![对威胁情报行业现状的反思]( "对威胁情报行业现状的反思")
引言
离上一次聊威胁情报行业现状（国内威胁情报行业的五大“悲哀”）已经过去一年多了，中间本来是要多发几篇文章，但遇到了一些来自同行的阻力。。。今天借资深威胁情报专家Juan在2024年的LABScon大会上的演讲，再聊一聊威胁情报。
一、行业的意义危机
1. 虚空感的蔓延
当前，威胁情报行业正面临着一场静默的危机。许多资深分析师和研究人员开始质疑自己工作的意义：发布的威胁情报报告有多少人在读？编写的YARA规则是否真的被应用？这种普遍的虚空感不仅影响着个人的工作热情，更反映出整个行业在定位和价值主张上的迷失。
2. 话语权的丧失
更令人担忧的是，作为行业内最聪明的一群人，威胁情报分析师却往往在决策中缺乏话语权。这种"disenfranchisement"（权利剥夺）现象导致了人才的流失和行业创新力的下降。
二、行业发展的结构性问题
1. 研究范围的不断收缩
出于商业和政治考虑，威胁情报研究的范围正在不断收缩。不能讨论“友好”的APT活动、不能批评云服务提供商、不能涉及政府行为......这些限制严重影响了威胁情报的客观性和完整性。
2. 行业整合的负面效应
大公司通过并购整合行业资源的做法，往往导致优秀的工具和团队逐渐消失。正如演讲者所说："RIP Passive Total"，这种情况不断上演，而新出现的工具并不能完全填补原有工具留下的空白。
三、重塑行业价值的路径
威胁情报本质上是情报分析工作的一部分，需要：
-
保持观察的广度和深度
-
运用竞争性分析方法
-
基于数据做出可分解的结论
-
提供切实可行的建议
2. 重新定义信息安全的价值
一个关键的观点是："保护资产的成本不能超过资产本身的价值。"这要求我们必须准确评估信息的价值，使威胁情报工作不再被视为可有可无的外部成本。
3. 建立行业的学术体系
威胁情报行业需要建立自己的：
-
学术期刊
-
方法论讨论平台
-
工具开发交流机制
-
同行评议体系
四、对未来的建议
1. 对威胁情报团队
-
突破传统的技术边界，开展跨学科研究
-
主动展示团队的业务价值
-
适度公开成功案例，避免过度保密
2. 对相关方的建议
五、对整个网络安全行业的启示
事实上，威胁情报行业面临的困境在某种程度上折射出了整个网络安全行业的现状。我们看到太多公司热衷于推销"AI驱动的下一代安全解决方案"，却很少有人真正关注安全的本质问题；大量厂商在RSA等安全大会上兜售概念产品，但面对真实的安全威胁时却显得力不从心；安全团队被要求部署越来越多的工具，但安全事件却并没有实质性减少。这种"形式大于内容"的怪圈，导致整个行业陷入了一种诡异的繁荣：投资持续增加，但效果却越来越难以衡量；人才需求旺盛，但真正的专业能力却在稀释。
就像威胁情报行业需要回归到情报分析的本质一样，整个网络安全行业也需要回归到"安全"的本质。我们需要重新思考：什么是真正的安全价值？如何平衡安全投入与业务发展？如何构建真正有效的安全体系？只有解决了这些根本性问题，才能打破目前的困局，实现行业的良性发展。
结语
威胁情报行业正站在十字路口。如何在保持专业性的同时提升其在企业和社会中的影响力，如何平衡商业利益与公共价值，这些都是行业必须面对的挑战。正如演讲者所说，威胁情报工作应该成为"reality checking as a service"（现实检验服务），这既是对行业价值的重新定义，也是对未来发展方向的指引。
在信息安全威胁日益复杂的今天，重塑威胁情报行业的价值，不仅关系到行业本身的发展，更关系到整个数字社会的安全。这需要行业内外所有利益相关者的共同努力。
关于西方APT的问题
“Ivan坦言，我们其实隐约知道西方APT组织的活动，但始终缺乏确凿的证据，因为这些组织已经将目标转移到了路由器、网络设备、打印机、电信网络等难以监测的领域。如果他们需要在终端设备上采取行动，也可以就地取材或使用内存中的脚本，根本无需再开发复杂的模块化平台。”
原文始发于微信公众号（天御攻防实验室）：对威胁情报行业现状的反思
评论