L’intelligence sulle minacce informatiche (CTI) consiste in informazioni analizzate sulle minacce informatiche, sul comportamento e sulle capacità degli attaccanti, sulle loro infrastrutture e sui probabili obiettivi. Può includere indicatori tecnici, come domini dannosi o hash di file, oltre a informazioni contestuali su tattiche, campagne o dati organizzativi esposti.
La CTI aiuta i responsabili della difesa a stabilire le priorità degli avvisi, orientare le indagini e decidere dove rafforzare il monitoraggio o i controlli. Nella difesa concreta, i team possono usare feed per arricchire i rilevamenti, monitorare le infrastrutture degli attaccanti o sorvegliare fonti clandestine alla ricerca di menzioni pertinenti. Questi segnali sono indizi, non prove di una compromissione: le informazioni possono essere obsolete, incomplete o fuorvianti, quindi gli analisti dovrebbero verificarle confrontandole con i dati di telemetria interni prima di agire.