CTIvsTTP

CTI

CTI 通过收集、分析和共享威胁信息（攻击者、手法、目标、IOC），帮助组织预判和防御网络攻击。CTI 分为战略级、战术级和操作级三个层次。

TTP

TTP 是威胁情报的核心概念：Tactics（战术，攻击目标）、Techniques（技术，实现方式）、Procedures（程序，具体步骤）。TTP 比 IOC 更持久，因为攻击者可以换 IP 但很难换手法。

CTI

• 收集分析共享威胁信息
• 战略/战术/操作三个层次
• MITRE ATT&CK 是 CTI 的通用语言

TTP

• 战术-技术-程序三层行为描述
• 比 IOC 更持久的检测维度
• MITRE ATT&CK 是 TTP 的标准化框架

CTI

收集分析和共享网络威胁信息以支持安全决策的情报实践

TTP

描述攻击者战术目标、技术手段和具体操作程序的行为框架

CTI

• 威胁态势的持续监控
• 安全策略的情报驱动决策
• 攻击组织的追踪和归因

TTP

• 威胁情报的结构化描述
• 基于行为的威胁检测
• 攻击组织的画像和归因

CTI

CTI 的三个层次：战略级（攻击趋势和地缘政治，给管理层看）、战术级（TTP 和攻击手法，给安全团队看）、操作级（IOC 和检测规则，给安全工具用）。CTI 的来源包括：开源情报（OSINT）、商业情报订阅、信息共享组织（ISAC）、暗网监控。CTI 的价值在于从被动防御转向主动防御。

TTP

TTP 是 David Bianco 的「痛苦金字塔」中最顶层的指标：IOC（IP/哈希）容易更换，TTP（行为模式）很难改变。MITRE ATT&CK 框架将 TTP 标准化为 14 个战术和数百个技术。基于 TTP 的检测（行为检测）比基于 IOC 的检测更有效，因为它关注攻击者「做什么」而非「用什么工具」。