看不见的内部信号与看得见的外部协同

01 · 内部遥测挖掘

内部遥测是置信度最高的情报来源——它记录的是真实发生在自己网络中的行为。组织已有的安全设备每天都在产生高价值情报原料，缺的是提取与标准化的管道：

1.1 内部情报提取的标准流程

原始日志不直接等于情报。标准流程为：原始日志 → 候选IOC/行为模式提取 → 自动富化 → 分析师研判 → 标准化入库 → 反哺检测与共享。其中"分析师研判"环节不可省略——内部遥测的上下文（哪个资产、什么时间、什么进程链）是外部情报永远给不了的，这正是内部情报的价值核心。

1.2 深挖DNS日志

DNS是性价比最高的遥测投资，重点分析方向包括：

• NXDOMAIN异常：终端大量解析不存在的域名是DGA（域名生成算法）失陷的典型信号，关注单位时间NXDOMAIN比例突增的主机。
• 域名随机性：对查询域名计算字符熵与可读性特征，高熵长域名值得告警；这一思路是学术与工业界广泛研究的DGA检测主流方法。
• 低流行度域名：新注册、少人访问的域名若被内部主机解析，往往早于公开情报命中，适合作为主动发现钓鱼C2的狩猎线索。
• 查询类型与体量异常：TXT/NULL查询占比异常升高可能指示DNS隧道外传数据；单域名查询频率异常可能指示心跳C2。

1.3 TLS指纹与流量特征（遥测深挖进阶）

• JA3/JA3S 指纹：对TLS握手参数（版本、密码套件、扩展列表等）计算MD5指纹，可在不解密内容的前提下识别恶意工具与框架的TLS实现特征（Salesforce于2017年开源）。恶意软件家族与攻击框架常具有稳定JA3特征，是C2识别的高价值信号。
• JA4 / JA4+（2023年）：JA3的开源演进版本（Foxio发布），指纹采用分段可读命名（如JA4S覆盖TLS服务端、JA4H覆盖HTTP客户端特征），在保持被动识别能力的同时显著降低规则编写与跨组织共享成本，正成为新建能力的首选；存量JA3规则仍可继续消费。
• NetFlow/sFlow：五元组级流量统计足以支撑C2心跳检测（固定间隔小包、长连接、上下行比例异常），无需全包留存，存储与隐私成本可控。
• HTTPS元数据：在合规前提下保留域名级SNI、证书指纹、请求频率统计，与DNS遥测互为印证。

1.4 遥测数据保留策略（实践建议）

注：保留期为实践建议值，组织应结合行业监管要求、存储成本与法务意见确定；涉个人信息数据一律从严。

1.5 外部攻击面管理（EASM）：以攻击者视角的定向采集

内部遥测回答"网络里发生了什么"，EASM回答"攻击者能看见我的什么"。EASM以攻击者视角持续发现组织暴露在公网的资产与痕迹：被遗忘的子域名、过期的测试环境、影子IT、代码仓库中的敏感信息、泄露凭据等。其与第2页开源采集的关系是"定向与广谱"之别——开源管道收全网信号，EASM只盯自身名义下的暴露面；两者输出在情报库汇合后，暴露资产清单可直接转化为情报需求清单（RFI，第1页§6.3）与狩猎假设（第3页§1.2）。

1.6 Sigma检测规则示例（遥测→检测的转译层）

情报转化为检测能力需要规则层载体。Sigma（2016年由Florian Roth等发起）是通用日志检测规则的开源标准，规则经转换器（pySigma及后端插件）可编译为各SIEM查询语言，实现"一次编写、多平台分发"。以下示例演示遥测情报的典型转译形态：

title: 可疑宏文档派生脚本解释器（示例）
logsource:
  category: process_creation
  product: windows
detection:
  selection_parent:
    ParentImage|endswith:
      - '\winword.exe'
      - '\excel.exe'
      - '\powerpnt.exe'
  selection_child:
    Image|endswith:
      - '\powershell.exe'
      - '\cmd.exe'
      - '\mshta.exe'
      - '\wscript.exe'
  condition: selection_parent and selection_child
level: high
tags:
  - attack.execution
  - attack.t1059

注：示例为教学形态，部署前须在自有环境验证误报率；Sigma规则与STIX Indicator的分工见第4页工具链表——STIX管"情报表达"，Sigma/YARA管"检测落地"。

02 · 蜜罐与诱捕系统：零误报情报源

蜜罐的价值可以一句话概括：访问即恶意。任何对蜜罐的访问、登录尝试、命令执行都是高置信攻击信号，天然没有误报，是情报库中置信度最高的来源之一。

2.1 类型谱系与选型

2.2 蜜罐情报提取清单

• 来源画像：攻击源IP、地理与ASN、所用工具指纹（客户端版本、扫描器特征）。
• 凭据情报：爆破使用的用户名/口令对——直接映射组织真实账号命名规律的风险暴露面。
• 载荷与命令序列：下载的恶意文件哈希、执行的命令链，用于TTP提取与样本库建设。
• 时序与节奏：扫描波次、目标选择策略，反映攻击者自动化程度与意图。

2.3 部署纪律（防止蜜罐反噬）

• 蜜罐必须与生产网络严格隔离，出站连接白名单控制，防止被用作攻击跳板；
• 所有交互全程记录并异地备份，蜜罐视为"必然被攻破"的系统定期重建；
• 蜜罐地址不进入正常业务流程，访问路径可解释——确保告警即事件。

03 · 加密DNS对遥测可见性的影响

3.1 发生了什么

DNS over HTTPS（DoH）与DNS over TLS（DoT）将传统53端口明文DNS查询加密，浏览器与操作系统开始默认启用：Mozilla于2020年起在美国为用户默认启用DoH，主流浏览器随后普遍提供安全DNS选项。其隐私价值真实成立，但副作用是——传统边界DNS日志对终端查询的可见性在下降，第1节"DNS是第一现场"的前提正在松动。此外，DNS over QUIC（DoQ，IETF RFC 9250，2022年发布）作为新兴加密传输方式已开始进入主流解析软件，治理思路与DoH一致，规划解析路径时应一并纳入。

3.2 组织的应对选项

04 · 暗网监测：高价值与高风险并存

2.1 监测价值

暗网（以Tor为代表的匿名网络及加密通讯平台上的非法社群）是攻击链条的"上游集市"：数据泄露售卖、被盗凭证交易、勒索软件团伙的受害者公告、初始访问经纪（IAB）活动，都会先于公开渠道出现在这里。对组织而言，暗网监测的核心价值有三：

• 数据泄露预警：发现本单位数据或员工凭证被售卖，争取在武器化利用前完成轮换与处置。
• 威胁前置信号：针对本行业的攻击计划讨论、钓鱼工具包售卖，为防御争取时间窗口。
• 团伙动向研究：勒索软件受害者公告与团伙分合，支撑威胁主体画像。

2.2 渠道形态

2.3 执法态势与生态变迁（公开案例）

暗网渠道并非法外之地，其生态持续受执法行动冲击，这直接影响监测策略的稳定性：

• 2022年，知名网络犯罪论坛 RaidForums 遭国际执法打击（行动代号 TOURNIQUET）：其运营者（网名 Omnipotent）于2022年1月31日在英国被捕，美国司法部于2022年4月12日正式宣布查封其域名并提起刑事指控，大量历史犯罪数据随之曝光（美国司法部公开新闻稿）。
• 2023年3月，FBI逮捕数据泄露论坛 BreachForums 的运营者（网名Pompompurin），论坛一度关闭后由他人重建并屡遭反复打击——暗网站点"查封—重建—迁移"是常态。

对本课题的启示有三：监测目标要持续维护（地址与镜像变动频繁）；信息真伪要靠长期声誉曲线判断（新冒出的"论坛"可能是钓鱼或执法蜜罐）；情报落地不依赖单点渠道，任何暗网线索都须经独立来源交叉验证后方可行动（见2.2可信度问题表）。此外，Recorded Future（Insikt Group）、Intel 471等商业团队提供合规的暗网情报订阅服务，无法自建暗网监测能力的组织可评估采购，但须同样执行第2页的源评估流程。

2.4 工程要求

• 隔离采集：专用隔离虚拟机 + Tor代理出口，采集环境定期重建，防止水坑攻击与指纹反追踪。
• 最小化留存：只记录与威胁研判直接相关的情报要素（团伙名、事件描述、时间），不整站镜像、不囤积无关数据。
• 双人复核：暗网信息造假成本低，进入情报库前必须双源验证或人工复核，默认置信度不高于"中"。

05 · 伙伴共享与行业协同

3.1 共享生态地图

注：ISAC按行业设立，国际上较成熟的包括金融服务（FS-ISAC）、医疗健康（Health-ISAC）、汽车（Auto-ISAC）与电力行业信息共享机制等；我国另有行业主管部门牵头的信息共享通报渠道。各组织准入条件与运行细则以其官方公布为准，本表不构成加入建议。

法律层面，《网络安全法》第二十九条明确"国家支持网络运营者之间在网络安全信息收集、分析、通报和应急处置等方面进行合作"；《数据安全法》与《个人信息保护法》则对共享数据的合法性与必要性划定了边界——共享前须评估所共享内容是否包含个人信息与重要数据，必要时脱敏处理并限定使用目的。

3.2 共享的冷启动问题

共享生态存在经典的信任冷启动：没有贡献就得不到高质量回馈。可行的建设路径是：先以"消费者"身份接入开源与官方渠道 → 以内部遥测中经脱敏的高置信IOC（蜜罐信号、邮件网关钓鱼URL）开始小额贡献 → 在伙伴范围内建立"贡献—回馈"正循环 → 逐步扩大共享深度。共享深度永远不应超过信任深度。

06 · 共享技术协议：TAXII 2.1 与 MISP

4.1 TAXII 2.1 核心概念

TAXII（Trusted Automated Exchange of Intelligence Information）是与STIX配套的传输协议，2.1版本于2021年6月与STIX 2.1同期成为OASIS标准。其核心概念：

4.2 MISP：社区驱动的共享平台

MISP是应用最广泛的开源威胁情报平台，其核心是事件（Event）—属性（Attribute）—对象（Object）三级模型：事件承载上下文（威胁类型、TLP、时间线），属性承载原子IOC，对象将相关属性组织为复合结构（如"域名+IP+证书"构成一个基础设施对象）。MISP实例间可互联同步，天然支持社区化共享；同时提供与STIX 2.x的双向转换，是本课题推荐的原型平台。

4.2.1 MISP Galaxy与Cluster：共享生态的词汇体系

MISP的Galaxy/Cluster机制是社区协同的"统一词表"：Galaxy定义类别，Cluster是类别下的实例条目。标注同一团伙或技术时使用同一Cluster ID，可跨事件、跨实例实现精确归并与统计。主要Galaxy类别：

注：该机制与第6页§1语义治理的"受控词表"要求完全对应——平台原生能力应当用足，避免重复造词表。

4.3 存量格式迁移路径

• OpenIOC → STIX：OpenIOC（Mandiant 2011年发布的XML指标框架）存量可观，转换时保留Indicator逻辑（AND/OR条件以STIX pattern表达），术语表映射到STIX对象类型。
• 厂商CSV/JSON → STIX：多数厂商导出可映射：字段级映射表 + 转换器批处理；无法映射的私有字段存入自定义属性或Extension，不丢失信息。
• IODEF事件 → 内部参考：IODEF（IETF RFC 5070，经RFC 7970修订）用于CSIRT事件交换，与STIX并存时各自保持原语义，不做强制合并。

4.4 MISP Feed 与 TAXII 的适用分工

4.5 Sighting（目击）反馈闭环

情报分发不是终点——消费端的每一次命中、误报与过期都是校准情报质量的输入。两条技术路线：

注：闭环运营目标——每条对外共享的情报都有可查询的下游反馈记录，作为第3页§08共享质量公约的可度量补充；sighting数据本身按TLP约束流转，命中细节含内部上下文时执行第6页上下文剥离。

07 · FIRST TLP 2.0：共享的范围控制

TLP（Traffic Light Protocol）由事件响应与安全团队论坛（FIRST）维护，用于标记信息的披露范围。TLP 2.0于2022年8月发布，2023年起全面取代1.0版本，主要变化是以TLP:CLEAR取代TLP:WHITE，并新增TLP:AMBER+STRICT级别：

5.1 实施要点

• 标记随数据流动：TLP标记必须内嵌在情报对象中（STIX的marking-definition对象可承载数据标记），任何导出、转发不得剥离标记。
• 技术强制：平台侧按TLP级别实施访问控制与导出策略，而非仅靠用户自觉。
• 与置信度正交：TLP回答"谁能看"，置信度回答"有多真"，两者相互独立、必须同时标注。
• 升级流程：共享方有权升级（收紧）自己贡献内容的TLP级别，接收方不得自行降级。

5.2 与国内信息共享分级要求的衔接

国内行业主管单位、集团内部对信息共享另有自身的密级与知悉范围要求（如工作秘密、内部资料等管理规范）。落地时建议双轨标注：对内按国内管理制度执行，对外机器交换按TLP执行，并在转换层显式维护两种分级的映射关系与最严优先原则——同一条情报同时受两套约束时，按更严格者执行。

08 · 共享质量公约

共享内容的质量决定了生态能否持续。本课题建议的最低共享质量公约：

• 最小可共享单元完整：每条情报至少包含类型、值、首次发现时间、来源、置信度、TLP六个要素，缺要素不共享。
• 上下文不剥离：共享Indicator时尽量附带攻击活动、基础设施等关联对象——裸IOC清单的价值远低于带上下文的结构化情报。
• 误报回传义务：接收方验证某IOC为误报时，应向来源方反馈，来源方据此修正置信度或撤销条目。
• 时效性标注：共享时标注数据新鲜度与有效期预期，超期情报必须重新验证后方可继续流转。
• 贡献可计量：平台记录各成员贡献与消费情况，为激励与信任分级提供依据，但不得以贡献量作为唯一质量指标。

8.1 共享前的"四问"

• 含个人信息吗？含则脱敏或不上共享通道（法律法规另有规定的除外）。
• 来源可追溯吗？无来源标注的情报不共享（对应第4页质量红线）。
• TLP定对了吗？宁高勿低；不确定时按更高级别发布。
• 时效标注了吗？附带数据新鲜度与有效期预期，避免下游把过期情报当新鲜用。

8.2 撤回与争议处理

共享不是"发出即结束"，成熟的共享机制必须包含事后治理通道：

• 撤回机制：已共享情报发现错误时，发布方应经同一通道发布撤销说明（STIX对象的revoked标记，见第4页§4.6），平台保留撤回传播的完整记录，并主动通知已知下游订阅方；
• 争议处理：接收方对情报结论有异议（如主张误报）时，经sighting/评论通道反馈证据，由数据管家（第6页§6.2）组织复核，并在约定时限内给出维持、修正或撤销的结论；
• 责任边界：共享情报应附带置信度与有效期标注；接收方超出标注范围使用造成的损失，其责任认定应在共享协议中事先约定，避免事后争议伤害共享意愿。

本节参考来源（第3页）

以下均为真实可查的官方规范、组织站点与公开服务。