insiderthreatmatrix.org

是什么

Insider Threat Matrix™（ITM）是一个面向数字调查人员的内部威胁统一框架，用于刻画组织内部人员在侵害前后的行为轨迹。它将内部威胁拆分为 Motive、Means、Preparation、Infringement、Anti-Forensics 等阶段，当前文本显示约 700 个知识对象，并有近期新增内容。它不是传统意义上的 EDR、DLP 或 UEBA 产品，更像是可被安全团队嵌入流程的知识库与分类语言。

核心能力与防护维度

在防护类型上，ITM覆盖内部威胁调查、检测工程、活动关联和政策编写。其条目细分到 MSP 委托访问、企业集成 AI 平台、Web 服务外泄、拒绝服务、日志删除、磁盘擦除等场景，适合帮助团队补齐内部威胁视角。部署方式未显示为软件安装或 SaaS 控制台，文本更多强调在检测规则、告警 playbook、案件管理平台和事件报告中引用 ITM ID。管理与告警方面，它可为分析员提供上下文，并通过 ID 关联重复事件趋势。集成能力主要体现在与检测工程、案件管理、事件报告及 MITRE ATT&CK 映射结合。

定价与合规

抓取内容未提供定价模式、付款方式、企业支持包或合规认证信息，因此不能判断商业授权与服务等级。若企业准备正式纳入流程，应进一步确认使用许可、更新机制、API 或数据导出能力，以及是否有供应商支持。

优缺点

优点是结构化程度高，覆盖内部威胁生命周期完整，且关注 AI 平台、MSP 等新型访问面；统一术语对调查、SOC、法务和管理层沟通有帮助。缺点是它本身不提供自动阻断、终端采集或数据防泄漏能力，实际落地仍依赖 SIEM、EDR、IAM、DLP、CASB、工单与案件管理系统；支持、合规和部署细节也不足。

适合谁与中国访问

ITM适合有内部威胁治理需求的中大型组织，也适合希望标准化调查语言的安全运营和取证团队；小团队可将其作为规则和制度模板参考。中国访问情况文本未说明，网络连通、支付和本地化支持均未知。替代或补充可参考 MITRE ATT&CK、MITRE D3FEND、CERT Insider Threat 资料，以及本地 SIEM/UEBA/DLP 厂商的内部威胁模型。