大幅降低情报消费门槛 奇安信发布威胁情报检测引擎

威胁情报数据是越多越好吗？威胁情报检测产生大量误报怎么办？到底什么样的情报才最合适？安全运营团队不足该怎么办？作为威胁检测的“良药”，自威胁情报被提出以来，这些问题一直困扰着大量用户。由此可见，威胁情报的应用仍然具有较高的门槛。

为解决上述问题，奇安信威胁情报中心基于多年威胁情报技术积累，面向终端、网关、大数据平台等环境推出了威胁情报SDK检测引擎（QTDE），提升相关产品基于威胁情报的检测和发现能力，并且大幅降低了威胁情报的消费门槛。

市场需求只增不减

能够看到的是，在历经了前期动荡的阶段后，经过多方扎实有重点的试验，对威胁情报的适用范围及限制拥有客观并实际的了解，市场规模逐渐成长。根据 Gartner 的最新预测，威胁情报支出预计将以 15.8% 的复合年增长率增长，到 2025 年将达到 26 亿美元。

奇安信威胁情报中心认为，威胁情报本质上是威胁检测能力在知识层面的打包输出，基于威胁情报检测能力已经成为新安全、新基建防御的基础和核心，在安全事件分析和应急响应中不可或缺。并且，未来威胁情报会进入垂直细分领域市场，情报内生（TI INSIDE）的模式将会成为主流。

但需要注意的是，威胁情报的应用并非一劳永逸，而是需要持续的运营。然而，由于缺乏专业的安全运营团队，大多数组织的情报消费能力略有不足，根据Gartner的调研显示，目前仍有大量用户未能很好的将威胁情报应用于威胁狩猎的过程，导致部分安全 投资 “打了水漂”。

降低情报消费门槛

奇安信威胁情报中心认为，大幅简化威胁情报应用的过程，同时保持高质量的威胁情报输出，对于降低用户侧威胁情报消费门槛至关重要。

为此，奇安信威胁情报中心推出的QTDE，实现了便捷生产、共享与消费威胁情报的闭环，能够通过为不同形态的产品提供情报检索、基于分析师的研判和关联分析能力，定时分发热点IOC数据，使各集成产品整合、应用接口传递结果，检测威胁类型包括APT攻击、远控木马、蠕虫木马、僵尸网络、勒索软件、挖矿、黑客利用EXP等。

该引擎整合了高价值情报数据和专业的检测处理逻辑，一次集成完成，通过简单的接口调用，就可以使设备或产品具有高精准、高性能、可定性、可拦截的威胁情报检测能力。用户不需要任何威胁情报、安全对抗知识，也无需了解威胁情报研判和检测逻辑，即可轻松具备产品的情报能力加持。

生态共赢

另外，Gartner调查发现，尽管威胁检测能力取得了长足的进步，但攻击者仍然能够完成渗透目标，这在很大程度上是由于不同竞争对手和行业的不合作或不共享威胁信息。由此可见，生态合作是威胁情报市场发展的必由之路。

奇安信威胁情报中心面向网络安全威胁情报生态联盟（CEATI）成员，提供不同等级的QTDE集成应用服务。该服务可通过集成威胁情报的SDK动态库方式，让联盟合作伙伴的产品在短时间内具备基于威胁情报的检测能力，共同推动产品、解决方案层面的情报深度融合的同时，也推动了威胁情报行业生态发展。

图4 联盟生态合作伙伴

面对计算资源受限导致无法很好消费威胁情报数据的情况，奇安信威胁情报中心能够提供定制化的 QTDE 分发规则，仅提供分析师运营过滤、确认的热点情报数据和高价值情报数据（例如APT类数据）；而对于硬件性能、使用场景均适宜的产品，则提供全量的 IOC 数据和更丰富的上下文信息，充分满足NGFW、UTM、终端防病毒、虚拟化终端、云安全、SOC、态势感知等多种网络安全设备、主机应用和大数据平台的集成需求。

不仅如此，奇安信威胁情报中心推送的情报数据升级包频率为小时级更新，极大程度上保证了威胁情报的时效性和准确性。

附：网络安全威胁情报生态联盟简介

CEATI（Cybersecurity Ecology Alliance of Threat Intelligence）网络安全威胁情报生态联盟，是由奇安信威胁情报中心联手国内多个著名安全公司共同发起的共建威胁情报行业生态的的联盟机构，旨在以威胁情报能力应用为核心，打造新生态圈模式，情报使能、共谋共策、开放合作、共赢未来。