企业需要从事件驱使型(被动)感知，向情报引导及风险驱使型(主动)感知转变。

1. 被动感知

被动感知主要指传统的被动检测方式：各种IPS\IDS\APT等流量监测产品的报警，或者来自第三方的通报(如：行业主管或者国家监管部门)，了解我们网络中发生的威胁。

2. 主动感知

主动安全不是说直接攻击对手，而是在攻击者有攻击企图的早期就能预警到，并进行主动探测，并能及时采取action。威胁情报分析，实质也就是挖掘整体黑色产业链，主动的监控、切断相关环节，并对恶意工具的制作者、攻击者、卖家买家等进行查出，从而达到主动防御的效果。

线索是未知威胁留下的痕迹，是入侵造成的异常。如果你发现一个异常，无论是恶意域名或疑似木马，还是疑似盗取数据的行为，那么你就有了一个起始点，也许这时候你并不知道面对的是什么样的威胁，或者根本就不是威胁，但至少可以深入调查。