情报生命周期管理

01 · 情报库健康度记分卡

第4页已给出"规模—质量—价值"三栏看板与第2页的"过早退役率/僵尸滞留率"双指标。本页将其扩展为覆盖五个维度的库健康度记分卡，每项指标均带可操作的劣化动作：

02 · 概念漂移与异常监测

衰减模型（第2页）建立在"历史存活分布稳定"的假设上，但攻击者战术演进会使该假设失效，即发生概念漂移。本课题定义四类需持续监测的异常场景：

• 模型失效漂移：某类IOC"实际失效分布"偏离模型预测（如预测中位生存期7天，实测骤降至2天），提示需重拟合（第2页校准）。
• 突发失效潮：某C2基础设施被执法查封或域名被接管，导致批量指标同时失效——应区别于常态退役，避免误判为模型正常。
• 僵尸堆积：探针任务停摆或同步断裂，表现为超期未退役比例陡升（第3页同步SLA）。
• 复活异常：攻击者重启用过的旧基础设施，退役指标突然被命中——应升级告警而非静默（第3页退役区回归检测职能）。

监测实现上，将记分卡指标与漂移检测规则接入SIEM（呼应第4页异常监测），对"分布偏移量"设阈值告警，而非仅看单点值。

03 · 生命周期策略的实验与灰度

有效期基线、探针频率、淘汰阈值都是策略参数，应像代码一样被管理并谨慎演进：

• 策略即代码：将基线档位、探针频率、淘汰阈值参数化、版本化（第3页变更管理），使每次调整可回滚、可审计。
• A/B 测试：对新旧基线在小流量、分来源对比过早退役率与僵尸滞留率（第2页双指标），以数据决定推广与否，避免"拍脑袋改参数"。
• 灰度/金丝雀：新模型版本先在低风险消费端（检测规则）试用，验证无误后再推广到封禁类消费端（经人工闸口），与第4页三阶段路线图一致。

04 · 成熟度模型（CMMI式五档）

为帮助组织定位能力起点、规划演进路径，本课题给出参考CMMI分级思想的五档成熟度模型（L0–L4），与第4页三阶段路线图互补——三阶段是"时间轴"，五档是"能力刻度"：

05 · 指标计算口径明细

为防止同名指标在不同团队间口径不一，本课题对健康度记分卡与运营看板的核心指标给出统一定义性公式（分母为零时指标记为N/A并告警缺失数据，不得记零）：

注：以上为本课题自定义的运营口径，用于组织内部一致性；非行业标准定义。

06 · 成熟度自评检查表

将五档成熟度转化为可勾选的自评问题（每档5题，勾选4题以上视为达到该档）：

• L1 规则基线：①是否所有类型均有有效期字段且必填？②是否有成文的退役操作规程？③审计日志是否已上线且仅追加？④误杀是否有上报通道？⑤是否按月出具库规模统计？
• L2 自动化：①淘汰流水线是否自动运行且有环节监控？②下游是否有每日对账？③Sighting是否自动回流并触发续期？④退役/复活是否有SLA且可考核？⑤探针是否有熔断机制？
• L3 模型驱动：①有效期是否由生存曲线分位数给出而非固定档位？②置信度—时效联动是否自动执行？③ROI看板是否按月更新并被例会使用？④模型是否季度重训并记版本？⑤过早退役率与僵尸滞留率是否双指标同看？
• L4 自适应：①是否与共享社区有双向校准机制？②策略调整是否经A/B验证后灰度发布？③漂移检测是否自动触发重训？④是否有跨域退役协同的协议支撑？⑤度量治理是否防止了指标博弈？

07 · 度量治理：防止指标博弈

度量一旦与考核挂钩就会被博弈（古德哈特定律：一项测量成为目标时便不再是好的测量）。本课题规定三条治理纪律：

• 指标成组使用：任何单一指标不得单独用于考核——过早退役率与僵尸滞留率必须同时看，命中转化率必须结合误报率解读，防止"为达指标而放水"；
• 口径版本化：指标定义随本页公式版本化变更（第3页变更管理），口径变更当期数据须双口径并行一期，保证趋势可比；
• 审计抽查：审计员每季度抽查指标原始数据与看板一致性，发现人为修饰数据按第4页审计事件处理。

08 · 度量驱动的持续改进闭环

上述所有机制收敛为一个自洽闭环：度量（记分卡）→ 告警（漂移/劣化）→ 复盘（月度例会）→ 策略调整（A/B/灰度）→ 再度量。该闭环与第4页"运营例会 + 季度模型校准会"、第6页"模型重训 playbook"一一对应，使生命周期管理具备自我进化的能力——这也是本研究从"方法"走向"运营"的收口。

本节参考来源（第7页）

以下为成熟度与方法学相关真实可查的组织与项目；CMMI 分级思想为通用方法论参照，本页五档模型为本课题据此自建，非引用某一特定厂商报告；指标公式为本课题自定义口径。