01 · 活跃度检测探针体系
淘汰决策的质量取决于活性判定的质量。本课题设计四类探针，按IOC类型自动编排：
| 探针 | 适用IOC类型 | 判定逻辑 | 注意事项 |
|---|---|---|---|
| DNS解析探测 | 域名 | 定期解析目标域名：持续NXDOMAIN或解析至sinkhole地址视为活性消失 | 区分"注册未启用"与"已注销"，控制查询频率避免形成放大流量 |
| HTTP(S）可达性 | URL、域名 | 对存活域名做浅层请求，核对响应特征是否与入库时指纹一致 | 仅浅交互，不提交表单、不下载载荷；TLS指纹与页面指纹双重核对防"占位接管" |
| 沙箱复现 | 文件Hash | 对样本在隔离沙箱中重跑，比对行为特征是否仍属同一恶意家族 | 样本过期≠无害，复现用于更新家族标签而非直接退役 |
| 证书状态检查 | 域名、IP | 核对TLS证书是否过期、更换或被吊销，证书指纹突变提示基础设施易手 | 证书更换是强信号但需与DNS/HTTP探针交叉确认 |
探针合规与工程红线：①探针任务纳入审计，探测速率受限，不得对疑似攻击基础设施进行高频扫描或深度交互，避免本组织探针流量被利用或溯源；②样本复现仅在隔离沙箱环境进行，出口默认拒绝；③被动数据来源（如被动DNS更新、信誉源状态翻转）优先于主动探测，能降低合规与对抗风险的部分一律被动化。
1.1 探针调度设计
- 频率分级：临近有效期的指标高频探测（逐日）、稳定期降频（按周）、退役边缘再升频复核，避免对海量指标均匀高频空转；
- 批量与错峰：探针任务分片执行、错开时段，异常熔断（目标大面积不可达时自动降频，防误伤与防放大）；
- 结果置信：单次探测失败不判死，要求连续N次独立失败（N由指标类型与误杀容忍度设定）方可进入淘汰流程。
02 · 探针编排参数基线（示意档位）
以下参数基线用于起步运营时的初始配置，全部为示意档位而非行业标准，正式值应由第2页生存曲线与运营数据校准：
| IOC类型 | 探针组合 | 临近到期频率 | 连续失败阈值N | 备注 |
|---|---|---|---|---|
| URL | HTTP(S)+证书 | 每日1次 | 3次 | 时效最敏感，最短周期 |
| 域名 | DNS+HTTP+证书 | 每日1次 | 3次 | 被动DNS优先，主动探测兜底 |
| IP地址 | HTTP+证书 | 每日1—2次 | 3次 | 警惕云IP重分配，退役后仍定期回查一次 |
| 文件Hash | 沙箱复现 | 每月1次 | 2次 | 复现目的为家族标签更新，退役决策放宽 |
| 邮箱/发件人 | 被动信誉源 | 每周1次 | 2次 | 不做主动探测，依赖信誉源翻转与命中回传 |
熔断规则示例：同一探针队列中若某批次失败率突增超过日常基线的数倍，自动暂停该批次并告警——既防目标侧故障（如区域性网络问题）造成批量误判，也防探针自身故障静默停摆。熔断事件本身计入审计与第7页健康度看板的"探针任务成功率"指标。
03 · 淘汰判定与分级处置
活性消失不是唯一结局，本课题将处置分为三档，对应不同的证据门槛：
| 处置 | 判定条件（示例逻辑） | 后续动作 | 证据门槛 |
|---|---|---|---|
| 确认退役 | 连续探针失败 + 无Sighting命中 + 超出生存曲线高分位预期 | 移入退役区，停止分发，下游清单同步移除 | 高（多源一致） |
| 降级观察 | 探针失败但存在历史Sighting；或单一探针失败、其余正常 | 缩短有效期、降低分发优先级、转入观察集 | 中 |
| 复活 | 退役后新Sighting命中或探针活性恢复 | 按复活流程恢复并保留退役痕迹，证据不足时保持低置信度 | 需人工复核 |
防误杀设计：自动退役仅限"低处置代价"消费端（检测规则、查询清单）；封禁类消费端（防火墙、邮件网关）的退役增加人工复核闸口。所有自动决策必须可解释——退役单上强制携带探针证据链（时间、结果、判定规则版本），供审计回溯。
04 · 自动化淘汰流水线
05 · 退役与复活的SLA建议
为使生命周期管理可考核，本课题给出端到端服务级别目标（运营建议值，非行业标准），并纳入第7页健康度看板监控：
| 事项 | SLA目标 | 说明 |
|---|---|---|
| 检测类清单退役生效 | ≤24小时 | 从判定到SIEM/EDR规则更新完成 |
| 封禁类清单退役生效 | ≤72小时 | 含人工复核闸口时间；超时自动升级告警 |
| 复活人工复核响应 | ≤4工作小时 | 退役区回归告警须有人工确认，防止攻击者"复活钓鱼" |
| 下游对账周期 | 每日增量对账 | 每周一次全量对账兜底（第3节大规模运营要点） |
| 探针任务成功率 | ≥99% | 低于阈值视为流水线停摆，触发第7页专项复盘 |
06 · 退役区设计
退役不是删除。退役区保留全量历史指标及其证据链，承担四项职能：
- 历史取证：事件回溯调查时，可查询"当时已知哪些指标、何时退役、依据是什么"；
- 回归检测：老指标复活是常见手法（攻击者重启用过的基础设施），退役指标命中需升级告警而非静默；
- 模型训练：退役区是衰减建模（第2页）的核心数据源，真实存活终点只能从这里获得；
- 审计还原：支撑"某时点为何未封禁某指标"类审计问题的回答。
存储策略：退役区与活跃库物理分离，停止参与实时分发与在线探针（历史探针结果归档保存）；访问权限收紧为只读，修改仅限复活流程；留存期限依组织制度与合规要求设定，到期按流程销毁；共享得来的情报还须满足共享协议的留存期下限（第5页），该下限可能长于内部默认有效期。
07 · 版本控制与变更管理
7.1 版本化机制
STIX 2.1的对象版本化为本课题提供了现成机制：对象ID保持稳定，内容变更以modified时间戳递增生成新版本，消费者可据此做增量同步与冲突消解。本课题在此基础上定义情报实体级的版本管理，覆盖两类对象：
- 机器指标类（IOC）：版本即STIX对象版本，变更自动留痕；退役对应
revoked=true而非物理删除（第5页跨域场景同此原则）； - 分析产物类（APT组织画像、恶意软件家族特征、攻击模式库）：需额外管理人工编辑的版本，记录每次变更的编辑人、变更理由与引用依据，支持版本对比与回滚。
7.2 变更分类与流程
| 变更类型 | 示例 | 流程要求 |
|---|---|---|
| 新增 | 新IOC入库、新建家族特征 | 走标准化流水线（子课题01），自动版本 |
| 修正 | 置信度调整、标签勘误 | 记录前后值与依据；高影响修正（如判定反转）需复核 |
| 合并/拆分 | 同源指标归并、家族重组 | 保留合并映射关系，禁止物理删除被合并对象 |
| 退役/复活 | 淘汰、降级、恢复 | 走第04节流水线，人工闸口按代价分级 |
7.3 下游同步冲突处理
多消费端订阅下的典型冲突：同一指标在不同平台的版本不一致。处理规则：以情报库为准绳——下游定期增量对账，发现版本落后即推送最新版；对"下游本地加白"操作，要求回传白名单理由并纳入审计，防止局部加白污染全局判定。
08 · 大规模清单运营要点
- 清单更新协议：与下游约定全量/增量两种同步方式与最低同步频率，支持按消费端类型（检测/封禁/审计）出不同清单视图；
- 变更传播时延预算：退役到下游生效的端到端时延应纳入SLA监控（僵尸指标多残留一天就多一天误报，见第05节SLA表）；
- 容量规划：按"活跃库 + 退役区 + 探针结果集 + 审计日志"四块分别估算存储增长，退役区增长通常最快；
- 幂等与对账：所有下游推送幂等可重放，定期全量对账兜底，杜绝"情报库已退役、防火墙仍封禁"的漂移。
09 · 误杀复盘与纠错闭环
再完善的机制也会误杀，关键是把误杀转化为模型与规则的养料。本课题规定误杀复盘的四步闭环：
- 上报通道：业务方（被封禁影响的部门）经统一工单入口上报误报，平台自动关联该指标的全链路记录（判定规则、探针证据、审批人）；
- 证据收集：复核误报是否成立：探针证据是否被对手利用（如故意保持域名可达以躲避淘汰）、信誉源是否翻转、封禁时该IP是否已重分配给正常业务；
- 规则调整：误杀成立的，按类型归因——是有效期过短（调基线分位数）、阈值过松（调连续失败N值）、还是闸口缺失（补人工复核环节），每项调整走第07节变更管理并记版本；
- 闭环记录：误杀事件、根因、调整措施全部归档，计入第7页健康度"准确性"维度与月度复盘，形成可量化的误杀率趋势。
原则：误杀率目标不应追求为零——追求零误杀必然导致永不退役的僵尸库；正确目标是让误杀可发现、可恢复、可学习，与僵尸成本达成显式权衡（该权衡的量化方法见第2页 §04 保守/激进策略）。
本节参考来源（第3页）
以下均为真实可查的官方规范或知名开源项目仓库。
OASIS《STIX Version 2.1》官方规范（对象版本化机制、revoked字段与Sighting对象）：docs.oasis-open.org/cti/stix/v2.1/os/stix-v2.1-os.html
MISP开源威胁情报平台（含指标衰减Decaying Models与生命周期管理实践）：misp-project.org
MISP官方博文《Decaying of Indicators》（2019-09-12）：misp-project.org/2019/09/12/Decaying-Of-Indicators
OpenCTI开源威胁情报平台（对象生命周期与衰减规则）：github.com/OpenCTI-Platform/opencti
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》国家标准全文公开系统：openstd.samr.gov.cn
CISA 网络安全信息共享与运营指南：cisa.gov