2026 SANS 网络威胁情报（CTI）调研洞察 从威胁指标到业务洞察：CTI 如何同时赋能一线从业者与高层决策者

赞助：Broadcom·Dataminr·ESET赞助：Broadcom·Dataminr·ESETFlare·INTEL471·SOCRadar·Wiz发布时间：2026年5月·中文翻译版2026SANS网络威胁情报（CTI）01高管视角：价值与影响力的鸿沟首次纳入67名CISO/CSO调研02从业者现状：小团队与资源约束团队规模、留任、收集与传播03运营重心：SecOps重回榜首用例分布、效果反馈与成熟度追踪04新变量：AI落地与治理合规AI规模化应用、地缘政治与监管05核心瓶颈：结构性障碍而非技能时间、资金与组织孤岛是主因06行动建议：五项当务之急小团队设计、度量、法务前置等来源：2026SANSCyberThreatIntelligence(CTI)SurveyInsights·样本401名从业者+67名CISO来源：SANS2026CTISurvey·作者RebekahBrown&AndreasSfakianakis鸿沟不在立场，而在"被认可"与"被使用"之间SANSCTI年度调研每年都在变锐利。今年它迈出了整个领域期待已久的一步：首次加入专门的CISO模块，收集了67名安全高管（主要是CISO与CTI一直服务两类受众：生产情报的分析师，以及用情报做决策的领导者。以往调研只深入刻画了从业者视角，高管视角多靠推断。今年两类数据首次同时齐备。67而是一道关于"认可"与"影响力"的结构性鸿沟。01"价值一影响力鸿沟"是CISO数据中最核心的发现02CISO要的是"可操作情报"，而不是"更多情报"他们最关注的是正在被actively利用的漏洞和攻击者的TTPs（战术、技术与流程），而不是更宏大的战略报告。91%的CISO认可CTI价值，却只有26%说它真正影响决策CTI对组织整体安全战略的价值？极其有价值极其有价值49%有价值42%CTI对高管决策的实际影响程度？42%42%26%25%6%2%问题不在可信度——CISO不怀疑情报准确性。问题在"翻译"：准确描述威胁，不等于告诉高管该如何应对。CISO不要更多报告，他们要"正在被利用的漏洞"和"对手的战术"最有用的CTI报告类型（多选）89%89%78%70%67%65%62%49%41%威胁全景报告事件复盘报告每日/每周安全资讯分析运营化威胁趋势报告"密切关注"战术报告针对特定威胁actor的报告季度/年度战略报告业务导向报告威胁全景与事件复盘领跑，季度战略报告和业务导向报告垫底——很可能不是高管不想要，而是CTI团队根本没产出。未来12个月最需要的威胁信息（多选）被攻击者被攻击者actively利用的漏洞对手的具体行为与TTPs攻击趋势的宏观信息针对品牌/IP的威胁警报与IOC关于对手组织的详细信息被盗信息如何被变现恶意软件的详细信息79%77%64%62%46%44%39%问题不是"哪些漏洞存在"，而是"现在哪些漏洞正被像我们这样的组织武器化"。1构建"决策包"，而不是"情报简报"围绕高管正在做的决策来组织产品，而不是围绕分析师正在追踪的威胁。以建议为先导，用证据支撑，并明确下一步行动。2把CTI直接接入漏洞管理流程79%的CISO想知道哪些漏洞正在被利用，63%的CTI团队已直接支持漏洞管理。缺的是把"哪些漏洞先修、修多快"显式呈现给决策者。每一次事件都是证明CTI价值的机会。在每次事件后复盘评审中加入"CTI贡献章节"，记录事前已掌握什么、用了什么、下次该提前做什么。只有41%的CISO认为业务导向情报有价值——但这几乎肯定是因为他们很少见过。并购风险评估、高管差旅简报、供应链威胁情报，都是待开垦的全新品类。来源：SANS2026CTISurvey·全样本401已被机构广泛采用，但多数团队不足4名全职员工（FTE）。被要求做的事与可用资源之间的差距，是2026年最核心的结构性挑战。影响力鸿沟是headlineCISO压倒性地认可CTI（91%），但仅26%说它显著影响决策。被欣赏却不被使用的情报，尚未实现其目的。近半组织（45%）已在CTI中使用AI，主要用于摘要、报告与工作流自动化。人在回路（human-in-the-loop）模式仍然成立，AI已是运营预期而非新鲜超过半数组织（55%）的CTI共享流程未经法务审核。NIS2、网络韧性法案等新规正施加真实义务。这不是技术问题，是结构性问题。缺时间（44%）和缺资金（44%）——而非缺专业能力——是落地CTI的最大障碍。倦怠、组织孤岛和运营节奏是分析师的日常现实。标志着情报正被嵌入日常防御工作。CTI已不再为"合法性"而战，它在为"影响力"而战但今年调研问了一个更难的问题：CTI究竟对什么不可或缺？告它显著影响决策。分析师把"缺时间、缺资金""CTI不再为合法性它在为影响力而战。"CTI被"采用"的速度，远远快于被"资助"的速度56%56%21%13%6%4%近34%的组织依赖"零专职团队"或"单一责任人"模式，CTI更像副业而非专注能力。即便有正式团队，多数仍不足4名FTE，且被要求同时支撑威胁狩猎、漏洞管理、事件响应、高管决策等一整套需求。关键判断·十年前，有专职CTI资源还是稀罕事；如今56%已是常·但正式采用并未转化为资源增长——CTI项目被要求shaping组织posture，实际却在响应最响亮的即时需求。·项目负责人不应再期待"规模会自己长出来"，而要为小团小团队靠"技能培训"留人，靠"分析文化"扎根58%58%48%41%33%28%15%15%线下团建/脱产retreat内部brown-bag分享会被忽视的短板：分析文化外部培训、供应商互动、内部技术培训——这些"技能优先"的策略领先，是因为技术和分析技能差距是持续存在的障碍。但明显缺位的是对分析文化的投资：off-siteretreat、内部工作会、brown-bag分享都远低于正式培训。没有共享框架、没有机构化知识沉淀的小团队是脆弱的——分析师一走，上下文就被带走。图2·来源：SANS2026CTISurvey·分析师敬业图3·来源：SANS2026CTISurvey·与2025年数据对比收集来源正在"去媒体化"：开源情报与正式报告崛起，新闻与社媒下降当前收集计划纳入的信息来源（多选）外部媒体与新闻曾在2025外部媒体与新闻曾在2025年达到90%的峰值，2026年骤降。这未必意味着媒体价值下降，而是CTI团队在纳入信息时变得更有选择性。一个可能的解释是：AI生成内容泛滥，验证真实性与可靠性需要额外时间——从业者正在变得更加审慎。82%75%75%69%(↓90%）66%65%61%59%49%(↓65%）开源/公开CTI情报源已发布的情报报告厂商威胁feed外部媒体报道与新闻↓事件响应与取证数据漏洞数据行业社区/ISACs/CERTs暗网/封闭来源社交媒体↓解决思路之一是用AI工具本身来过滤和验证报告，降低这一新的overhead。报告仍是主导传播方式，但只有三分之一团队有清晰的"产品组合"CTI信息的利用/传播方式（多选）接入现有企业工具/平台75%63%61%60%54%报告仍是CTI传播的主导模式。更值得注意的是产品组合的成熟度：没有明确定义的产品组合，团队就会被动响应临时需求，而不是按计划交付。CTI团队是否有明确定义的产品/服务组合？●已有完整组合●●已有完整组合●部分定义●没有定义34%/41%/24%34%只有34%的团队有完整定义的产品组合，41%部分定义。没有产品组合，CTI就是被动响应，难以度量、难以证明价值、也难以在预算周期中存续。SecOps以71%重新夺回CTI头号用例CTI数据在贵组织中的利用方式（多选）2023_2025年间威胁狩猎曾占据榜首。随着组织成熟其检测工程能2023_2025年间威胁狩猎曾占据榜首。随着组织成熟其检测工程能力，狩猎中获得的洞察被固化为规则、playbook和持续运营能力，对高强度狩猎的需求下降。71%69%66%63%59%44%43%41%35%安全运营/威胁防御事件响应威胁狩猎/假设生成漏洞管理安全意识与用戶教育威胁建模对手模拟/紫队演练风险管理/合规桌面演练但硬币的另一面是：当CTI主要服务于日常运营支持时，战略级、前瞻性情报的产能会被挤压。小团队被日常运营"捕获"后，战略情报就会受损。●●是51%●否32%●不确定17%51%43%43%●是57%●否43%44%团队把缺资金列为头号障碍的环境"你无法为一个你无法度量的预算辩护。"能在预算压力下存续的CTI项目，都是那些能拿出可度量影响证据的项目。反馈与度量不是锦上添花，是生存底线。AI已从实验走向运营：45%已在用，32%计划用，核45%32%计划采用——合计77%。问题已不再是"AI会不会影响CTI"，而是如何规模化、如何治理。AI在CTI项目中的具体用途（多选）数据摘要与报告撰写56%数据解析/标准化/信息抽取46%自动化与工作流增强45%使用厂商产品内嵌AI42%改进数据收集33%简化CTI数据集查询31%提供相关建议与上下文31%威胁/漏洞优先级排序与分析28%这些都是高量级、低洞察的工作——正是分析师不该花时间的地方。AI不是在替代CTI分析师，是在把时间还给他们去做AI做不了的事。人在回路模式仍然成立。地缘政治已成情报需求，而55%的CTI共享流程仍无法务审核●●非常重要50%●有些重要30%●有点重要15%●完全不重要5%50%物理安全/物理情报已成为21%组织的CTI用例——网络威胁与物理威胁的融合正在加速。高管正被作为个人、而非仅作为组织目标针对，CTI与物理安全团队需要更紧密协调。CTI共享流程是否经法务部门审核？●●否（无法务审核）55%●是45%55%如果CTI不能安全地共享情报，这门学科的核心前提就崩塌了。法律不确定性导致团队对共享持保留态度，延缓对新兴威胁的协同响应。 落地CTI的主要障碍（多选）缺时间实施新流程缺资金缺管理层支持CTI团队缺技术技能CTI团队缺分析技能互操作性/缺自动化27%24%21%21%44%44%好消息是：技术与分析技能差距虽然真实存在，但排名远低于结构性约束。组织已在培养CTI人才方面取得真正进展——瓶颈不在人，在组织。限制分析师效能与成长的挑战（多选）组织孤岛/跨团队协作差40%倦怠38%工作相关压力/疲劳35%持续高强度运营节奏35%优先级不清晰34%倦怠在效能调查中如此突出，是一个值得组织关注的信号。当CTI因倦怠失去分析师，影响是连锁的——institutional