威胁情报能补上什么视角
技术测试看的是自己能不能打进去，威胁情报看的是外界已经在用什么方式盯着这家客户：泄露凭据、仿冒域名与应用、被公开讨论的数据集、与客户资产关联的攻击基础设施。核对的对象是授权范围内的域名与 IP，产出是外部风险观察项，交给客户处置。情报条目来源混杂、时效差别大，只能作为线索，不能直接当成事实写进报告结论。
基本信息
| 核对对象 | 授权范围内的域名、IP、组织名称与品牌词 |
|---|---|
| 情报类型 | 泄露凭据、仿冒资产、恶意样本关联、数据泄露事件 |
| 输出 | 外部风险观察项清单，含来源与核实状态 |
| 纪律 | 只取证与移交，不自行处置，不访问可疑资产 |
| 时效 | 情报有生命周期，需标注采集日期 |
典型使用场景
- 品牌保护评估：识别仿冒登录页、仿冒应用与相似域名
- 账号安全评估：核对是否存在与该客户相关的凭据泄露记录
- 为报告补充外部视角，解释为何某类攻击在该行业高发
- 事件响应前置：确认客户资产是否已在公开情报中出现
- 评估供应链风险：第三方组件的已知问题是否被实际利用
观察项示例
观察项示例
编号：TI-001
类型：疑似仿冒登录页
资产：example-login.example
特征：域名与品牌近似、页面结构与正版高度相似
动作：仅截图与元数据存档，不提交任何凭据
处置：同步客户，建议品牌投诉与持续监控
状态：已核实（由客户确认非自有资产）情报条目处理
| 条目类型 | 核实方式 | 处置 |
|---|---|---|
| 凭据泄露记录 | 与客户核对账号是否存在，不自行登录 | 提示强制改密与二次验证 |
| 仿冒域名 | 核对注册信息与页面结构，不提交数据 | 截图存档并移交品牌团队 |
| 恶意样本关联 | 记录关联指标，不在本机分析 | 移交客户或事件响应团队 |
| 数据泄露事件 | 核对涉及范围与时间 | 作为背景写入报告，注明来源 |
情报视角能补上技术测试看不到的外部风险，但情报结论误差率高：写入报告时必须标注来源、采集日期与核实状态，避免把未核实条目表述为既成事实。
不要自行访问仿冒站点验证：访问本身可能触发凭据采集、留下可被误认为真实用户的痕迹，也可能构成对第三方的测试行为。