威胁情报源如何集成到邮件防御体系？

监测情报命中率：某发件 IP 或域名在情报库中出现、邮件含已知恶意 URL 或附件哈希命中勒索软件情报、威胁行为体关联指纹出现。通过每日命中数、误报率、情报源新鲜度评估有效性，避免过期情报造成误杀。

• 以 TAXII 2.1 拉取或厂商 API 同步情报，落地到网关策略与 SIEM 关联规则。
• 对高置信情报自动加黑或隔离，低置信情报仅告警并人工研判。
• 建立情报去重、置信评分与过期清理机制，防止规则膨胀与冲突。

攻击者在投递前频繁轮换基础设施（域名生成、速变 VPS），依赖情报滞后窗口；也会投放尚未入库的零日载荷。集成情报能压缩其有效窗口，但对使用合法被黑邮箱的「好友发信」效果有限，需配合内容与行为分析。

CIS Controls v8 控制项 10（漏洞与配置管理）、13（网络监控与日志）要求持续收集与响应情报；采用 STIX/TAXII 标准化格式保证可移植，符合 NIST SP 800-150（信息共享）与 800-61（事件响应）的互通要求。