情报生命周期管理

01 · 情报全链路溯源模型

溯源回答三个问题：这条情报从哪来、经过了谁、变成了什么样。实现上依赖两条相互独立又彼此印证的链：

• 情报血缘链（Data Lineage）：沿STIX对象的引用关系自动形成——来源外部引用（external_references）、created_by_ref、Sighting的sighting_of_ref、归并映射关系，构成可追溯的对象图谱；
• 操作留痕链（Audit Trail）：平台对每个动作记录"操作者、时间、对象、操作类型、变更前后值、依据"，覆盖采集接入、归一化、研判打分、分发、变更、退役、复活全部环节。

血缘链回答"数据如何演化"，留痕链回答"人做了什么"，两者交叉核验可有效发现异常：例如血缘链显示指标无来源更新而判定置信度被大幅提高，即触发审计核查。

02 · 审计机制与安全

• 留存策略：审计日志留存期限依组织制度与合规要求设定，不得短于其所支撑情报资产的留存期；到期销毁走审批流程并留痕。
• 访问控制：审计日志只读、按需授权；查询审计日志本身亦被审计，防止"查日志擦痕迹"。
• 异常监测：审计日志对接SIEM，配置异常场景规则——如非工作时间批量导出、单一账号高频变更置信度、越权访问退役区等。
• 责任追溯：每个自动决策必须能定位到"规则版本+触发证据+审批人（如有人工闸口）"，审计可完整复演决策过程。

03 · 审计日志记录结构（参考格式）

为实现跨系统解析与机器审计，本课题定义结构化审计事件的最小字段集（JSON Schema思路，字段名仅为参考约定）：

04 · 情报ROI评估框架

情报工作的投入真实而产出分散，必须以统一框架量化。本课题将ROI拆为投入侧、产出侧、比值侧三层：

05 · ROI计算口径与示例公式

为使框架可执行，本课题给出各指标的计算口径（公式中的符号为定义性表达，示例数字仅用于说明计算方式）：

• 单位情报成本（分类型）：C_unit = (C_subscribe + C_platform + C_labor) / N_active，其中N_active为该类型活跃指标数。平台与人力成本需按工作量分摊规则折算到类型。
• 源价值系数：V_source = S_source / C_source，S_source为该源贡献的Sighting加权命中量（命中可按消费端权重分级），C_source为该源年度总成本；V_source连续两期低于阈值即触发源续约评审。
• 命中转化率：R_convert = S_hit / N_active，衡量活跃库整体"命中率"；下降可能意味着库内僵尸比例上升或检测侧接入问题，须结合第7页健康度看板定位。
• 损失避免（FAIR式区间估计）：LE = Σ（避免的预计事件数 × 单次事件损失幅度估计），两者均输出区间值（如"预计每年避免2—5起钓鱼入侵事件，单次损失幅度估计在数十万元量级"），并标注估计依据。

06 · 运营指标看板

将前述指标固化为月度看板，按"规模—质量—价值"三栏呈现，支撑运营例会：

• 规模栏：活跃库/退役区条数与增速、分类型分布、各源供给占比；
• 质量栏：过早退役率、僵尸滞留率（第2页双指标）、同步成功率、探针任务成功率；
• 价值栏：Sighting总量与分源命中、响应时延对比、单位情报成本趋势。

看板指标与告警阈值绑定：任一质量指标连续两期劣化即触发专项复盘，形成"度量—复盘—改进"的运营闭环。

07 · 组织与流程配套

• 角色定义：情报库管理员（平台与流水线）、威胁分析师（研判与定级）、审计员（独立审计与复核）三岗分离，关键操作双人复核；
• 例会机制：月度运营例会（看板复盘）+ 季度模型校准会（衰减模型与基线参数）；
• 联动流程：与SOC的告警处置、与子课题07狩猎的规则沉淀建立双向接口：命中与处置结果回传情报库，情报变更推送检测端；
• 制度文件：《情报库运营管理办法》《退役与复活操作规程》《审计日志管理办法》三份配套制度先行，工具流程随后。

08 · 实施路线图

• 第一阶段（基线规则期）：手工+半自动管理；按类型设定固定有效期档位与探针频率；审计日志先行上线。目标是跑通退役与复活流程、积累观测数据。
• 第二阶段（自动化期）：淘汰流水线全自动化、下游对账、Sighting回流接入；有效期从固定档位切换到生存曲线分位数。
• 第三阶段（模型驱动期）：多因素衰减模型、置信度—时效联动、ROI看板驱动运营决策，实现"数据驱动"的情报资产运营。

09 · 常见失败模式与对策

本节参考来源（第4页）

以下均为真实可查的标准组织、政府机构或方法学项目站点。