开源情报源接入与社区运营

01 · OSINT接入原则与合规前提

开源情报（OSINT）是社区共享的"水源"。接入任何外部源之前，必须先过三道合规关：

• 许可关：确认数据源的使用条款——部分源禁止商业化再分发，社区对外共享前须取得再分发授权或仅作内部参考；
• 采集关：遵守目标站点的robots协议与速率限制，使用官方API/订阅通道优先于抓取网页；高频采集必须实现退避重试与流量整形；
• 内容关：开源源可能夹带个人信息或错误归因数据，须执行第3页§06同样的脱敏与审查流程——"开源"不等于"可任意共享"。

02 · 国际主流开源情报源

2.1 abuse.ch平台群

abuse.ch是瑞士伯尔尼应用科技大学（BFH）主持的反恶意软件基础设施项目群，全部免费开放，是MISP默认Feeds的主要供给方：

2.2 其他国际公共源

03 · 国内威胁情报生态（定性描述）

国内已成长出一批商业与半公共的情报供给方，构成社区数据水位的重要补充（以下为生态定性描述，不构成产品推荐）：

04 · 源评估与准入机制

并非所有源都值得接入。本课题建立五维准入评分（每维1—5分，总分低于15分或任何维度为1分的不予接入）：

05 · 数据水位：聚合·去重·置信度继承

5.1 去重归一

同一IOC常出现在多个源（如URLhaus与ThreatFox重叠率高）。归一化键采用规范化后的值而非原文：域名转小写并去末尾点、URL做协议与端口规范化、IP去零填充。归一后维护"多源命中计数"——这正是第5页§07置信度计算与第4页质量指标的输入。

5.2 置信度继承规则

• 单源命中：置信度上限60，进入待验证队列；
• 双源独立命中：60—85，可进入共享队列（对应第4页§03"≥2独立来源"目标）；
• 三源及以上或含行业渠道确认：85—95，可触发高危Push广播；
• 某源历史误报率超过社区均值2倍：其贡献的置信度自动打7折，直至评审复权（反情报污染机制）。

5.3 反向共享义务

社区对开源源的指标命中情况（sighting），在许可允许且完成脱敏的前提下，应回流给源平台——既是社区贡献（第3页信誉机制），也提升源数据质量，形成生态正循环。

06 · 社区运营机制

• 成员Onboarding：提交组织身份与联络人→签署共享协议（第3页§07）→颁发mTLS证书与MISP账号→试用社区（30天只读）→贡献首条有效情报后转正；
• 贡献指南：发布《IOC提交规范》——强制字段（类型、值、置信度、TLP、首次/末次观测时间、证据链接）、推荐字段（ATT&CK阶段、家族标签）、禁止项（个人信息、无验证的猜测性归因）；
• 质量评审：新成员前10条贡献逐条人工复核；转正后按信誉分抽样复核；
• 争议处理：命中方认为指标有误→提交benign型Indicator与证据→治理委员会7日内仲裁→仲裁结果与理由全社区公示（学习效应）；
• 透明治理：月度运营报告公开（指标总量、时延、误报率趋势——第4页指标体系的对外视图）。

07 · 成本控制与采集合规

• 预算构成：商业源订阅费、带宽与存储（日增百万级指标时的真实压力）、人力（源维护与评审）；
• 节流手段：按消费端实际接入的系统裁剪源（EDR用哈希源、DNS用域名源）、设置单源日增上限、低频源降频采集；
• 速率纪律：所有采集器实现令牌桶限速与指数退避；对提供官方Feed的源绝不爬网页——既合规也省成本；
• 失效监测：对在线率、数据新鲜度、schema变更设自动告警，源失效超72小时自动降级出共享队列，防止"水位假象"。

08 · 钓鱼对抗专项数据源

针对本学院核心战场（钓鱼仿冒），构建专项数据面：

• 证书透明度日志（CT Log）：监控目标品牌关键词的新增证书（证书透明度由RFC 6962定义），在仿冒站点上线初期即捕获域名——比黑名单快一个生命周期；
• Passive DNS：对仿冒域名做历史解析回溯，发现同一攻击者的基础设施集合（ Infrastructure对象建模素材）；
• URLhaus/PhishTank/OpenPhish：钓鱼URL类指标直接入社区绿名单级共享（TLP:CLEAR/GREEN）；
• 行业通报：反钓鱼工作组成员单位的仿冒事件通报作为最高时效源，进入快速通道（第4页高危Push）；
• 同源归并：同一钓鱼 kit 的批量仿冒页面（同HTML模板、同资源指纹）应归并为一个Campaign对象关联多个Indicator，避免向消费端倾倒近重复指标。

09 · MISP生态常用Feed与公共源清单

以下源均为MISP社区长期维护、可直接接入的公共数据源（真实项目，接入前仍须执行§01三道合规关）：

10 · 采集工程基线

采集环节的工程质量直接决定数据水位的可信度。四条基线纪律（本课题工程规范）：

11 · 情报源分级目录与差异化运营

源数量不等于水位质量。本课题建议社区将已准入源编入三级目录（本课题运营框架，非外部标准），按级别配置差异化同步策略、配额与失效处置：

• 升级与降级的客观依据：仅以§04五维评分与§10采集基线的客观数据（时效、误报、在线率）触发级别调整，评审结论留痕；
• 配额隔离：Tier 3源设置严格日增上限与独立解析队列，防止低质源挤占置信度计算资源；
• 目录透明：三级目录及调整记录对全体成员公开——源治理与情报分级一样，透明度即信誉。

本节参考来源（第6页）

以下均为项目官方网站；平台上线时间与数据集状态以各站当前公告为准。