理层与执行层需求分化：管理层关注检出率，执行层关注准确性。
4. 需求向“服务化”转变：用户希望以服务化方式获取情报能力，如技术赋能服务和咨询报告服务。
5. 价值难以量化：情报价值难以衡量，推动服务化交付作为情绪价值补偿。

应对新场景、新需求的应对

• 构建场景化情报能力：针对不同场景提供定制化情报，如常态化实网攻防、安全产品、业务风控等。
• 着重构建漏洞情报能力：支撑漏洞优先级（RBVM）的情报、软件供应链漏洞情报、国产化替代漏洞情报。
• 构建不同优先级的情报能力：从检出率、准确性、时效性、保密性四个方面构建优先级。
• 构建“情报赋能+价值交付+反馈评价”的有机生态：通过“安全需求+安全产品+威胁情报”三方合作，形成持续驱动的有机动能。

未来发展趋势与展望

• 威胁情报成为所有攻防对抗安全产品的必备能力。
• 威胁情报与业务场景进一步深度融合。
• LLM对威胁情报在数据采集、加工筛选、服务化交付等方面提供更多赋能。
• 威胁情报的服务化交付比例将超过产品/数据交付。
• 威胁情报的有机生态合作逐渐形成。