| name | generating-threat-intelligence-reports |
| description | 生成战略、操作和战术级别的结构化网络威胁情报报告，针对特定受众（包括高管、安全运营团队和技术分析师）量身定制。适用于从原始收集数据生成完成情报产品、创建行业威胁简报，或提供事后情报评估时。适用于涉及 CTI 报告写作、威胁简报、情报产品、完成情报或高管安全报告的请求。
|
| domain | cybersecurity |
| subdomain | threat-intelligence |
| tags | ["CTI","threat-intelligence","intelligence-products","TLP","PIR","report-writing","NIST-CSF"] |
| version | 1.0.0 |
| author | team-cybersecurity |
| license | Apache-2.0 |
生成威胁情报报告
适用场景
在以下情况下使用本技能：
- 为安全领导层生成每周、每月或每季度的威胁情报摘要
- 响应突发威胁（例如新零日漏洞、活跃勒索软件活动）快速创建情报评估
- 为高管决策安全投资生成行业特定威胁简报
请勿使用本技能进行原始 IOC 分发——使用 TIP/MISP 进行自动化 IOC 共享，将报告生成保留用于经过分析的完成情报。
前置条件
- 来自收集和处理阶段的已完成分析（PIR 部分或完全得到解答）
- 受众画像：技术水平、决策权限、信息分类许可
- 产品的 TLP 分类决策
- 符合受众期望的组织特定报告模板
工作流程
步骤 1：确定报告类型和受众
选择合适的情报产品类型：
战略情报报告：面向 C 级高管、董事会、风险委员会
- 内容：威胁态势趋势、对手意图与能力、对业务目标的风险
- 格式：1-3 页，术语简单，使用业务影响语言，包含建议决策
- 频率：每月/每季度
操作情报报告：面向 CISO、安全总监、IR 负责人
- 内容：活跃活动、对手 TTP、防御建议、行业同行事件
- 格式：3-8 页，中等技术深度，缓解措施优先级列表
- 频率：每周
战术情报简报：面向 SOC 分析师、威胁猎手、漏洞管理人员
- 内容：特定 IOC、YARA 规则、Sigma 检测、CVE、修补指南
- 格式：结构化表格、代码块，1-2 页
- 频率：每日或按需
闪报：针对即将发生或活跃威胁的紧急通知
- 内容：正在发生什么、即时风险、立即需要做什么
- 格式：最多 1 页，在识别威胁后 2 小时内分发
- 频率：按需（零日漏洞、针对行业的活跃活动）
步骤 2：使用情报标准构建报告
应用来自政府和专业实践的情报写作标准：
标题/关键判断：以简洁语言表述最重要的发现。
- 不好的做法："本报告审查与 Cl0p 勒索软件相关的威胁行为者 TTP"
- 好的做法："Cl0p 勒索软件组织正在积极利用思科 ASA 设备中的 CVE-2024-20353 获取初始访问权限；使用未打补丁的 ASA 设备的组织面临迫在眉睫的勒索软件风险"
置信度限定词（使用 DNI ICD 203 的语言）：
- 高置信度："我们以高置信度评估"——强有力证据，假设少
- 中置信度："我们评估"——可信来源，但需要分析假设
- 低置信度："证据表明"——来源有限，不确定性显著
证据归因：使用参考编号 [1]、[2] 引用来源；在 TLP:AMBER/RED 产品中保持来源匿名。
步骤 3：撰写报告正文
使用结构化格式：
执行摘要（3-5 个要点）：关键发现、即时业务风险、首要建议行动
威胁概述：对手是谁？他们的目标是什么？这对我们为何重要？
技术分析：带有 ATT&CK 技术 ID 的 TTP、IOC、观察到的活动行为
影响评估：攻击成功时的潜在操作、财务、声誉影响
建议行动：按优先级排列、有时限的防御措施，并指定责任方
附录：完整 IOC 列表、YARA 规则、Sigma 检测、原始来源参考
步骤 4：应用 TLP 和分发控制
根据来源敏感性和共享协议选择 TLP：
- TLP:RED：仅限指名接收者；不得在简报室外共享
- TLP:AMBER+STRICT：仅限组织内部；不得与子公司或合作伙伴共享
- TLP:AMBER：组织及有需要知情权的可信合作伙伴
- TLP:GREEN：社区范围共享（ISAC 成员、行业同行）
- TLP:WHITE/CLEAR：公开分发；无限制
在每页页眉和页脚包含 TLP 水印。
步骤 5：审核和质量控制
分发前进行以下检查：
- 准确性：所有事实是否有来源和引用？无未经证实的主张。
- 清晰度：目标受众无需额外上下文是否能理解？
- 可操作性：每个报告部分是否推动决策或行动？
- 分类：TLP 是否正确应用？AMBER/RED 产品中是否有来源识别信息？
- 时效性：情报是否仍然最新？超过 48 小时的事件需要进行时效性评估。
核心概念
| 术语 | 定义 |
|---|
| 完成情报 | 经过分析、情境化的情报产品，可供决策者直接使用；与原始收集数据不同 |
| 关键判断 | 报告的主要分析结论；在开篇段落中清晰表述 |
| TLP | 流量标记协议——FIRST 标准的分类系统，用于控制情报共享范围 |
| ICD 203 | 情报社区指令 203——美国政府分析标准，包括置信度语言 |
| 闪报 | 针对即将发生威胁的紧急、时效性情报通知；优先速度而非深度 |
| 情报缺口 | 收集不足以回答 PIR 的领域；应在报告中明确记录 |
工具与系统
- ThreatConnect 报告：内置报告模板，含 ATT&CK 映射、IOC 表格和利益相关者分发控制
- Recorded Future：预建情报报告模板，配合专有数据集自动引用来源
- OpenCTI 报告：基于 STIX 的报告对象，含链接实体，用于结构化完成情报
- Microsoft Word/Confluence：常见报告交付格式；使用组织批准的带 TLP 头部的模板
常见陷阱
- 为分析师而非受众写作：适合 SOC 分析师的技术细节会让高管不知所措。保持严格的受众细分。
- 省略置信度级别：没有置信度限定词呈现的声明看起来像已确立的事实，而实际上可能是低置信度评估。
- 没有建议的情报：只描述威胁而不开具行动处方的报告让利益相关者不知所措。
- 过时情报：发布两周前已解决的威胁活动报告会制造警报而无实用价值。在所有主张上包含时效性日期。
- 过度分类：对可以是 TLP:GREEN 的信息应用 TLP:RED 会阻碍社区共享，限制整个行业的防御价值。
