GoUpSec：2022年中国网络安全行业威胁情报产品及服务购买决策参考

人工智能自动驾驶正面临一个难以突破的技术天花板

人工智能自动驾驶正面临一个难以突破的技术天花板——像优秀人类司机一样“预防性驾驶”；同理，任何企业都需要持续建设和发展自己的基于情报的主动防御能力。

不久前，特斯拉创始人马斯克在被乌克兰某组织列入暗杀名单十天后才从社交媒体上获悉此事。这表明，由于缺乏完善的威胁情报能力，即便是特斯拉这样的产业巨头，对企业关键资产和人员的保护也存在致命盲区。如果将企业的威胁防御体系比作导弹防御系统，可大致划分为初段拦截（威胁预测与预防）、中段拦截（威胁追踪与分析）和末段拦截（检测与响应）三个阶段，每个阶段都高度依赖战场态势感知和威胁情报能力，每个阶段的失能，都将意味着惨烈的溃败。

过去几年，网络安全业界向企业安全管理者灌输这样一个理念：威胁是无法完全预防的，企业需要将注意力和预算集中在被动防御阶段——末段拦截（检测和响应）上。该观点深刻影响了包括威胁情报在内的全球网络安全市场的格局和路径，企业 CISO 们也纷纷将 MTTD/MTTR 之类的与事件响应效率有关的指标作为关键业绩指标。但现实是残酷的，报告显示，由于企业数字化转型和远程劳动力导致攻击面不断增长，以及网络安全威胁的多样化和复杂化，很多企业已经掉入“末段拦截投资陷阱”。大量的安全投资和工具堆积并未换来 MTTD 等关键指标的实质性改善，安全运营人员反而掉入了警报疲劳的苦海，这主要归咎于主动防御能力建设的滞后。

而威胁情报能力，正是企业主动安全防御能力的最大短板之一。根据Cybersixgill上半年对全球 150 名大型企业的 CISO 的调查，三分之一的大型企业 CISO 认为威胁情报是最大盲区，其次是漏洞管理。超过 90% 的 CISO 依赖过时的、基于报告的威胁情报，这些情报通常太滞后而无法为决策提供有效支撑信息。

今天，大型企业纷纷开始建设“边管云端”的一体化防御战线，而威胁情报能力，是决定该体系效能的“天花板”，重要性不言而喻。威胁情报能够加强对未知威胁的发现和防护能力，缩短检测和响应周期、 提升企业安全分析水平。但威胁情报自身的发展和企业实践也暴露出诸多问题，例如误报和产品集成度仍然困扰着企业用户。