技术架构、数据标准与平台设计

01 · 双标准体系：STIX 2.1 与 GB/T 36643-2018 映射

国内共享平台普遍面临"对内要符合国标、对外要对接国际"的双重要求。STIX 2.1（OASIS标准，2021年6月发布）是AIS、MISP等国际机制的事实数据语言；GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》（2018-10-10发布、2019-05-01实施）是国内威胁信息表达的国家标准。两者的映射关系如下：

1.1 STIX 2.1 对象类型全景

STIX 2.1规范共定义18种SDO（域对象）：Attack Pattern、Campaign、Course of Action、Grouping、Identity、Incident、Indicator、Infrastructure、Intrusion Set、Location、Malware、Malware Analysis、Note、Observed Data、Opinion、Report、Threat Actor、Tool、Vulnerability；2种SRO（关系对象）：Relationship与Sighting；18种SCO（可观测对象）覆盖网络、文件、进程、邮箱、注册表等可观测类型。共享平台实现不必全量支持，建议按"钓鱼情报八类对象→所需STIX类型"的最小集先行落地，逐步扩展：

02 · STIX 2.1 钓鱼情报实例（教学示例）

以下为一个完整的STIX 2.1 Bundle示例：一条仿冒银行钓鱼URL的Indicator，附带TLP:AMBER标记定义与关联关系。此示例用于说明字段级标记与对象关联的写法，字段含义以STIX 2.1规范原文为准。

{
  "type": "bundle",
  "id": "bundle--9f2c0e40-5e91-4b87-9f2d-example00001",
  "objects": [
    {
      "type": "marking-definition",
      "spec_version": "2.1",
      "id": "marking-definition--f88d31f6-486f-44da-b317-01333bde0b82",
      "created": "2017-01-20T00:00:00.000Z",
      "definition_type": "tlp",
      "name": "TLP:AMBER",
      "definition": { "tlp": "amber" }
    },
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--8e2e2d2b-17d4-4c7f-bc36-5c0bcb2e0b0a",
      "created": "2026-01-15T08:30:00.000Z",
      "modified": "2026-01-15T08:30:00.000Z",
      "created_by_ref": "identity--d7f56554-example-org-001",
      "name": "仿冒XX银行钓鱼URL（P2级）",
      "indicator_types": ["malicious-activity"],
      "pattern": "[url:value = 'http://www.xxbank-verify.example.cn/login' AND domain-name:value = 'xxbank-verify.example.cn']",
      "pattern_type": "stix",
      "valid_from": "2026-01-15T08:30:00.000Z",
      "valid_until": "2026-01-22T08:30:00.000Z",
      "confidence": 85,
      "object_marking_refs": ["marking-definition--f88d31f6-486f-44da-b317-01333bde0b82"]
    },
    {
      "type": "sighting",
      "spec_version": "2.1",
      "id": "sighting--c3d4e5f6-example-0002",
      "created": "2026-01-15T10:05:00.000Z",
      "modified": "2026-01-15T10:05:00.000Z",
      "sighting_of_ref": "indicator--8e2e2d2b-17d4-4c7f-bc36-5c0bcb2e0b0a",
      "where_sighted_refs": ["identity--a1b2c3d4-member-0007"],
      "count": 47,
      "first_seen": "2026-01-15T09:12:00.000Z",
      "last_seen": "2026-01-15T10:02:00.000Z"
    }
  ]
}

• valid_until 字段：钓鱼URL情报必须带有效期（上例7天），消费方据此自动过期黑名单条目——这是钓鱼场景区别于IP信誉类情报的关键设计；
• confidence 字段：采用0—100数值置信度（与第6页§06四档质控衔接）；
• object_marking_refs：对象级标记，决定该指标允许在哪些成员范围内流转（TLP:AMBER=接收组织内部）；
• Sighting 对象：成员侧的观测回执以Sighting表达（count/first_seen/last_seen），平台据此自动计算跨机构复用率与成员贡献度——激励闭环的机器可读载体。

2.1 字段级标记实例（Granular Markings）

对"同一份事件报告中基础设施全员可见、受害人信息仅分析中心可见"的最小披露需求，STIX 2.1通过granular_markings实现：

{
  "type": "report",
  "spec_version": "2.1",
  "id": "report--e7f8a9b0-example-0003",
  "created": "2026-01-16T02:00:00.000Z",
  "modified": "2026-01-16T02:00:00.000Z",
  "name": "XX银行钓鱼活动周报（节选字段示例）",
  "report_types": ["threat-report"],
  "published": "2026-01-16T02:00:00.000Z",
  "object_refs": ["indicator--8e2e2d2b-17d4-4c7f-bc36-5c0bcb2e0b0a"],
  "object_marking_refs": ["marking-definition--f88d31f6-486f-44da-b317-01333bde0b82"],
  "granular_markings": [
    {
      "marking_ref": "marking-definition--9409f1df-example-red00",
      "selectors": ["description", "external_references"]
    }
  ]
}

注：granular_markings.selectors按JSON指针（RFC 6901）定位需更高密级保护的字段；上例中description与external_references字段被附加TLP:RED标记（marking-definition--9409f1df…），仅分析中心可见。实现细节以STIX 2.1规范第7章为准。

03 · TAXII 2.1 传输机制

TAXII 2.1（Trusted Automated Exchange of Intelligence Information）是STIX 2.1的配套传输协议，基于HTTPS + JSON，采用REST风格接口。核心资源与端点如下（以TAXII 2.1规范为准）：

3.1 协议级实现要点

• 版本协商：TAXII 2.1要求客户端在请求头携带Accept-Version: application/taxii+json;version=2.1，服务端据此返回对应版本负载，实现多版本共存协商；
• 分页与增量：对象列表响应通过X-TAXII-Date-Added-First/X-TAXII-Date-Added-Last响应头暴露本次返回对象的时间窗，客户端以added_after参数做增量游标，实现断点续传；
• 安全要求：TAXII 2.1强制HTTPS；认证采用HTTP Authorization头（规范定义Basic与自定义Bearer两种机制），建议叠加客户端证书实现双向认证；
• 与邮件通报的互补：P1/P2级警报仍以推送通道（邮件/IM/Webhook）保证"到达"，TAXII承担常态化批量同步——推送保时效、同步保完整；
• 国产替代考量：对暂不具备TAXII能力的成员，平台应同时提供REST/JSON同构接口与SFTP批量文件交换兜底，但数据格式仍保持STIX，避免"协议降级导致格式分裂"。

04 · 五层平台参考架构（框架建议）

4.1 各层组件细化（建议）

05 · MISP 部署形态（开源基座）

MISP（misp-project.org）是GPLv3许可的开源威胁情报平台，由CIRCL主导开发，全球已有大量CSIRT、ISAC与企业部署，可作为本课题试点平台的零许可成本基座：

• 数据模型：Event（事件）—Attribute（属性）—Object（对象模板，含域名、URL、电子邮件等预置模板）—Galaxy（攻击者、ATT&CK技术簇等知识库标签）—Sharing Group（共享范围组）；
• 共享机制：内置Sharing Group实现"按组可见"（对应TLP分级与第3页贡献度等级），实例间可联邦组网、自动同步，也支持只订阅Feed（只读消费）；
• 标准互操作：通过misp-stix库实现与STIX 2.x的双向导入导出——对内MISP原生格式运营，对外以STIX 2.1对接TAXII通道；
• 二次开发点：贡献度计量、Sighting自动统计、水印溯源为MISP默认不具备的能力，需以插件/外部服务形式定制（这也是阶段二评估商用TIP的原因之一）。

5.1 备选方案对比（框架建议）

注：OpenCTI（Filigran公司主导的开源平台）与MISP均为GPL/Apache许可的开源项目，具体版本能力以各自官方文档为准。

06 · 数据质量控制规则

6.1 置信度分级（四档，建议）

6.2 数据源信誉评分（防污染设计）

贡献度模型衡量"成员贡献"，数据质量还需独立的来源信誉分（与贡献度分离计算，防止刷贡献同时污染数据）：

• 评分维度：历史误报率（40%）、情报存活验证率（30%）、上下文完整度（30%）；按季度滚动；
• 应用规则：信誉分高的来源提交的情报可跳过抽检直接定级；信誉分跌破阈值的来源进入"全检模式"，连续两期低于阈值暂停其自动分发通道（人工复核恢复）；
• 独立性保障：信誉分由分析中心独立计算，成员不可查询他人具体分值（仅知自身档位），防止针对评分博弈。

6.3 三条质控规则

• 去重合并：同对象（域名/URL/哈希）多源提交时合并为单对象、保留多来源引用——既避免成员收到重复告警，又让各贡献方都计入贡献度（去重不抹杀首报权）；
• 时效衰减：带valid_until的对象到期自动降级为历史情报；连续两次校验失活的域名移入"已死库"并保留处置记录（支撑第5页"域名存活时长"指标统计）；
• 误报回流：成员回执"误报"即触发对象复核，复核结论（维持/撤销）广播全体——撤销动作本身是负向情报，防止旧黑名单误伤正常业务（商用域名过期后再被启用是常见误报源）。

07 · 字段级标记与溯源

• 字段级标记（Granular Markings）：STIX 2.1支持granular_markings属性（见§02.1实例），可对对象内特定字段单独打标，实现"单对象、多密级"的最小披露；
• 社区扩展标记：TLP 2.0引入"TLP:XXX+CLEAR"式的社区扩展语法，允许定义"限本ISAC成员"等自定义传播范围，建议平台将ISAC成员域设为默认扩展标记，防止成员误将AMBER级情报转发至组织外；
• 水印溯源：对高密级研判报告按成员嵌入不可见水印（如不可见字符组合或文档指纹），泄露事件可定位泄露源——技术侧落实第4页§06的信任危机应对；水印设计应保证对正常业务使用无感知，且对截图、拍照等二次传播保留部分定位能力（布局指纹）；
• 审计留痕：对象级与字段级的每次访问、导出、转发均记录操作者、时间、通道，审计日志按第5页§06建议留存不少于3年，支撑合规检查与司法协查；审计记录本身按高密级保护，防止攻击者摸清共享管道结构。

本节参考来源（第6页）

以下均为真实可查的权威来源，用于支撑本页事实性表述。