行业情报共享生态

01 · 研究背景与意义

1.1 什么是威胁情报：权威定义与内涵界定

本课题采用业界广泛引用的Gartner定义作为概念基线（经国内权威机构公开转述，语义一致）：威胁情报（Threat Intelligence）是关于已有或潜在威胁的资产风险的知识，这种知识基于证据，包含上下文、机制、指标、含义与可行的建议。该定义包含四个要点：其一，情报必须基于证据而非猜测；其二，必须带上下文（谁在攻击、为何攻击、针对谁），孤立IOC不等于情报；其三，必须含指标与机制（可检测、可行动的要素）；其四，必须给出可行的建议（如何处置）。

按用途分层，威胁情报通常划分为三个层次：战略情报（面向决策层，回答"威胁态势与风险方向"）、运营情报（面向安全运营团队，回答"正在发生什么活动"）、战术/技术情报（面向检测与响应系统，回答"如何识别与阻断"）。共享生态主要解决战术情报的规模化复用问题，同时向上承载运营情报的协同研判与战略情报的态势汇聚——三个层次在共享管道中的数据密度、时效要求与脱敏要求均不同，这正是本课题在第5—6页分别设计对象模型与分级标记的原因。

1.2 市场规模与"各自为战"的格局

据艾瑞咨询2025年2月发布的《2024年中国威胁情报行业发展研究报告》，2024年中国威胁情报市场规模为16.1亿元，受网络安全行业"清库存"周期影响同比微跌0.9%（2023年为16.2亿元）；市场结构为低集中寡占型，CR4=43.0%、CR7=49.7%。头部厂商份额明细为：微步在线17.4%、腾讯安全11.4%、奇安信10.3%、绿盟科技3.9%、安恒信息3.8%、360安全1.5%、深信服1.4%。报告同时研判2025—2029年市场将重回稳步增长通道，2029年预计达23.9亿元。

市场分散本身说明：威胁情报仍是一种"强私有属性"的能力，多数组织的情报消费停留在自采自用、点对点交换的低协作水平。艾瑞报告在趋势部分亦指出，情报厂商出海面临"情报标准与数据安全"两大焦点问题——这与本课题第6页研究的双标准映射与合规共享直接呼应。

1.3 情报共享的价值逻辑：正外部性与"搭便车"难题

网络攻击的基础设施具有天然的跨组织复用性：同一个钓鱼域名、同一组C2节点、同一个恶意软件家族，往往在数小时到数天内被用于攻击成百上千个目标。这意味着——任一组织的一次发现，理应成为所有同类组织的前置防御。反之，若情报仅在组织内部闭环，每个组织都必须独立重复"发现—分析—处置"的全过程，行业整体防御成本被成倍放大，而攻击者只需成功一次。

从经济学视角看，威胁情报共享存在典型的正外部性与"搭便车"激励失衡：贡献情报需要投入分析人力并承担一定披露风险，而收益由全体成员均享。这是国内外情报共享社区建设共同面对的核心治理难题，也是本课题"对等共享机制"研究内容的出发点。与之相对，情报不共享还存在一个常被忽视的隐性成本——重复检测成本：当甲机构已确认某域名为钓鱼域名而乙机构仍要独立完成同样分析时，全社会的安全投入被冗余消耗。

1.4 与迪妙反钓鱼业务的直接关联

迪妙网络空间安全学院依托创始团队在CNNIC及公共互联网反网络钓鱼工作组的长期实践，深耕反钓鱼、反诈骗领域。钓鱼对抗是最依赖跨机构共享的场景之一：仿冒域名与钓鱼URL的存活周期往往以小时计，任何单一机构的发现都必须依托行业联动（监测通报、域名处置、拦截名单共享）才能转化为全社会的防护能力。本课题形成的共享机制设计、合规指引与贡献度模型，可直接反哺工作组的协作机制优化与学院演练沙盘、课程案例库建设。这也是本课题在第5页单设"钓鱼情报共享专项机制设计"实证章节的原因。

02 · 国内外研究与实践综述

2.1 国际实践脉络

国际威胁情报共享实践大致经历三个阶段：（1）应急协作阶段（1988—1998），以CERT/CC（卡内基梅隆大学软件工程研究所，1988年建立，源于莫里斯蠕虫事件）为起点，形成"事件响应 + 经验通报"的雏形；（2）行业组织阶段（1998—2015），以美国PDD-63催生的ISAC家族为代表，共享从应急通报走向行业常态化协作；（3）自动化标准阶段（2015年至今），以STIX/TAXII 2.x、TLP 2.0等机器可读标准成熟为标志，共享走向"机器对机器、实时、可分级"。当前正处于第四阶段的前夜——生态治理阶段：美国OIG对AIS的多轮评估表明，技术与管道成熟后，激励设计、数据质量与信任治理成为决定共享生态生死的变量。

2.2 国内研究与政策脉络

• 标准层面：GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》于2018年发布、2019年实施，为威胁信息表达提供国家标准依据；全国网络安全标准化技术委员会（TC260）持续推动数据安全与个人信息保护配套标准。
• 制度层面：《网络安全法》（2017）第二十九条明确支持组织间网络安全信息共享合作；《关键信息基础设施安全保护条例》（2021）确立关基保护体系；《反电信网络诈骗法》（2022）为涉诈信息共享提供专门授权；《网络数据安全管理条例》（2025年1月1日施行）进一步细化数据流通利用的安全要求——共享的"合法性拼图"持续完善。
• 学术层面：国内学界对威胁情报的研究集中于指标体系构建、恶意基础设施测绘、情报质量评估与ATT&CK技战术建模；对"共享机制"本身（尤其是组织经济学视角的激励机制）的研究相对零散，且多以美国经验介绍为主、缺乏面向中国治理体制的系统性设计——这正是本课题的学术补位空间。

2.3 与本专题其他子课题的衔接

威胁情报共享处于"威胁情报分析研究"专题生命周期的发布与分发/反馈环节：上游依赖子课题"情报收集与标准化"（数据质量）与"威胁建模与分析"（研判增值），下游支撑安全运营与协同处置。本课题与专题内各子课题构成"采集→分析→共享→反馈"闭环中的横向使能层，其机制设计必须以生命周期其他环节的能力现状为约束条件。

03 · 研究目标与关键问题

• 平台体系化：研究国家级威胁信息共享平台的架构、数据标准与运营机制，明确其在生态中的枢纽定位。
• 行业组织化：设计金融、电信、能源等关键行业ISAC（信息共享与分析中心）的组织架构与共享规则。
• 协作对等化：探索企业间基于互惠原则的对等共享模式，破解"搭便车"难题。
• 制度合规化：在《网络安全法》《数据安全法》《个人信息保护法》《反电信网络诈骗法》框架内设计共享合规方案。
• 专项实证化：以钓鱼情报共享为试点场景，形成可复制的SOP、SLA与度量指标（第5页）。
• 落地工具化：输出数据标准映射、平台参考架构与合规审查清单等可直接使用的工具（第6、7页）。

3.1 四个关键研究问题

04 · 生态架构总览：四层协作体系

综合国际实践与国内监管体制，本课题将中国威胁情报共享生态抽象为四层结构。四层之间自下而上提供数据与执行能力，自上而下提供规则与约束：

4.1 与国际生态的结构对照

05 · 核心研究内容总览与分页导航

本课题围绕六大研究目标展开八项核心研究内容，全文各页覆盖关系如下：

06 · 研究方法与总体框架

• 文献与标准研究：系统梳理国内外法律法规、标准规范（STIX 2.1、TAXII 2.1、GB/T 36643-2018、TLP 2.0、NIST SP 800-150）与权威机构报告。
• 案例对标：选取FS-ISAC、CISA AIS等运行多年的机制做深描，提取可迁移的制度要素；对AIS 2022年联邦口径指标量暴跌约96%、2024年又高度依赖单一贡献方回升等异常波动做归因分析。
• 机制设计：面向中国监管体制与行业结构，设计行业ISAC章程框架、对等共享贡献度模型与合规审查流程（设计性内容均标注为"框架建议"）。
• 实证检验：依托公共互联网反网络钓鱼工作组协作网络，选择钓鱼情报共享场景开展试点验证（试点设计见第7页 §02）。
• 交叉核验：所有事实性数据至少对照一个一手来源（政府公文、标准原文、机构官方报告）或两个以上独立权威转述来源；无法溯源的数据在文中明确标注口径与不确定性；本次终审已对全稿数据逐一溯源复核，并修正个别无法溯源的表述（详见第5页修订说明）。

6.1 预期创新点

• 视角创新：将组织经济学中的公共品博弈与激励设计引入威胁情报共享研究，提出"贡献度—权益—声誉"三层联动模型，超越以往"技术平台中心"的研究范式。
• 结构创新：以"四层生态架构"统摄国际对标与国内设计，避免"就平台论平台"。
• 实证创新：以钓鱼情报共享为最小可行试点场景，输出可直接落地的SOP、SLA与度量基线，形成"研究—试点—反馈"闭环。

07 · 预期成果与交付物

• 《中国威胁情报共享生态建设路径研究》报告一份
• 行业ISAC建设框架与章程模板
• 对等共享贡献度评估模型
• 情报共享合规指引与审查清单（全文见第7页 §03）
• 钓鱼情报共享SOP与分级SLA模板（见第5页 §03—§04）
• 数据标准映射表与平台参考架构（见第6页）
• 试点实施方案与工作分解结构（见第7页 §02）

本节参考来源（第1页）

以下均为真实可查的权威来源（咨询机构报告、政府机构与国际组织官方页面），用于支撑本页事实性表述。