摘要

Cloudflare 宣布将 Cloudforce One Threat Events Platform 的能力扩展到所有 Cloudflare 账户，并推出 Threat Signals。该工具可以自动解析公开来源的威胁情报报告，提取结构化指标和攻击背景，再将相关情报连接到 Web 应用防火墙规则。Cloudflare 试图降低企业处理开源威胁情报的门槛，让安全团队从公开报告中更快识别攻击基础设施、恶意 IP、域名和漏洞利用活动，并直接转化为检测和防护措施。

正文（译文）

让开源威胁情报更容易使用

开源威胁情报通常分散在安全厂商报告、研究博客、漏洞分析和事件复盘中。安全团队需要从大量文本里提取 IP 地址、域名、文件哈希、攻击组织、漏洞编号以及攻击方式，再判断这些指标是否与自身网络相关。

Cloudflare Threat Signals 使用代理式技能自动解析这些报告，将非结构化文字转化为结构化威胁指标，并保留指标之间的上下文关系。

这些信息可以被进一步用于查询、筛选和调查。安全团队不必从每份报告中手动复制指标，也不必重复整理相同的威胁背景。

从情报到防护规则

Threat Signals 的一个重点是把威胁情报与 Cloudflare 的防护能力连接起来。

在发现某个攻击活动使用特定域名、请求模式或漏洞利用方式后，安全团队可以将这些信息用于 WAF 规则和其他安全控制。这样，威胁情报不再只是存放在报告库里的背景材料，而是可以直接帮助调整检测和阻断策略。

Cloudflare 表示，该能力适用于处理公开发布的威胁报告，也可以帮助团队在调查事件时快速建立关联信息。

面向所有 Cloudflare 账户

Cloudflare 将 Threat Events Platform 的相关能力扩大到所有 Cloudflare 账户。公司表示，后续会继续增加更多情报处理技能、调查工作流和防护连接方式。

Cloudflare 同时强调，自动化系统的结果仍需要安全人员审核。威胁指标可能存在误报、过期或上下文不足等情况，企业在将其用于生产环境前仍应结合自身日志、资产和业务环境进行判断。