1 2023 中国威胁情报订阅 市场分析报告 2023 China Threat Intelligence Subscription Market Analysis Report Edition 2023.071st2 2023 中国威胁情报订阅市场分析报告 1 万物互联的时代，机遇与挑战并行，便捷和风险共生。“没有网络安全就没有国家安全，就没有经济社会稳定 运行，广大人民群众利益也难以得到保障。”习近平总书记高屋建瓴的话语，为推动我国网络安全体系的建立， 树立正确的网络安全观指明了方向。 随着后疫情时代的到来和地缘摩擦，网络空间的安全对抗日趋激烈，传统的安全技术不能全面满足安全防护的 需要，要想做到准确检测、高效响应和持续运营，威胁情报是必然的选择。 威胁情报颠覆了传统的安全防御思路，将“被动防御”转变为积极的“主动防御”，提高了信息系统的安全应 急响应能力。如果说了解漏洞信息是“知己”，那么掌握威胁信息则是“知彼”。正所谓知己知彼，百战不殆。 在攻防不对等的局面下，威胁情报的出现能够尽可能的消除这种差异，对于网络安全防护体系的发展具有里程 碑式的意义。 威胁情报并不是适用于所有人，在 2023 年 3 月 Google Cloud Security 的一场活动中，许多安全分析师作出 了坦诚的回答。考虑到大多数网络安全从业人员都在处理日常的安全事件和漏洞问题，如果需要威胁情报令组 织直接受益， 将威胁洞察力转化为行动的能力， 并将其整合到业务和安全流程中， 组织需要投入足够的资金预算。 但威胁情报又是网络安全发展未来的一部分，尤其是在 AI 高速发展的新时代。人工智能和机器学习可能是当 下最重要的技术进步，为构建、发现和创造一个全新的世界带来巨大的机会，威胁情报有在其中扮演者一个关 键的角色。同样在 2023 年 3 月，微软发布了一项新研究，在威胁情报中设置一个专门的人工智能安全红队， 这是一个由安全研究人员、机器学习工程师和软件工程师组成的跨学科小组，致力于了解攻击者如何接近人 工智能，以及他们如何能够破坏人工智能或机器学习模型，以便我们能够了解这些攻击以及如何领先于它们。 威胁情报是打造未来安全 AI 必不可少的一部分。 在国内，威胁情报的概念虽在早在 2015 年就开始普及，但许多用户依然对威胁情报是什么、如何订阅获取、 如何联动应用、业界有哪些落地实践的方式等基本问题都缺乏了解。当重大安全事件发生时会有大量的深度 APT 分析，可很多机构和组织往往不能充分利用其中信息，导致这些极具价值的信息被严重浪费。 当前国际秩序面临深度调整，全球科技竞争格局正加速重构，如何借助威胁情报能力提升自身业务安全基线， 是中国众多关键基础设施企业需要思考的问题。 在面对信息高度不透明、 商业模式不统一的威胁情报订阅源时， 能够做到正确、有效的将威胁情报应用于自身的生产环境中发挥出常规的价值已是不易，应该有更好的方式， 能够让威胁情报简洁、高效的为更多组织机构所了解和应用。 斯元商业咨询基于网安行业最新技术动态及长期行业调研数据，针对当下中国网络安全市场的需求，对当前国 内外主流的威胁情报订阅的商业应用模式进行调研后，发布本报告。报告内容涵盖威胁情报基本定义、主流威 胁情报订阅模式、常见可订阅威胁情报类型、典型威胁情报厂商、威胁情报应用案例等内容，对当前国内市场 的威胁情报商业订阅市场做出介绍。 希望本报告可以助力国内众多关键基础设施与甲方企事业单位的相关部门负责人及时了解威胁情报订阅的发 展动态，在合规梳理、安全体系建设和技术选型等环节辅助决策。 本报告属于斯元商业咨询 Cyber Security Billboard 系列报告之一。 2 2023 中国威胁情报订阅市场分析报告 基础信息：8 类 威胁信息：18 类可订阅威胁情报类型摘要 ABSTRACT IP 地理位置 域名服务器（DNS Server） 代理服务器（Proxy Server） Whois 内容分发网络（CDN） Tor 节点 自治系统号（ASN） 互联网数据中心（IDC） 威胁情报订阅商业市场生态 威胁情报订阅商业市场生态TI Lookup TI Feed情报查询 Portal威胁情报云平台 TI Cloud 威胁情报订阅 威胁情报 TI Subscription Threat Intelligence 基本信息 TI Inside ：独立网络安全专业产品威胁信息API情报下载 设备部署 TIG TIP平台部署 设备 / 平台部署IAM PAM SIEM AV NTA/NDR SEG ZTNA CAASM CASB SOAR IDS/IPS WAF VPT SASE BAS IDaaS ITDR EDR NGFW WAAP RASP SSE DAG HIDS DNS Security API Security SWG EASM DLP CNAPP最终客户 ICS/OT ... APT 情报 恶意软件 僵尸网络 垃圾邮件 事件情报 病毒木马 数字货币挖矿 扫描器节点 漏洞情报 勒索软件 恶意软件下载链接 色情网站 恶意网站 C&C 节点 钓鱼网址 赌博网站 数字证书 恶意邮箱3 TI Feed 和 TI Lookup 模式的区别 一、应用方式：TI Feed 模式一般采用 API 接口调用、SDK 引用集成两种方式获取；TI Lookup 模式大多采用 Web 在线浏览、API 接口调用两种方式查询。 二、应用效率：TI Feed 模式为获取后本地内置应用，效率更高；TI Lookup 模式为有输入基础上的交互应用， 受 QPS、网络性能等影响，效率较低。 三、应用场景：TI Feed 模式可按数据类型、威胁类型、设备类型等不同应用需求进行差异化获取，及组织 内多部门 / 多分支机构间共享交换；TI Lookup 模式相对单一，且不能实现海量情报的共享。 四、应用效果：TI Feed 模式为实时获取与预警，属于事前主动防御，TI Lookup 模式为协同查询与溯源，偏 向于事中事后被动防御。 五、数据丰富度：TI Feed 模式偏向检测阻断应用，只需传递核心信息，数据丰富度较低；而 TI Lookup 模 式偏向分析溯源，需提供更多佐证信息，数据丰富度较高。 六、风险数据隐私：TI Feed 模式无需提供自有数据即可完成获取，TI Lookup 模式需用户输入待查询数据才 可获取查询结果，有数据泄露隐患。 威胁情报订阅提供厂商 TI Lookup TI Feed 4 2023 中国威胁情报订阅市场分析报告 威胁情报订阅市场数据 在订阅模式方面，随着威胁情报应用逐渐走向成熟，相较于威胁情报平台 TIP 等落地模式，TI Subscription 威胁情报订阅模式，正在为广大用户所接受。预计 2023 年中国威胁情报订阅服务市场支出约为 7 . 1 亿元，相 比 2022 年增长 18.2%。对于威胁情报订阅的总体支出预计将在 2027 年达到 13. 1 亿元，年复合增长率约为 15.6%。其中威胁情报查询 TI Lookup 模式 2023 年市场占比约为 60.7%，年增速约为 8.7%，增长平稳；威 胁情报明文 TI Feed 模式 2023 年市场占比约为 39.3%，年增速约为 26.3%，处于高速增长期。 腾讯安全 9.3% 安恒 4.1% 天际友盟 2.1% 奇安信 35.7% 其他 25.6% 微步在线 23.2% TI LOOKUP 市场占比 TI FEED 市场占比 其他 36.8% Webroot 7 .0% 奇安信 9.1% 天际友盟 18.3% Kaspersky 15.2% VirusTotal(Google) 13.6% 来源：斯元商业咨询， 2023 8.0 40.0% 10.0 50.0% 12.0 60.0% 14.0 70.0% 6.0 30.0% 4.0 20.0% 2.0 10.0% TI Lookup TI Feed TI Feed整体市场占比 0.0 0.0% 2023 2024 2025 2026 2027 2023 中国威胁情报订阅市场 单位：亿元2.83.54.55.67.1 4.3 4.7 5.1 5.5 6.0 5 06 什么是威胁情报CONTENT目录 10 威胁情报的订阅模式 14 可订阅的威胁情报类型 17 提供威胁情报订阅服务的厂商 25 关于斯元商业咨询19 威胁情报订阅的应用 23 威胁情报订阅市场分析6 2023 中国威胁情报订阅市场分析报告 简述 概念 标准 什么是威胁情报 What is threat intelligence 01POINT 2013 年，Gartner 首先针对威胁情报出版专题文章。此后，业界虽对威胁情报未有统一定义，但大多数文献 均引用 Gartner 版本的定义。Gartner 对威胁情报的定义如下： “威胁情报是基于证据的知识，包括场景、机制、指标、含义和可操作的建议。这些知识是关于现存的、或者 是即将出现的针对资产的威胁或危险的，可为主体响应相关威胁或危险提供决策信息。” 换句话来说，威胁情报是指能够阻止或减轻相关攻击的知识。威胁情报以数据为基础，提供上下文——比如谁 正在攻击企业，他们的动机和能力是什么，以及安全分析人员在系统中需要寻找哪些失陷指标（IOC）——这 有助于对企业的安全做出决策。 在安全行业内， 大多数情况下所说的威胁情报指的是狭义 （经典） 威胁情报， 主要是攻击者相关信息 ： 包括动机、 目标、 TTP （攻击技战术） 、 IOC （失陷标识：Indicat