让情报可机读、可溯源、可评估、可淘汰

01 · STIX 2.1对象模型详解

1.1 三类核心对象

STIX 2.1采用图模型组织威胁情报，核心对象分三类：

• 领域对象（SDO, STIX Domain Objects）：描述威胁情报的语义实体，如攻击活动、威胁主体、指示器等，是情报表达的主体。
• 网络可观测对象（SCO, STIX Cyber Observable Objects）：描述可观测的技术工件，如域名、IP地址、URL、文件、证书、进程、注册表项等，是情报的"原子证据"。
• 关系对象（SRO, STIX Relationship Objects）：把对象连接成图——Relationship表达任意对象间关系（如"指示器指示基础设施"），Sighting表达某对象被实际观测到（含计数、时间、观测者）。

1.2 常用领域对象速查

1.3 常用网络可观测对象（SCO）速查

注：完整对象清单与字段定义以OASIS官方规范为准；置信度（confidence，0—100整数）、数据标记（marking-definition，可承载TLP）等通用字段为多数SDO共享。

1.4 STIX Pattern 表达式要点（Indicator的检测逻辑载体）

注：时序算子FOLLOWEDBY在STIX 2.1中为保留关键字（尚未启用），复合时序逻辑应在检测引擎侧实现；完整语法以官方规范第9章为准。

1.5 常见实现错误清单（工程验收要点）

STIX落地中的多数故障源于实现细节而非模型理解。下表列出验收阶段必须逐条排查的高发错误：

注：本清单对应§04质量红线的技术落地；建议纳入代码评审checklist与CI校验脚本。

02 · 与GB/T 36643-2018八大组件对标

GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》定义了八个威胁信息组件，并按对象域、事件域、方法域三个域组织信息模型。该标准2018年10月10日发布、2019年5月1日实施，是我国网络安全威胁信息共享领域的首个国家标准，适用于指导网络安全威胁信息共享平台的建设以及威胁信息提供方与需求方之间的信息交换。与STIX 2.1的对标映射如下：

2.1 三域信息模型说明

GB/T 36643-2018将八个组件归入三个域：对象域（可观测数据、攻击指标——"看见了什么"）、事件域（安全事件、攻击活动——"发生了什么"）、方法域（攻击方法、应对措施、威胁主体、攻击目标——"怎么发生的、如何应对、谁做的、冲着谁"）。三域划分与STIX对象模型的对应见上表；工程上可按"对象域高频机读、事件域中频协同、方法域低频深研"的频次设计存储与分发策略。

2.2 双标准并行输出策略

• 内部与对外机器交换：统一以STIX 2.1为规范表达（国际互操作、工具链成熟）。
• 国内监管报送与行业平台对接：按八组件三域模型生成GB/T 36643视图，由转换层自动导出，不维护两套数据。
• 转换原则：映射不丢失语义；STIX多对一的组件（攻击方法四类）在国标视图中合并呈现并保留细分字段。

03 · 归一化映射实践

3.1 异构格式映射规则

3.2 规范化前置规则（去重的前提）

• 域名：全小写、去尾点、IDNA/punycode统一编码（中文域名转为xn--形式）、剥离默认端口。
• URL：统一协议小写、主机规范化；追踪参数（utm_*等）按策略剔除或保留，同一策略全局一致。
• 哈希：统一小写十六进制；同一文件多算法哈希各记一条并建立等价关系。
• IP：IPv6全展开短格式统一；剔除环回、私网、保留段（除非明确针对内网威胁建模）。
• 邮箱：小写化、国际化域名按IDNA处理。

3.2.1 MISP对象模板与STIX映射（存量平台对接要点）

注：MISP官方提供misp-stix转换工具链支撑Event与STIX 2.x双向互转；转换后必须抽样核对语义保真度（第3页§4.3存量迁移路径的落地支撑）。

3.3 STIX 2.1实例：钓鱼域名指示器

以下为符合STIX 2.1规范的Indicator对象实例（标识符为示例占位格式），可直接通过官方验证器校验：

{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--8e2e2d2b-17d4-4f9c-a2b7-5f0a1c3d9e01",
  "created": "2026-09-01T08:00:00.000Z",
  "modified": "2026-09-01T08:00:00.000Z",
  "indicator_types": ["malicious-activity"],
  "name": "仿冒银行官方域名的钓鱼域名",
  "description": "证书透明度日志监测发现的编辑距离变体域名，用于网银钓鱼",
  "pattern": "[domain-name:value = 'examp1e-bank.example']",
  "pattern_type": "stix",
  "pattern_version": "2.1",
  "valid_from": "2026-09-01T08:00:00.000Z",
  "valid_until": "2027-03-01T00:00:00.000Z",
  "confidence": 75,
  "lang": "zh"
}

说明：identifier采用STIX规定的type--UUIDv4格式；indicator_types取STIX开放词汇malicious-activity；confidence按0—100整数标注（见§04置信度模型）；valid_until对应域名类IOC约180天有效期策略。TLP标记经marking-definition对象以object_marking_refs引用，本例从简未展示。

3.4 批量转换工程步骤（CSV → STIX 为例）

1. 字段映射表先行：逐列定义来源字段到STIX属性的映射，未映射列进自定义扩展字段，宁可冗余不可丢字段。
2. 规范化预处理：按3.2规则清洗值域，生成归一化键。
3. 对象生成：先SCO后Indicator，自动生成符合type--UUIDv4规范的identifier。
4. 规范校验：经官方Python库序列化并校验，不合规对象进隔离区。
5. 抽样人工复核：每批次抽样核对语义保真度，映射表据此版本化迭代。

{
  "type": "marking-definition",
  "spec_version": "2.1",
  "id": "marking-definition--f9f9f9f9-0001-4000-8000-000000000001",
  "created": "2026-09-01T08:00:00.000Z",
  "definition_type": "TLP:AMBER",
  "definition": { "tlp": "amber" }
}

{
  "type": "sighting",
  "spec_version": "2.1",
  "id": "sighting--a1b2c3d4-0001-4000-8000-000000000002",
  "created": "2026-09-02T10:00:00.000Z",
  "first_seen": "2026-09-02T09:00:00.000Z",
  "last_seen": "2026-09-02T09:00:00.000Z",
  "count": 14,
  "sighting_of_ref": "indicator--8e2e2d2b-17d4-4f9c-a2b7-5f0a1c3d9e01",
  "object_marking_refs": [
    "marking-definition--f9f9f9f9-0001-4000-8000-000000000001"
  ]
}

注：实际部署时TLP标记经Indicator等SDO的object_marking_refs字段引用（本例在Sighting上示意）；identity引用（where_sighted_refs）省略未展示；identifier均为示例占位格式。

3.5 自定义扩展（STIX Extension）示例与治理纪律

组织内部字段经STIX 2.1原生Extension机制扩展，登记式管理、版本化演进：

{
  "type": "extension-definition",
  "spec_version": "2.1",
  "id": "extension-definition--5f2e2d2b-0002-4000-8000-000000000010",
  "created": "2026-09-01T08:00:00.000Z",
  "name": "x-dimiao-verification",
  "description": "内部情报核验扩展：记录复核链路",
  "schema": "https://example.org/schemas/x-dimiao-verification.json",
  "version": "1.0",
  "extension_types": ["property-extension"]
}

// 业务对象中的引用方式：
// "extensions": {
//   "extension-definition--5f2e2d2b-...": {
//     "reviewed_by": "analyst-a", "review_round": 2
//   }
// }

• 登记制：extension-definition对象先行注册，纳入第6页情报资产目录管理；
• 渐进强度：property-extension（只增字段）治理最轻；new-sdo/new-sco（新对象类型）须附完整Schema与用例评审；
• 兼容纪律：字段只增不改，破坏性变更走新版本并保留旧版可解析。

3.6 对象封装：Bundle与Grouping

• Bundle：STIX对象的传输容器，本身不承载语义，仅用于批量交换；规范校验必须逐对象进行，而非仅校验Bundle外壳。
• Grouping：当一批对象共享同一分析语境（如同一次钓鱼活动、同一份报告涉及的工件）时，使用Grouping对象承载上下文说明，避免"有对象无故事"的裸数据交换。

04 · 数据质量控制：去重、置信度、时效性

4.1 去重与归并

• 精确去重：对规范化后的（类型，值）计算哈希作为唯一键；同一IOC多来源命中时归并为单记录，保留全部来源标注与首次/末次所见时间。
• 近重复治理：对域名变体（编辑距离）、URL相似度设阈值告警，但不自动合并——近重复可能是不同攻击活动，须人工研判，防止"并错情报"造成检测盲区。
• 去重的度量：以"去重压缩率"监控多源重复水平；压缩率骤降往往意味着某源格式变更或攻击规模突变，应触发排查。

4.1.1 归一化去重键生成算法（工程参考实现）

function dedupe_key(ioc_type, value):
    v = value.strip().lower()
    switch ioc_type:
        case domain: v = idna_encode(v); v = strip_trailing_dot(v)
        case url:    v = normalize_scheme_and_host(v)   # 协议小写、主机IDNA
        case ip:     v = canonical_ip(v)                # IPv6压缩格式统一
        case hash:   v = v.as_hex_lowercase()
        case email:  v = idna_domain_part(v)
    return sha256(ioc_type + "|" + v)[:32]   # 归一化唯一键

注：归一化算法一经发布不得随意变更；确需变更时执行全库重键（rekey）并保留新旧键映射，否则历史去重结果失效。多源命中同一键时归并为单记录、保留全部来源标注与首末次所见时间（第4页§4.1）。

4.2 置信度模型

置信度回答"这条情报有多真"。本课题采用来源权重 × 证据强度的二维评分（0—100），并映射为高/中/低三级对外呈现：

注：分值区间为示例框架，权重表应经组织内回测校准后固化为配置；置信度随新证据动态调整（上调与降调同样重要），调整历史须留痕可审计。

4.3 时效性与淘汰机制

• 差异化有效期：按IOC类型设定有效期（参考第2页经验值：IP约30天、URL约60天、域名约180天、哈希长期有效），有效期随类型动态调整。
• 到期降权而非删除：到期IOC从阻断/告警清单降级至观察清单，再次命中（Sighting）时自动复活并重新计时——粗暴删除会导致"旧IOC再活跃"时无情报可用。
• 新鲜度展示：所有消费端必须可见情报的"末次验证时间"，超期未验证的对象在界面上显著标注。
• 复活检测：对降权期内再次被观测到的IOC，结合新上下文复核：若确认为同一攻击活动延续，恢复置信度；若为资产复用（旧IP换合法业务），维持降权。

4.4 置信度与 Admiralty 评定码

STIX confidence字段采用0—100整数评分，其思想源自军事情报的Admiralty评定码（6×2矩阵）：来源可靠性分A—F六级，信息可信度分1—6六级。本课题映射关系建议如下（组织可回测校准后固化为配置）：

4.5 质量度量指标（对外可报告）

4.6 情报评审会与撤销机制

• 周评审会：分析师对低置信度新增、到期降权对象与误报反馈集中复核，结论回写置信度与有效期。
• 撤销（Revoke）：确认错误的情报使用STIX对象的revoked标志位置真，并经分发通道同步移除——撤销与发布同样要走通道，否则"旧清单"会在下游长期游荡。
• 变更留痕：置信度调整、有效期续期、撤销操作全部记录操作人与依据，支撑审计与共享追责。

05 · 富化（Enrichment）管道

富化是把"裸IOC"变成"可用情报"的关键工序。情报是活数据，富化不是一次性的：

5.1 富化工程要点

• 缓存与配额：富化结果按来源TTL缓存，严格管理API配额，优先富化高置信度与新入库对象。
• 失败降级：富化服务不可用不阻塞主流程，对象带"待富化"状态异步补全。
• 新鲜度标注：每条富化数据记录获取时间，消费方可判断上下文新旧。
• 出境合规：向境外平台提交查询前完成合规评估（见第2页跨境提示），敏感场景用境内渠道或私有化数据集会替代。

5.2 多源评分聚合实践

当多个信誉源对同一IOC给出分歧结论时，建议采用加权多数投票 + 时间衰减聚合为单一运营分：

• 权重分配：按第2页六维评估结果给各来源赋权（时效与准确性权重最高），权重表季度复评。
• 时间衰减：命中记录按"末次所见时间"指数衰减，三个月前的高信誉命中对当下结论的贡献显著下降。
• 分歧处理：高权重源明确恶意而多数源无结论时，按"宁可信其有"进入富化队列加急复核，而非取均值稀释结论。

06 · 工程落地与工具链

6.1 开源工具链清单（均为真实存在的成熟项目）

6.2 与SIEM/SOAR的集成

• 下行消费：高置信IOC经TAXII/MISP推送到SIEM（Splunk、QRadar及国产平台）做关联检测，或下发防火墙/EDR/邮件网关做阻断与告警。
• 上行回流：SIEM告警中的确认IOC回流情报库，自动附带来源与上下文，形成遥测—情报闭环。
• SOAR编排：到期复核、富化、共享分级等重复工序SOAR化，分析师只处理研判环节。

6.3 端到端运营指标（实践目标值）

注：以上为工程实践目标值（本课题建议），非行业标准；组织应结合自身RTO/RPO与预算校准。

07 · 分阶段实施路线图（12个月参考）

注：节奏为参考模板，组织可按规模压缩或拉伸；每一步前置条件达成前不建议跳步，尤其不要在没有标准化管道时先采购商业源。

08 · 全课题总结与交付物

回顾本课题的关键研究问题与研究目标：①覆盖与成本的平衡——以五源组合模型与六维源评估回答（第1—2页）；②异构格式的归一化——以STIX 2.1对象模型 + GB/T 36643-2018双标准映射回答（第4页）；③质量的量化管理——以去重、置信度、时效性三位一体体系回答（第4页）；④合规边界——以采集、暗网、共享、跨境四条合规主线贯穿全文。

7.1 预期成果与交付物（对应研究目标）

• 《多源威胁情报采集技术指南》研究报告一份——覆盖第1—3页的采集面、管道、评估与共享机制。
• STIX 2.1 / GB/T 36643-2018双标准数据模型与转换规范一套——含八组件映射表、归一化规则与转换器。
• 开源情报采集工具链与IOC富化管道原型——基于MISP/OpenCTI与开源采集框架的可运行原型。
• 情报源质量评估指标体系与候选源评估报告——含六维模型、黄金样本回测方法与KPI基线。

课题衔接：本子课题解决"情报怎么进来、怎么规范化"；后续子课题将在此基础上展开分析方法论（关联、归因、狩猎）与面向业务的风险转译。建议按"第1页框架认知 → 第2—3页来源建设 → 第4页标准化落地 → 姊妹课题分析方法"的顺序系统学习。

本节参考来源（第4页）

以下均为真实可查的官方规范、标准文本平台与开源项目站点。