01 · 生命周期管理平台的定位
威胁情报平台（TIP, Threat Intelligence Platform）是连接"采集来源"与"消费系统"的中枢。生命周期管理并非外加模块，而是TIP的内置能力：采集接入、标准化、存储、富化、关联、置信度评估、分发、退役、审计本就运行在同一平台上。本子课题提出的七阶段框架与衰减/淘汰/版本/溯源机制，最终都要映射为TIP中的具体服务与数据。
边界划分：TIP负责"情报本身的生命周期"（前4页）；SIEM/SOAR/EDR负责"用情报驱动的检测与响应"。二者通过标准接口解耦——TIP产出带valid_until与TLP的标准化对象，消费端消费并回传Sighting（命中），形成第2页所述"管理闭环的数据动脉"。
02 · 分层参考架构
本课题给出可复用的五层参考架构，每一层都对应前序页面的某项能力：
03 · 数据模型与标准化
生命周期元数据应尽量使用标准原生字段，避免私有扩展导致跨平台互操作失效：
| 生命周期要素 | STIX 2.1 原生承载 | 说明 |
|---|---|---|
| 有效期 | Indicator.valid_until | 绝对失效时间；配合第2页衰减模型动态更新 |
| 置信度 | Indicator.confidence | 0–100，作为有效期联动因子（第2页） |
| 版本/变更 | 对象ID稳定 + modified递增 | 支持增量同步与冲突消解（第3页） |
| 目击/续期 | Sighting（count/first_seen/last_seen） | 命中回传即续期证据（第2/4页） |
| 退役 | revoked=true + 关联Relationship | 撤销而非物理删除，保留溯源（第3/5页） |
| 来源/血缘 | created_by_ref / external_references | 血缘链基础（第4页） |
MISP则以 Event–Attribute–Object–Galaxy–Tag 模型组织情报，生命周期用标签（如过期标记、to_ids标志）与内置衰减模型（Decaying Models，2.4.116+）表达。本课题建议以 STIX 2.1 为交换标准、MISP 为运营平台，二者通过格式映射互通——MISP 官方即提供向 STIX 2.1 的导出能力。OpenCTI 等平台则原生以 STIX 2.1 为内部数据模型，生命周期状态直接落于标准对象。
04 · 标准协议：TAXII 2.1
情报在平台间如何流动，依赖 OASIS 的 TAXII 2.1（Trusted Automated eXchange of Intelligence Information）协议。其实用要点：
- 资源层级：API Root → Collections → Objects；情报以"集合"为单位组织（如按TLP/来源分集合），Objects 端点承载 STIX Bundle。
- 媒体类型：application/taxii+json；Discovery、API Roots、Collections、Objects 四类端点分别负责发现、根节点、列举集合、读写对象。
- 两种模式：Pull（消费端主动拉取集合增量）与 Push（提供方主动推送），配合"集合订阅"实现自动分发。
- 生命周期事件传播：更新对象（modified 递增）即表达续期/变更；
revoked=true即表达退役通知——消费端拉取增量即可感知，无需额外私有通道。
与前页衔接：TAXII 是第5页"跨域流转同步"的工程载体——上游退役（revoked）经 TAXII 增量下行，接收方据此触发第5页"二次生命周期"的降级观察；第3页"下游同步对账"亦以 TAXII 集合版本为对账基准。
05 · TAXII 2.1 端点速查（工程参考）
| 方法 | 端点路径 | 用途 |
|---|---|---|
| GET | /taxii2/ | Discovery：发现服务器支持的API Roots |
| GET | /{api-root}/ | 获取API Root元信息（标题、版本、集合清单入口） |
| GET | /{api-root}/collections/ | 列举全部集合（每个集合对应一类订阅视图） |
| GET | /{api-root}/collections/{id}/objects/?added_after={ts} | 增量拉取集合内STIX对象（added_after为增量水位线） |
| POST | /{api-root}/collections/{id}/objects/ | 向集合推送对象（Push模式/Sighting回写） |
| GET | /{api-root}/collections/{id}/manifest/ | 对象清单（ID+modified），用于轻量对账 |
注：端点路径以TAXII 2.1官方规范第3—4章为准（见本节参考来源[1]）。
06 · 与消费端集成
生命周期管理的最终价值体现在消费端能否"用得上、用得准、用得及时"：
- SIEM / EDR：通过 STIX connector 或 API 推送 Indicator 列表（携带 valid_until 与 TLP）；落地为检测规则或封禁列表；Sighting 命中经 TAXII 回写，闭环驱动第2页续期与第4页ROI。
- 防火墙 / 邮件网关（封禁类）：仅推送高置信+经人工闸口的指标（第3页），并携带有效期——到期自动失效，避免"永久封禁"。
- 工单 / SOAR：退役、复活、降级等事件触发工单或 playbook（见下节），保证人工闸口与审计留痕。
集成的关键在于视图分离：同一指标对检测型消费端出"短期激进"有效期，对封禁型出"长期保守"有效期（第2页差异化消费），平台按消费端类型动态出不同清单视图。
07 · 编排与自动化（SOAR）
第3页的六环节淘汰流水线与复活流程，落到工程上即 SOAR playbook。用"事件总线解耦"模式：生命周期引擎发布领域事件，SOAR 订阅并执行动作，保证幂等可重放。
| Playbook | 触发事件 | 执行动作 |
|---|---|---|
| 自动淘汰 | 探针连续失败 + 无Sighting + 超期 | 生成退役建议→低代价消费端自动执行→高代价转人工闸口→TAXII 下行→审计归档 |
| 复活 | 退役指标新Sighting / 探针活性恢复 | 升级告警→复核（人工）→恢复并保留退役痕迹→重新入监控集 |
| 模型重训 | 季度校准周期 / 漂移超阈 | 取最新存活数据重拟合→灰度发布新基线→记录版本（第3页变更管理） |
幂等与对账：所有推送与 playbook 执行必须幂等可重放，定期全量对账兜底（呼应第3页"大规模清单运营要点"），杜绝"情报库已退役、防火墙仍封禁"的漂移——这是平台工程实现的硬约束。
08 · 平台选型参考（开源与商业）
以下为真实存在、公开可查的平台（信息以各官方文档为准，用于选型维度说明，不构成采购建议）：
| 平台 | 数据模型 | 生命周期相关能力 | 适用侧重 |
|---|---|---|---|
| MISP（开源） | Event–Attribute–Object–Galaxy–Tag | 内置衰减模型（Decaying Models 2.4.116+）、Sighting、共享组、STIX 2.1导入导出 | 运营与社区共享导向，插件生态成熟 |
| OpenCTI（开源） | 原生STIX 2.1知识图谱 | 对象生命周期工作流、衰减规则、连接器生态 | 知识图谱关联分析导向 |
| 商业TIP（如Recorded Future、Microsoft Sentinel内置威胁情报等） | 各厂商私有为主，多支持STIX/TAXII进出 | 生命周期自动化程度不一，须以合同明确有效期/退役SLA | 托管服务与分析能力导向 |
选型评估维度建议：①生命周期能力是否原生（衰减/退役/复活/Sighting回写）而非插件拼装；②STIX 2.1/TAXII 2.1互操作完整度；③审计日志能力（哈希链、导出）；④共享机制（TLP/IEP支持）；⑤与现有SIEM/SOAR的连接器成熟度；⑥社区活跃度与二次开发成本。
09 · 非功能需求与可观测性
- 可用性：生命周期引擎属于后台批处理型服务，目标可用性可低于在线查询服务，但停摆必须可感知（第3页"淘汰停了无人发现"的防线是监控而非高可用堆砌）；
- 性能预算：探针任务吞吐按"活跃指标数×探针频率"估算并设错峰；增量同步时延满足第3页SLA（检测类≤24h）；
- 容量：按活跃库/退役区/探针结果集/审计日志四块独立规划（第3页容量规划），审计日志为仅追加流，建议冷热分层；
- 可观测性：流水线各环节暴露任务量、判定分布、同步成功率、时延直方图四类指标，对接第7页健康度看板；所有指标须能下钻到"某类型/某来源/某消费端"粒度。
本节参考来源（第6页）
以下均为真实可查的标准组织官方规范或知名开源项目，本页协议描述与架构要素均以其公开文档为准。
OASIS《TAXII Version 2.1》官方规范（Discovery / API Roots / Collections / Objects 端点与 push/pull）：docs.oasis-open.org/cti/taxii/v2.1/os/taxii-v2.1-os.html
OASIS《STIX Version 2.1》官方规范（Indicator / Sighting / revoked 与版本化）：docs.oasis-open.org/cti/stix/v2.1/os/stix-v2.1-os.html
MISP 开源威胁情报平台（事件/属性/对象模型与 STIX 导出）：misp-project.org
OpenCTI 开源威胁情报平台（原生 STIX 2.1 数据模型）：github.com/OpenCTI-Platform/opencti
MITRE ATT&CK / CTI 生态（威胁情报与检测工程参考）：attack.mitre.org