La raccolta di intelligence è il processo di acquisizione di informazioni che possono aiutare gli investigatori a identificare persone, mappare reti, comprendere le intenzioni o interrompere attività ostili. Nella sicurezza informatica, il materiale raccolto può includere nomi utente, dettagli sull'infrastruttura, modelli di comunicazione, tracce finanziarie, registri di viaggio, artefatti di malware e dichiarazioni pubbliche. L'obiettivo non è solo osservare un evento, ma costruire un quadro utilizzabile di chi è coinvolto e di come opera.
Questo è importante perché gli incidenti informatici vengono spesso valutati sulla base di prove tecniche incomplete. La raccolta di intelligence aiuta a colmare le lacune a cui log, campioni e avvisi non possono rispondere da soli. I difensori la usano per supportare l'attribuzione, la threat hunting, la risposta agli incidenti e le segnalazioni alle forze dell'ordine. Anche gli aggressori si affidano alla raccolta di intelligence durante la ricognizione, cercando servizi esposti, dati dei dipendenti o relazioni con partner che possono essere usati per phishing, intrusione o persistenza. Nelle campagne di attribuzione pubblica, le segnalazioni di ricompensa e altre divulgazioni sono una forma di pressione per la raccolta di intelligence: mirano a far emergere indizi, identificare gli operatori e rendere più difficile nascondere le operazioni future.