子课题06：路由安全态势感知与情报共享（第4页：路由安全威胁情报生产与共享） - RPKI路由安全 - 研究课题

01 · 情报生产生命周期

路由安全威胁情报的生产遵循通用的情报生命周期六阶段模型（规划→收集→处理→分析→分发→反馈），每个阶段在路由域有具体的操作化定义：

阶段	路由域操作化定义
规划	明确消费方需求：自有网络防护（前缀级监测需求）、行业态势（指标级需求）、监管报送（区域级汇总需求）；定义情报收集优先级（重点前缀清单、高频被劫AS清单）
收集	多源路由数据采集（第2、3页）；同步收集事件相关的注册数据（WHOIS/RDAP、IRR、PeeringDB）作为归因与上下文证据
处理	事件结构化与实体对齐（前缀规范化、ASN解析、时区统一）；证据链归档（原始BGP报文、观测点清单）；去重与合并（同一事件多观测源记录归并）
分析	事件分类与归因（劫持/泄露/事故，置信度分级）；影响面量化；战术情报提取（IOC抽取）；作战/战略情报汇总（周/月/年度报告）
分发	按TLP分级经TAXII 2.1、邮件列表、协作平台分发；按消费方角色裁剪内容粒度（路由器配置建议 vs 管理层摘要）
反馈	消费方处置结果回收（确认/误报/未处置）；误报样本回流检测引擎优化；需求再收集，驱动下一轮规划

02 · 路由域IOC类型学

2.1 三类路由安全IOC

IOC类型	内容	典型消费方式
异常宣告IOC	（前缀，异常起源AS, 时间窗, AS_PATH证据）四元组；如"1.1.1.1/32 由 AS267613 于2024-06-27宣告，属劫持"	路由器/监测工具实时比对（BGPalerter规则、检测管道黑名单）
风险ASN画像	反复劫持者画像：历史劫持次数、事件类型分布、上游提供商特征、注册信息完整性评分；参考IMC 2019"BGP Serial Hijackers"研究的方法学	路由策略参考（是否接受该ASN宣告）、深度研判优先队列
基础设施关联IOC	与路由事件耦合的域名/IP/证书证据（如劫持期间出现的钓鱼域名、异常TLS证书）；衔接反钓鱼工作组的域名侧情报	多源关联分析、跨域（路由-域名）协同处置

2.2 IOC的时效语义

路由IOC不同于传统文件哈希IOC，其"失活"机制特殊：一次劫持宣告结束后，该IOC即失去实时防御价值，但历史IOC对画像类分析仍有价值。因此IOC对象必须携带：valid_from/valid_until时间窗、事件状态（active/expired/retracted）、以及"过期IOC仅用于历史分析"的使用提示。错误地长期保留过期前缀级IOC，可能导致合法的路由迁移被误拦。

03 · STIX 2.1对象建模规范

STIX 2.1（OASIS标准）定义了18类领域对象（SDO）、3类关系对象（SRO：relationship、sighting、language-content）与多类可观测对象（SCO，含autonomous-system、ipv4-addr、network-traffic等）。路由安全情报的核心映射如下：

STIX对象	路由安全映射
Indicator（指标）	异常宣告模式：pattern如"[network-traffic:src_ref.type = 'asn' AND network-traffic:src_ref.number = 267613]"，valid_from/valid_until对应事件时间窗，labels标注hijack/leak类型
Observed Data（观测数据）	事件证据快照：number_observed、first_observed/last_observed，objects引用具体的autonomous-system（SCO）与ipv4-addr/network-traffic对象
Infrastructure（基础设施）	反复劫持者控制的网络基础设施：AS集合及其上游链路特征，关联Infrastructure类型'asn'
Threat Actor（威胁行为者）	有充分归因证据的劫持组织（须谨慎使用：仅当多源证据链闭合时升级为Threat Actor，否则保留为Infrastructure）——归因置信度在description中显式声明
Report（报告）	周/月/年度态势报告：object_refs聚合当期事件与指标，支持消费方整包导入
Relationship（关系）	事件对象间的证据链：Indicator --based-on--> Observed Data --related-to--> Infrastructure

3.1 建模规范要点

SCO标准化：自治系统使用autonomous-system对象（number字段为ASN，name字段取RIR注册名）；前缀使用ipv4-addr/ipv6-addr对象配合CIDR掩码；杜绝在自定义字段中塞入非结构化文本。
置信度标注：利用STIX 2.1的confidence字段（0-100）映射本课题三级置信度（高=80+、中=50-79、低<50），消费方可按阈值自动过滤。
撤销机制：误报情报以STIX 2.1的revoked=true标记重发，消费方据此自动清除本地规则——这是情报质量信誉的硬约束。
国内对标：GB/T 36643-2018《信息安全技术网络安全威胁信息格式规范》定义了国内网络安全威胁信息的结构化表达，与STIX存在可映射关系（如威胁信息类别、可观测对象）；面向国内监管报送场景按该标准输出，面向国际协同场景按STIX输出，双映射表在本课题情报平台中维护。

{
  "type": "bundle",
  "objects": [
    {"type": "indicator", "id": "indicator--8f2e...",
     "pattern": "[autonomous-system:number = 267613 AND autonomous-system:name = 'ELETRONET SA']",
     "valid_from": "2024-06-27T10:30:00Z",
     "valid_until": "2024-06-27T11:05:00Z",
     "confidence": 85, "labels": ["hijack"]},
    {"type": "autonomous-system", "id": "autonomous-system--...",
     "number": 267613, "name": "ELETRONET SA"}
  ]
}

注：上例为结构示意（含省略号），字段名遵循STIX 2.1规范；pattern语法为STIX Cyber Observable pattern。

04 · 情报共享机制设计

4.1 TLP分级与共享范围

TLP标记	共享范围定义（依据FIRST TLP 2.0）	路由情报适用场景
TLP:CLEAR	可无限制传播	已公开事件复盘、MANRS合规度统计、ROA覆盖率指标
TLP:GREEN	社区内共享，可再传播但不公开	周度事件摘要、风险ASN画像（脱敏后）
TLP:AMBER	组织内或特定协议伙伴间共享	未公开事件细节、含有未授权方信息的归因证据
TLP:RED	仅限指定接收方，不得再传播	正在发生的重大事件协同处置信息、敏感基础设施情报

注：FIRST于2022年发布TLP 2.0，在AMBER之上增设AMBER+STRICT（仅限指定接收组织内共享）；本课题情报包统一按2.0版标注。

4.2 分发渠道与消费反馈

TAXII 2.1服务端点：提供Discovery、API Roots、Collections三类端点；按情报类型划分Collection（如routing-events、risk-asn-profiles、weekly-reports），按消费方授权。
平台集成：主流威胁情报平台（MISP、OpenCTI、Anomali、ThreatConnect等）均支持STIX 2.1导入/TAXII拉取；提供对象映射测试包，验证消费方解析兼容性。
低带宽消费方适配：对无法部署TAXII的小型运营者，提供邮件Digest与简化JSON feed（仅核心字段），保证协同覆盖面。
反馈闭环指标：情报被拉取率、处置确认率、误报反馈率三指标月度统计；误报率高的IOC类型触发规则回炉（响应KQ-2）。

激励相容设计：情报共享的可持续运转依赖"贡献-收益"对等：贡献方（上报事件细节、共享内部观测数据）应获得更高质量的情报订阅、优先研判支持或合规背书（如MANRS认可）。本课题在协同机制设计（第5、7页）中贯彻该原则。

05 · 情报质量评价框架

准确性

误报率<5%

已确认情报中经消费方判为误报的比例，季度统计

及时性

P1情报<10min

事件确认到情报发布的端到端时延

可行动性

处置建议完备率

情报附明确处置建议（拦截/观察/联系上游）的比例

可追溯性

证据链完整率100%

每条情报可回溯至原始BGP报文与观测点记录

06 · 公共情报源与消费生态衔接

Shadowserver路由安全报告：Shadowserver基金会向网络所有者免费提供其AS的路由安全观测报告（可达性异常、RPKI状态等），是情报"冷启动"阶段重要的外部校验源，也可作为本课题测量结果的交叉验证参照。
MISP社区与FIRST：接入既有MISP共享社区可快速获得解析兼容性与共享礼仪的实践经验；FIRST提供TLP规范与事件响应最佳实践框架，是情报团队能力建设的基础设施。
情报消费分级：对自动化成熟度不同的消费方提供三档接入——TAXII全量（机器消费）、简化JSON feed（轻量集成）、邮件Digest（人工研判）。
与SOAR衔接：事件API向SOAR平台输出时附带推荐处置动作（观察/拦截/联系上游），由SOAR编排执行并回传结果，形成自动化处置闭环。

建设次序建议：先以Shadowserver类公开报告校准自身检测质量，再向小范围伙伴推送TLP:GREEN情报试点，最后开放TAXII全量服务——逐级扩大共享半径，避免一开始就背负超出自身质量水平的情报信誉负债。

本节参考来源（第4页）

[1]

OASIS《STIX Version 2.1》规范原文：docs.oasis-open.org/cti/stix/v2.1；oasis-open.github.io/cti-documentation（对象模型官方文档）。

[2]

OASIS《TAXII Version 2.1》规范原文：docs.oasis-open.org/cti/taxii/v2.1。

[3]

FIRST《Traffic Light Protocol (TLP) 2.0》：first.org/tlp。

[4]

GB/T 36643-2018《信息安全技术网络安全威胁信息格式规范》（全国信息安全标准化技术委员会归口，标准全文公开系统可查）。

[5]

Testart C.等《Profiling BGP Serial Hijackers: Capturing Persistent Misbehavior in the Global Routing Table》（IMC 2019），DOI：10.1145/3355369.3355581（风险ASN画像方法学来源）。

[6]

MISP项目：misp-project.org；OpenCTI：filigran.io（情报平台集成参考）。

[7]

Shadowserver Foundation路由安全报告服务：shadowserver.org（网络所有者免费订阅其AS的路由安全观测报告）。

[8]

STIX 2.1 Patterning规范（同[1]规范原文的Patterning章节）：docs.oasis-open.org/cti/stix/v2.1（Indicator pattern语法权威定义）。

路由安全威胁情报生产与共享第4页 / 共8页