intel/1.1.0 · 更新于 2026年7月9日

防御情报

从零散信号到全局视图：列表、地图、预警和响应包。

情报层汇集活动、可疑基础设施和滥用模式，在做出决策前提供上下文。

关闭事件前，应检查 watchlists、关系图、预警和报告。这种评估可避免把每个案件都当作全新问题。

Intel 还用于准备外部响应：takedown packs、滥用报告、监控活动以及用于机构协调的可复用材料。

检查清单

• 响应事件前检查 watchlists 和 threat graph。
• 当模式可重复且跨领域时发布 early warning。
• 如果活动或基础设施持续存在，请准备 takedown pack。

快速开始

1. 当发现已呈现重复或活动模式时，转入 intel。
2. 使用 watchlists 和报告，避免每次案件都从零开始。
3. 如需外部响应，请结合上下文准备 takedown 或 report abuse。

运维流程

分组

关联相关域名、活动、参与者或基础设施。

跳出孤立事件视角。

预判

当模式可能重复时发布 watchlists 或 early warnings。

在损害升级前采取行动。

对外响应

如果外部协调可以减少活跃攻击面，请准备报告或 packs。

将本地防御与机构响应连接起来。

flowchart LR
  S1["分组"]
  S2["预判"]
  S3["对外响应"]
  S1 --> S2
  S2 --> S3

验证器与检查

针对当前界面执行上下文分析，并返回以运维为重点的建议步骤。

验证 intel 路径

有关 watchlists、warnings 和 takedown 的文章及后续步骤。

示例

针对 intel 发现的 manual candidate

{
  "title": "Patrón recurrente para watchlist",
  "sourceType": "intel_report",
  "sourceRef": "report_demo_001",
  "summary": "La infraestructura imitadora se repite en múltiples campañas y conviene documentar criterio de escalado."
}

链接与参考