01 · 共享悖论与信任价值
组织间共享长期面临"三个顾虑"：一是暴露顾虑——担心共享的命中记录泄露自身防御态势与资产信息；二是合规顾虑——担心共享行为触碰数据安全与个人信息保护红线；三是搭车顾虑——担心少数成员只取不予，稀释共享积极性。NIST SP 800-150将"组织风险"列为共享治理的核心议题，并建议以正式的共享协议、明确的使用限制与信任建设予以化解。
信任机制的设计目标可以概括为一句话：让每一方都能确信"我给出去的信息，只会被协议允许的人在协议允许的范围内使用"。本页后续的标记体系（TLP/IEP）、身份认证（mTLS）、访问控制（ABAC）与治理机制（信誉/协议），都是围绕这句话展开的技术与制度安排。
与钓鱼对抗的关系：仿冒域名、钓鱼URL类IOC天然"低敏"——指标本身不指向任何个人或组织内部信息，是最适合高流通级别（TLP:GREEN/CLEAR）共享的情报类型。本课题建议将此类指标作为社区共享的"基础水位"，先易后难建立信任。
02 · TLP 2.0五级标记详解
TLP（Traffic Light Protocol，交通灯协议）最早由英国政府通信总部（GCHQ）在21世纪初提出，现由FIRST（事件响应与安全团队论坛）维护，2022年8月发布2.0版本。它以颜色标记信息的传播范围，是全球威胁情报共享中应用最广的分级约定：
| 标记 | 披露范围 | 典型用途 |
|---|---|---|
| TLP:RED | 仅限指定接收人本人，不得向任何人再披露 | 最敏感的漏洞情报、未公开的事件细节 |
| TLP:AMBER+STRICT | 仅限接收者所在组织内部，不得再对外共享（2.0新增） | 组织敏感的内部研判产物 |
| TLP:AMBER | 接收者所在组织及其客户，按需知悉基础上可有限再共享 | 行业通报、面向成员客户的预警 |
| TLP:GREEN | 接收者所在的定义社区（如ISAC成员范围） | 社区内常规IOC共享的主流级别 |
| TLP:CLEAR | 不限披露范围（2.0中取代1.0的TLP:WHITE） | 开源情报转发、面向公众的提示 |
2.1 使用要点
- 逐条标注：每条情报必须显式携带TLP标记（在STIX中以marking-definition对象承载，在MISP中以taxonomy标签承载），转发时标记必须保留。
- 标记不替代控制：TLP是"约定"而非"技术强制"，必须与访问控制机制（第2页§04的集合级读写权限）联动执行，双保险。
- 默认从紧：不确定级别时按更严格的级别处理，宁可少共享不可错共享。
03 · FIRST IEP交换政策
TLP回答的是"谁能看"，而FIRST发布的IEP（Information Exchange Policy，信息交换政策）回答的是"拿到后能做什么"。IEP为每条共享信息附加可机读的策略声明，典型维度包括：
- 能否使用（use）：接收方是否可将信息用于自身防御目的；
- 能否对外再共享（share）：是否允许向第三方转发及转发范围；
- 能否修改（modify）：是否允许衍生加工及再分发。
IEP与TLP互补使用：TLP管传播边界，IEP管使用权限。本课题建议在社区共享中采用"TLP + IEP"双标注，并在共享协议（§07）中将二者写为成员义务条款，避免"拿到了但不敢用"或"用了但越权"的两难。
04 · 认证与访问控制
4.1 身份认证
- mTLS客户端证书：共享中心为每个成员组织签发客户端证书，双向验证服务端与成员身份；证书吊销（CRL/OCSP）即实现成员退出，是TAXII部署的主流做法（第2页§04）。
- API密钥：用于应用层调用（如MISP REST API），按系统最小授权，强制定期轮换。
- PGP信任网：MISP早期生态中沿用S/MIME与PGP对情报签名加密的做法，可作为证书体系之外的补充信任手段。
4.2 访问控制模型
推荐采用基于属性的访问控制（ABAC）：以成员属性（组织等级、行业、所在地域）、情报属性（TLP级别、来源、置信度）、环境属性（时间、接入方式）共同决定可见性。例如：TLP:AMBER情报仅对"正式成员"且"签署协议"的组织开放；TLP:RED情报仅对名单内指定接收人开放。MISP的Sharing Group与TAXII的集合级权限是ABAC的落地载体。
05 · 贡献激励与信誉机制
共享生态的长期健康依赖"贡献与获取对等"。本课题设计三层机制：
- 双向可见策略：成员的访问深度（可见集合范围、时效优先级）与其贡献量挂钩——只取不予的成员逐步降权，形成制度性激励。
- 质量信誉评分：综合其贡献IOC的命中率、被其他成员sighting的次数、误报记录计算信誉分；高分成员获得更高TLP级别访问权与治理话语权。
- 准入与退出治理：新成员设试用期与担保人制度；争议由治理委员会仲裁；重大违规（越级转发、含个人信息数据）直接清退并吊销证书。
度量衔接：信誉计算所需的sighting与误报数据，来自第4页§04的度量指标体系与第2页§06的MISP sighting机制——信任机制不是空中楼阁，而是数据闭环的自然产物。
06 · 隐私保护与数据合规
6.1 共享内容的合规审查
IOC（域名、URL、IP、哈希、证书指纹）本身通常不属于个人信息，但情报的上下文中可能夹带：邮件头中的个人邮箱地址、攻击样本中的用户凭据、日志摘录中的IP与账号。共享前必须执行"三道审查"：脱敏（删除或泛化个人信息，如将具体邮箱替换为角色化描述）、最小化（仅共享防御所需的最小信息集）、溯源（记录共享内容版本，保证可回滚、可通知）。
6.2 国内法规映射
| 法规（施行时间） | 关键要求 | 共享设计响应 |
|---|---|---|
| 《网络安全法》（2017-06-01） | 第二十九条支持网络运营者之间在网络安全信息收集、分析、通报和应急处置等方面合作 | 组织间IOC共享具备明确法律鼓励基础，社区建设于法有据 |
| 《数据安全法》（2021-09-01） | 数据分类分级保护制度，共享属数据处理活动须保障安全 | 以TLP实现情报分级管理，按级配置访问控制与审计 |
| 《个人信息保护法》（2021-11-01） | 最小必要原则，去标识化义务，泄露后的通知义务 | 共享前个人信息审查与删除；上下文模板化，杜绝凭据原文流转 |
| 《关键信息基础设施安全保护条例》（2021-09-01） | 鼓励关键信息基础设施运营者开展网络安全信息共享 | 关基行业作为共享社区首批重点拓展对象 |
| 《网络数据安全管理条例》（2025-01-01施行） | 细化网络数据处理者的安全义务，规范数据提供与共享活动 | 共享协议+全程留痕审计；重要数据出境依法评估 |
红线清单：①不共享含公民个人信息的原始日志与样本内容；②不向境外组织提供未依法评估的重要数据；③暗网来源数据严格遵守子课题01的合规边界（不购买、不交易、不传播违法数据）；④共享行为全程留痕，接受社区审计。
07 · 共享协议要素
技术机制之外，成员间必须签署书面共享协议（NIST SP 800-150将其列为共享治理的核心文档）。建议包含以下要素：
- 成员资格：准入条件、试用期、担保与退出流程；
- 标记体系：TLP与IEP标注义务、转发保留标记义务；
- 保密义务：对AMBER及以上情报的知悉范围控制；
- 使用限制：仅限防御目的，禁止用于主动攻击、未授权溯源或对疑似攻击者的骚扰性反制；
- 数据权属：贡献情报的知识产权归属与署名方式；
- 违约责任：越级共享、夹带个人信息的处置与清退条款；
- 审计权：社区对成员使用共享数据的审计权利与配合义务。
08 · TLP 1.0与2.0的关键差异
TLP 2.0于2022年8月发布时，FIRST同步更新了官方使用指南与标记素材。与1.0相比的关键差异如下，混合存量环境的社区必须掌握：
| 维度 | TLP 1.0 | TLP 2.0 |
|---|---|---|
| 级别数量 | 4级：RED / AMBER / GREEN / WHITE | 5级：RED / AMBER+STRICT / AMBER / GREEN / CLEAR |
| 最低级别 | WHITE（可自由传播） | CLEAR（取代WHITE，含义一致、命名更准） |
| GREEN范围 | 限于接收者所在组织及其关联客户 | 重定义为接收者所在的定义社区（如ISAC成员范围）——更贴合社区共享场景 |
| AMBER边界 | 表述较宽泛，实践分歧多 | 细化为AMBER（可面向客户再共享）与AMBER+STRICT（限组织内部）两档 |
| 执行要求 | 以约定为主 | 官方指南明确要求：接收方不得擅自更改或移除标记，转发必须保留原级别 |
| 配套材料 | 规范文本 | 规范文本+使用指南+标记素材包（含机器可用标识） |
混合环境兼容策略：①消费侧按"就高不就低"原则将存量WHITE映射为CLEAR；②1.0标记数据迁移时保留原始标记文本并追加2.0标记，双重标注直至消费端全部升级；③社区共享协议（§07）中明确以2.0为准，成员回传1.0标记时由枢纽统一规范化为2.0并留痕。
09 · 去标识化与脱敏技术要点
第3页§06确立"共享前脱敏"原则，本节给出可执行的技术要点清单，作为社区脱敏审查（第4页管道"分级标注"关卡）的操作依据：
- IP地址泛化：内网保留地址段（RFC 1918）一律删除；公网地址按场景保留或掩码至/24粒度，在保留威胁定位能力与降低指向性之间取得平衡；
- 账号角色化：邮件地址、用户名替换为角色描述（如"财务部某员工"）；密码、令牌、Cookie等凭据原文严禁出现在任何共享对象中，已泄露凭据仅提示"涉及某服务凭据"并引导成员自查；
- 时间戳模糊化：毫秒/秒级高精度时间戳按小时粒度截断，降低对观测方行为规律的画像风险；
- 样本内容裁剪：共享样本哈希与元数据；样本本体仅在协议允许的接收方之间定向交换，且须经恶意代码安全性预检；
- 机器可读的脱敏声明：脱敏动作通过statement型marking-definition记录（第5页§06机制），消费方据此知悉信息完备性边界，避免对脱敏字段的过度解读。
审查红线：含未脱敏个人信息的共享对象实行一票否决——从共享队列撤下、记录事件、通知生产者整改；重复发生触发第3页§05退出治理条款。脱敏审查清单应纳入第4页§05 runbook并每季度复核更新。
10 · 共享治理的对抗性风险与平台内生安全
共享社区本身也是攻击目标。仅"成员间互信"不够，还必须假设对手会主动渗透共享体系。本课题将共享平台的对抗性风险归纳为四类并给出内生安全要求（防御性设计建议，非外部统计数据）：
| 风险 | 攻击方式 | 内生安全要求 |
|---|---|---|
| 账号与凭证盗用 | 钓鱼成员管理员、窃取API密钥或客户端证书私钥 | 管理面强制多因素认证；密钥/证书分级托管与轮换（第2页§04运营纪律）；异常登录告警 |
| 恶意成员/内部威胁 | 注册后长期静默，突然批量拉取高敏集合；或利用合法身份探测其他成员情报 | 拉取行为基线与异常检测（短时超量访问自动熔断）；最小权限＋ABAC按集合隔离可见性（§04） |
| 情报投毒 | 投递精心构造的"高置信度"误报指标，污染消费端检测模型与社区信誉体系 | 双源交叉确认门槛（第4页§03）＋灰度发布＋贡献信誉加权；冲突指标进入争议仲裁而非直接入库（§05） |
| 平台自身漏洞 | MISP/网关组件CVE、插件供应链、管理接口暴露 | 独立安全域部署（第2页§07）；组件版本跟踪与补丁SLA；第三方模块启用前安全评估；管理面不暴露公网 |
10.1 蜜标指标（Canary IOC）机制
建议社区枢纽部署蜜标指标作为泄露溯源与投毒检测工具：向每个成员的可视范围中混入少量仅该成员可见的良性指标（如保留示例域名）。一旦某蜜标指标在社区外部被观测到，即可定位泄露成员；若某成员对蜜标指标回传虚假sighting，则触发信誉复核。蜜标指标的生成、分发与对照表必须严格保密，且不得使用任何真实第三方域名，以免误伤。
边界声明：蜜标仅用于社区内部的信任治理与泄露溯源，符合§07共享协议的审计条款；任何成员不得将蜜标机制用于对外的未授权监测活动。
本节参考来源（第3页）
以下均为标准组织、政府机构与官方法律数据库链接；法规条文请以国家法律法规数据库公布文本为准。
FIRST《Traffic Light Protocol (TLP) v2.0》及使用指南（2022年8月）：first.org/tlp
FIRST信息交换政策IEP：first.org/iep
NIST SP 800-150《Guide to Cyber Threat Information Sharing》（2016年10月）：csrc.nist.gov/pubs/sp/800/150/final
国家法律法规数据库（《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》《网络数据安全管理条例》官方文本）：flk.npc.gov.cn
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》国家标准全文公开系统：openstd.samr.gov.cn
CISA Automated Indicator Sharing（AIS，含共享最佳实践）：cisa.gov/ais