威胁情报联动是什么
威胁情报联动是把外部情报（恶意 IP、域名、URL、文件哈希）接入设备检测策略，用已知的恶意标识补足特征库覆盖不到的判断。它对「回连类」行为特别有效：木马回连的地址往往不在漏洞特征库里，但通常在情报库中被标记过。使用情报的关键是分级——情报有误报也有时效衰减，不分级全量阻断会让业务被误伤，长期不清理会让策略条目无限膨胀。
基本信息
| 情报类型 | IP 信誉、域名、URL、文件哈希 |
|---|---|
| 接入方式 | 设备订阅情报库，或与情报平台联动下发 |
| 判断维度 | 置信度、来源数量、时效性 |
| 动作分级 | 高可信阻断、一般情报告警、过期情报清理 |
| 效果评估 | 统计命中量与误报比例，纳入日常报表 |
典型使用场景
- 木马回连检测：内网主机访问已知恶意地址时立即告警
- 钓鱼入口拦截：拦截对已披露钓鱼域名的访问
- 文件下载检测：命中恶意样本哈希时阻断并联动主机排查
- 应急期间：临时导入专项情报（某次攻击活动的地址清单）
- 与 IPS 特征库互补：特征库覆盖不到的已知恶意标识由情报补上
- 情报质量评估：观察某情报源的误报比例，决定是否降级使用
使用策略
使用策略
# 高可信情报（多源确认）：直接阻断并告警
# 一般情报（单源或时效较旧）：告警并人工研判
# 过期情报：定期清理，避免长期占用策略条目与性能
# 内网白名单：把自有系统、CDN、云服务地址排除在情报命中之外
# 应急情报：单独分组，事件结束后按流程移除
# 统计闭环：每周统计情报命中量与误报比例，调整分级策略情报分级与动作
| 置信度 | 动作 | 注意事项 |
|---|---|---|
| 高（多源确认） | 阻断并告警 | 仍需排除自有与公共云地址 |
| 中（单源或较旧） | 告警为主 | 结合业务上下文人工研判 |
| 低（过期或不确定） | 不导入或仅记录 | 避免占用策略条目 |
| 内部专项 | 按应急流程临时启用 | 明确失效时间与清理责任人 |
情报库容易把公共云与 CDN 地址段误标，阻断前先统一下发白名单，否则会出现大量合法业务访问被拦截的情况。
不做分级直接全量阻断是高风险做法：一条误标情报就可能造成大面积业务中断，且排查时很难联想到情报源。