情报生命周期管理

01 · 共享域对生命周期的新约束

前4页的七阶段框架（产生→评估→激活→监控→衰退→退役→审计）在单一组织内部是自洽的：谁产生、谁定级、谁退役，权责合一。但威胁情报的本质是协作性公共品——绝大多数组织的情报库都包含大量"他人产生、我方使用"的外部情报。进入共享域后，生命周期出现三个不可逆的变化：

• 处置权限被分割：产生方可以退役自己的指标，但接收方是否同步退役、能否代表上游退役，取决于共享协议；单方面删除可能破坏跨组织溯源链。
• 有效期的"权威来源"多元化：同一Indicator在不同伙伴处可能有不同valid_until（各自模型不同），需要明确"谁的有效期为准"。
• 共享态叠加在生命周期之上：在"产生—退役"主线之外，需额外记录情报处于独占 / 受限共享 / 公开三种共享态中的哪一种，不同共享态对应不同的分发与退役动作边界。

02 · TLP分级与生命周期动作映射

TLP（Traffic Light Protocol，红绿灯协议）是威胁信息共享中最通行的分发分级约定，由FIRST维护。TLP v2.0（2022年8月发布）定义 RED、AMBER、GREEN、CLEAR 四个标签，并新增 AMBER+STRICT 作为AMBER的严格变体（接收范围严格限定在接收组织内部、不得向其客户扩散）；v1.0的WHITE更名为CLEAR。需要强调：TLP是共享分级而非有效期，二者正交——但TLP级别会直接约束生命周期动作的"可操作性边界"。

关键实践要点：①退役同步要随TLP收紧而更加谨慎——TLP:RED/AMBER类情报退役仍需通知来源方，避免上游继续分发已退役指标；②TLP提升（如AMBER→RED）会临时收紧分发，此时即便指标本身仍"有效"，也应即时从低级别消费端撤回；③TLP降级（RED→AMBER→GREEN）则触发新一轮、更大范围的分发与再评估，这本身是一次生命周期事件。

03 · 共享协议与生命周期责任

TLP解决"能传给谁"，而"传了之后怎么管、谁负责"由更具体的共享协议约定。三类典型机制：

• ISAC / 行业协作成员协议：约定情报使用目的、再分发禁止条款、留存与销毁期限。生命周期管理必须遵守协议中的留存期下限——该下限可能长于内部默认有效期，意味着"可退役但须受控留存可查"（呼应第3页退役区职能）。
• MISP 共享组（Sharing Groups）与分发树：基于标签（tag）的自动分发，使"谁能看到这条情报"成为数据结构的一部分。上游退役时，需通过发布撤销/更新事件（而非物理删除）下行至各共享组，保证消费端可感知。
• 数据使用协议（DUA）/ 信息共享协议：明确来源署名、免责声明、撤回权。当来源行使其撤回权时，接收方须从活跃库移除该情报并转入受控留存（仅审计/取证可用），这本身就是一种"受约束的退役"。

04 · 典型共享机制实例

以下均为真实存在、公开可查的共享机制（用于机制说明，不构成加入建议）：

• 行业ISAC：金融信息共享与分析中心（FS-ISAC）、美国州/地方/领地政府的MS-ISAC（由CISA支持的 Multi-State ISAC）、医疗行业Health-ISAC、航空业A-ISAC等，均以会员协议约定TLP使用、再分发限制与留存义务，其运营成熟度是"行业级生命周期协同"的参照。
• 政府主导交换机制：美国CISA的AIS（Automated Indicator Sharing）机制以机器速度共享网络威胁指标。CISA本体已于2022年11月完成TLP 2.0过渡，但其AIS能力的TLP标记迟至2024年10月才从1.0升级至2.0（CISA官方公告）——说明国家级共享管道的分级协同同样滞后于标准发布，生命周期管理须正视此类现实时延。
• 开源平台社区：MISP社区通过默认共享组、标签分发与撤销事件实现社区级协同；OpenCTI社区依托STIX 2.1原生模型与连接器生态交换。

05 · FIRST IEP：与TLP互补的机器可读策略

除TLP外，FIRST还维护了IEP（Information Exchange Policy，信息交换策略），用于以结构化方式表达"接收方拿到情报后能做什么"——包括能否再分发、是否需在指定期限后删除、是否可用于自动处置等条款。IEP与TLP互补：TLP回答"谁能看"，IEP回答"能怎么用"，二者均为机器可读的头部策略（可嵌入STIX对象头部或MISP标签）。IEP当前版本为2.0，提供标准化的IEPJ策略文件（JSON格式，与TLP各取值对应且URL可直接访问），可嵌入STIX 2.x/TAXII 2.x传输管道随情报本身跨组织传播（专属页面见本节参考来源[6]）。

• 生命周期动作嵌入策略头：例如IEP条款可约定"该情报仅限14天内用于检测，到期须删除或转受控留存"——这与本课题退役区"受控留存"机制直接对应，且使生命周期约束随情报本身跨组织传播。
• 落地要点：平台侧须解析入站情报的策略头并在生命周期引擎中强制生效（而非仅展示）；出站共享时应同时打TLP与IEP标记，避免接收方因条款缺失而过度使用。

注：IEP相关条目以FIRST官方站点说明为准（见本节参考来源[6]）。

06 · 跨组织指标流转的同步与冲突

多源、多组织环境下的指标流转，最易出现"状态漂移"。本课题给出三条处理原则：

上述原则与第3页"下游同步冲突处理"一脉相承，只是冲突主体从"本组织情报库 vs 内部消费端"扩展为"来源方 vs 接收方"。核心仍是以权威来源为准绳 + 增量对账 + 幂等可重放。

07 · 跨境与合规边界

共享一旦跨法域，生命周期管理必须叠加数据治理维度：

• 数据分类前置：威胁情报指标（IP/域名/样本哈希）一般不直接含个人信息，但关联的攻击者画像、举报记录、内部研判过程可能涉及个人信息或重要数据。共享前须做数据分类，区分"纯技术IOC"与"含个人信息/重要数据"的内容。
• 出境与本地化：涉及数据出境时遵循《数据安全法》《个人信息保护法》相关要求；受限场景下采用"本地副本 + 去标识化"或仅共享指标摘要，生命周期的留存与销毁亦受本地法规约束。
• 最小化与可撤回：共享内容遵循目的限定、最小必要原则；跨境协作建立明确的撤回与删除（受控退役）通道，并与第4页审计机制对接。

08 · 接收方的"二次生命周期"再评估

接收共享情报不是"直接入库即用"，而是一段新的生命周期起点。本课题称其为二次生命周期，包含三个动作：

设计要点：来源方的退役事件应触发本地的"降级观察→复核"而非立即删除——既尊重来源权威，又保留本地研判空间（与第3页复活机制、第4页退役区职能一致）。若本地证据强烈反对来源结论（如本地仍持续命中），应通过研判流程回传来源方，形成双向校准。

09 · 共享绩效指标

共享不是"发出去就完事"，需以指标衡量协同健康度，纳入第7页看板的扩展栏：

• 回传率：接收方将Sighting命中回传来源方的比例——回传率低的共享网络，其衰减模型与源价值评估（第2/4页）都会因数据缺失而失真；MISP等平台原生支持Sighting共享以鼓励回传。
• 事件传播时延：从来源方发布退役/撤销事件到本组织消费端生效的端到端时长，纳入SLA监控（与第3页SLA同源）。
• 再分发合规率：出站情报TLP/IEP标记完整率与越权转发事件数——合规事故计为审计事件（第4页）。
• 撤回响应时长：来源行使撤回权后，本组织完成活跃库移除与受控留存转置的时长。

本节参考来源（第5页）

以下均为真实可查的标准组织、政府机构或知名开源项目站点；本页所有TLP分级、共享协议与标准字段描述均以其公开文档为准。