微步在线 (ThreatBook)

微步在线 (ThreatBook) 是国内威胁情报领域的头部平台，以威胁情报和AI驱动企业级网络安全检测与响应。核心入口是X情报社区，一个公开的威胁情报分析平台，可免登录浏览部分内容，查询需注册。免费版提供基础查询，付费个人版解锁更多次数，企业版按需定制。

在X情报社区追踪APT组织

X情报社区汇集了大量APT组织攻击手法报告、威胁研究报告和暗网监测数据。安全研究员可以追踪特定APT组织的活动，查看其使用的工具、攻击链和IOC指标。社区属性意味着情报由多方贡献，不是官方单方面发布，信息更新快、覆盖面广。企业安全团队能从中获得早期预警，比如发现某个IP或域名被标记为C2服务器，提前在边界阻断。社区还支持威胁情报共享，用户可上传自己发现的威胁指标，经审核后纳入数据库，形成协作防御。

查询IP、域名和文件哈希的威胁标签

威胁情报查询是微步在线最常用的功能。输入IP、域名或文件哈希，系统返回威胁标签、关联样本、历史解析记录和攻击者画像。一个可疑IP可能被标记为“海莲花APT”“僵尸网络”“扫描器”，并关联到具体的攻击事件。查询结果还会展示该IP的域名解析历史、注册信息、开放端口等上下文，帮助分析师判断威胁等级。文件哈希查询整合多引擎扫描结果和沙箱动态分析，快速识别恶意软件家族。免费版支持基础查询，适合独立安全研究员日常使用；付费版提供更高频次和API接口，方便集成到SIEM或SOAR平台。

通过全流量分析发现隐蔽攻击

威胁感知平台TDP是微步在线面向企业级流量的检测产品，基于全流量分析，对网络会话进行实时还原和威胁判定。与传统IDS不同，TDP利用威胁情报和AI模型降低误报率，重点发现隐蔽信道、横向移动和数据外传等行为。它能够识别加密流量中的恶意活动，无需解密即可通过流量特征和元数据判断异常。TDP还支持攻击链可视化，将多个告警串联成完整事件，减少安全运营人员的排查时间。对于已经部署了NGTIP或OneSEC的企业，TDP可以联动下发阻断策略，形成检测-响应闭环。

同类威胁情报平台的使用边界

与奇安信威胁情报中心、绿盟威胁情报等国内平台相比，微步在线的差异化在于X情报社区的开放性和AI集成度。奇安信更侧重与自身产品体系绑定，绿盟则偏向传统漏洞库和规则匹配。国际平台如VirusTotal提供更广泛的文件扫描，但缺乏针对国内APT组织的深度报告；AlienVault OTX社区活跃但情报质量参差不齐。微步在线通过XGPT AI助手进一步降低分析门槛，自动解读威胁日志和告警。不过，免费版查询次数有限，个人版需付费，企业版价格不透明，可能不适合仅偶尔查询的个人用户。面向需要持续监控和自动化响应的团队，微步在线的产品矩阵更完整，但部署成本也更高。