generating-threat-intelligence-reports

生成威胁情报报告

使用时机

在以下情况使用本技能：

• 为安全领导层制作每周、每月或每季度的威胁情报摘要
• 针对突发威胁（例如新的零日漏洞、活跃的勒索软件攻击活动）快速编写情报评估
• 为安全投资的高管决策生成特定行业的威胁简报

不要使用本技能进行原始 IOC 分发——请使用 TIP/MISP 进行自动化 IOC 共享，并将报告生成留给经过分析的成品情报。

前置条件

• 完成收集与处理阶段的分析（PIR 已部分或全部得到解答）
• 受众画像：技术水平、决策权限、信息密级许可
• 成品的 TLP 定级决定
• 与受众期望相符的组织专用报告模板

工作流

步骤 1：确定报告类型和受众

选择合适的情报产品类型：

战略情报报告：面向最高管理层、董事会、风险委员会

• 内容：威胁态势趋势、对手意图与能力对比、对业务目标的风险
• 格式：1–3 页，尽量少用术语，使用业务影响语言，给出建议决策
• 频率：每月/每季度

运营情报报告：面向 CISO、安全总监、IR 负责人

• 内容：活跃攻击活动、对手 TTP、防御建议、同行业同类事件
• 格式：3–8 页，适度技术细节，缓解措施优先级列表
• 频率：每周

战术情报简报：面向 SOC 分析师、威胁狩猎人员、漏洞管理

• 内容：具体 IOC、YARA 规则、Sigma 检测规则、CVE、修补指引
• 格式：结构化表格、代码块，1–2 页
• 频率：每日或按需

快报：针对迫在眉睫或正在发生的威胁的紧急通知

• 内容：正在发生什么、直接风险、现在该做什么
• 格式：最多 1 页，在识别威胁后 2 小时内分发
• 频率：按需（零日漏洞、针对本行业的活跃攻击活动）

步骤 2：使用情报标准构建报告

采用来自政府与专业实践的情报写作标准：

标题/关键判断：用平实的语言首先呈现最重要的发现。

• 不佳：“本报告考察与 Cl0p 勒索软件相关的威胁行为者 TTP”
• 良好：“Cl0p 勒索软件组织正在积极利用 Cisco ASA 设备中的 CVE-2024-20353 获取初始访问权限；使用未修补 ASA 设备组织面临迫在眉睫的勒索软件风险”

置信度限定词（使用 DNI ICD 203 的表述）：

• 高置信度：“以高置信度评估”——证据充分，假设很少
• 中置信度：“评估”——来源可信，但需要分析性假设
• 低置信度：“表明”——来源有限，存在显著不确定性

证据归因：使用参考文献编号 [1]、[2] 引用来源；在 TLP:AMBER/RED 成品中保持来源匿名化。

步骤 3：撰写报告正文

使用结构化格式：

执行摘要（3–5 条要点）：关键发现、直接业务风险、首要建议行动

威胁概述：对手是谁？其目标是什么？为什么这对我们重要？

技术分析：带有 ATT&CK 技术 ID 的 TTP、IOC、观察到的攻击活动行为

影响评估：如果攻击成功，可能造成的运营、财务、声誉影响

建议行动：按优先级排列、有时间限制的防御措施，并分配负责人

附录：完整 IOC 列表、YARA 规则、Sigma 检测规则、原始来源参考

步骤 4：应用 TLP 和分发控制

根据来源敏感性和共享协议选择 TLP：

• TLP:RED：仅限指定接收人；不可在简报室之外共享
• TLP:AMBER+STRICT：仅限组织内部；不可与子公司或合作伙伴共享
• TLP:AMBER：组织及有知情需求的受信任合作伙伴
• TLP:GREEN：全社区共享（ISAC 成员、同行业伙伴）
• TLP:WHITE/CLEAR：公开分发；无限制

在每页页眉和页脚中包含 TLP 水印。

步骤 5：审查和质量控制

在分发之前，应用以下检查：

• 准确性：所有事实是否都有来源并引用？没有无根据的声明。
• 清晰性：目标受众能否在没有额外背景的情况下理解？
• 可操作性：报告中的每个部分是否都能推动决策或行动？
• 分类：TLP 是否正确应用？AMBER/RED 产品中是否没有来源标识？
• 时效性：这份情报是否仍然是最新的？超过 48 小时的事件需要评估新鲜度。

关键概念

术语	定义
成品情报	经过分析、结合上下文的情报产品，可供决策者使用；区别于原始采集数据
关键判断	报告的主要分析结论；在开头段落中清晰说明
TLP	Traffic Light Protocol — FIRST 标准分类系统，用于控制情报共享范围
ICD 203	Intelligence Community Directive 203 — 美国政府分析标准，包括置信度语言
快报	针对迫在眉睫威胁的紧急、时效敏感的情报通知；优先考虑速度而非深度
情报缺口	采集不足以回答 PIR 的领域；应在报告中明确记录

工具与系统

• ThreatConnect Reports：内置报告模板，支持 ATT&CK 映射、IOC 表格和利益相关方分发控制
• Recorded Future：预构建的情报报告模板，可从专有数据集自动获取来源
• OpenCTI Reports：基于 STIX 的报告对象，带有链接实体，用于结构化成品情报
• Microsoft Word/Confluence：常见报告交付格式；使用组织批准的模板并带有 TLP 页眉

常见陷阱

• 为分析师而不是受众写作：适合 SOC 分析师的技术细节会让高管不堪重负。保持严格的受众细分。
• 省略置信度级别：没有置信度限定词的陈述看起来像既定事实，而它们可能是低置信度评估。
• 没有建议的情报：描述威胁但没有规定行动的报告会让利益相关方无所适从。
• 过时情报：发布一份关于 2 周前已解决的威胁活动的报告会造成警报却毫无用处。在所有声明中包含新鲜度日期。
• 过度分类：将 TLP:RED 应用于本可以是 TLP:GREEN 的信息，会阻碍社区共享并限制整个行业的防御价值。