01 · STIX 2.1 标准化封装
画像产出要进入自动化防御体系，必须摆脱"邮件发Excel"的原始模式。本课题采用OASIS STIX 2.1（Structured Threat Information eXpression，结构化威胁信息表达）作为国际交换格式，并以TAXII 2.1作为传输协议（2021年6月成为OASIS标准）。
| STIX 2.1对象 | 画像数据映射 |
|---|---|
| Indicator（攻击指标） | 一条画像告警：pattern为domain-name:value，pattern_type为stix，附valid_from、置信度（STIX confidence刻度：None/Low/Medium/High或0-100） |
| Observed Data（可观测数据） | 告警关联的RDAP记录快照、NS聚落成员清单（去标识化后） |
| Threat Actor（威胁主体） | 聚落级团伙画像（仅方法论属性：命名模式、基础设施偏好、时区行为；不虚构具体命名归因） |
| Attack Pattern（攻击方法） | 滥用类型标注（钓鱼/恶意软件/C2，对齐DAAR四类分类法） |
| Relationship/Sighting | Indicator↔Campaign关联；消费方命中回传Sighting，驱动置信度演化 |
{
"type": "indicator",
"spec_version": "2.1",
"pattern": "[domain-name:value = 'brand-login-verify.example']",
"pattern_type": "stix",
"valid_from": "2026-09-13T08:12:00Z",
"confidence": 85,
"labels": ["malicious-activity"],
"external_references": [{"source_name": "dm-profile",
"description": "画像评分P1；品牌距离=1；NS聚落历史恶意率37%"}]
}02 · 国内对标：GB/T 36643-2018
国内交换场景对标GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》（SAC/TC260归口，2018年10月10日发布，2019年5月1日实施）。该标准定义了网络安全威胁信息的八类核心组件：
- 可观测数据、攻击指标、安全事件——对应画像告警的原始记录、评分结论与确认事件三层；
- 攻击活动、威胁主体、攻击目标、攻击方法、应对措施——对应聚落campaign视图、团伙方法论画像、受害品牌、滥用类型与处置建议。
双格式映射原则：内部数据模型与STIX 2.1一一对应，对外按消费方环境动态渲染为STIX 2.1或GB/T 36643-2018格式，避免维护两套异构数据模型。映射表作为课题交付物之一维护版本化。
03 · 共享与处置协同通道
| 通道 | 适用场景 | 依据/机制 |
|---|---|---|
| CNNIC域名投诉举报处理平台 | .CN域名的钓鱼/恶意注册处置（发现→受理→暂停解析） | CNNIC运营的国家域名滥用处置通道 |
| 成员单位情报共享 | 画像告警、聚落情报的分级推送（对标APWG成员共享机制） | APWG eCrime Exchange等成熟实践；MISP/OpenCTI平台承载 |
| 注册服务机构协同接口 | P1告警直达注册商安全团队：核验、限速、暂停 | 2013 RAA第3.18条反滥用义务（配合调查与处置的框架依据） |
| ICANN合同合规渠道 | gTLD注册商对证据充分的滥用不处置时升级投诉 | ICANN Contractual Compliance受理WHOIS/RDAP不准确与滥用不处置投诉 |
| RDRS披露请求 | 个案研判需要非公开注册数据时，通过注册数据请求服务提交 | RDRS于2023年11月28日试点上线，为请求方与注册商间提供标准化披露通道 |
04 · 合规要点清单
- 《网络安全法》《数据安全法》《个人信息保护法》：画像特征存储采用聚合去标识化形态；任何含自然人信息的内部数据不出域、不共享。
- 《反电信网络诈骗法》（2022年12月1日施行）：注册行为监测与前置预警属于该法鼓励的"技术反制"能力；同时监测行为本身须依法合规开展。
- GDPR/跨境：涉及gTLD数据共享的国际交换遵守数据出境合规评估；个案披露一律走RDRS，不旁路抓取。
- 负责任共享：共享前分级（TLP:RED/AMBER/GREEN/WHITE约定）、脱敏（去除内部探针痕迹）、留痕（谁收谁用可审计）。
- 不越界：画像输出为"风险评估辅助"，不直接作为封禁唯一依据；涉及注册商/TLD的聚合指标不公开点名。
05 · 本节参考来源（第7页）
OASIS "STIX Version 2.1"（2021年6月）：docs.oasis-open.org；"TAXII Version 2.1"：docs.oasis-open.org。
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》（SAC/TC260，2018-10-10发布，2019-05-01实施）：openstd.samr.gov.cn。
ICANN 2013 Registrar Accreditation Agreement（第3.18条反滥用配合义务）：icann.org。
ICANN Registration Data Request Service（RDRS）：rdrs.icann.org（2023年11月28日试点上线）。
APWG eCrime Exchange：apwg.org；MISP：misp-project.org。
《中华人民共和国反电信网络诈骗法》（2022年9月2日通过，2022年12月1日施行）。