01 · 研究背景与意义
IOC具有强时效性、易过期的特点——攻击者更换IP、域名与样本哈希的成本极低，而防守方情报库一旦只进不出，将在数月内堆积大量"僵尸情报"：这些指标早已失效却仍被推送至SIEM、EDR与防火墙，既拖累检测性能、制造误报噪音，又稀释真实威胁的可见性。生命周期管理的本质，是让每条情报在全链路中可追溯、可评估、可退役，使情报资产像金融资产一样被精细运营：有入账（接入）、有估值（置信度与有效期）、有折旧（衰减模型）、有核销（退役审计）。
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》（2018-10-10发布、2019-05-01实施）定义了"可观测数据、攻击指标、安全事件、攻击活动、威胁主体、攻击目标、攻击方法、应对措施"八个组件与"对象、方法、事件"三个域的通用威胁信息模型，为威胁信息交换提供了统一的格式基础；其攻击指标组件要求携带可信度与有效时间属性。STIX 2.1以Indicator的valid_until字段、confidence字段与Sighting（目击）机制承载时效管理——标准层早已给出生命周期管理的字段基础，缺的是把这些字段运营起来的工程机制，这正是本课题的着力点。
核心科学问题：如何依据IOC的类型、威胁场景与真实存活数据，建立可校准的时效性模型与自动化淘汰机制，使情报库在持续膨胀的同时保持可用性与准确性，且全过程可审计、价值可量化？
02 · 生命周期管理总体框架
本课题将情报全生命周期划分为七个管理阶段，各阶段环环相扣形成闭环，反馈回路驱动模型持续校准：
| 阶段 | 核心管理动作 | 责任角色 | 关键留痕 |
|---|---|---|---|
| 评估定级 | 置信度打分、有效期初设、质量抽检 | 威胁分析师 | 打分依据记录 |
| 激活分发 | 消费端订阅管理、TLP打标校验 | 情报平台运营 | 分发日志 |
| 时效监控 | Sighting归集、探针任务调度 | 平台自动化 | 探针结果集 |
| 衰退降级 | 有效期动态调整、优先级变更 | 分析师复核 | 变更前后值 |
| 退役封存 | 退役判定、下游清单同步移除 | 平台自动化+复核 | 退役审批单 |
| 审计复盘 | 操作审计、ROI回溯、模型校准 | 审计员+课题负责人 | 审计报告 |
03 · 研究目标
- 时效可建模：基于IOC类型与威胁场景建立差异化的时效性衰减模型，使有效期设定从"拍脑袋"转向数据驱动（第2页）。
- 淘汰可自动：建立基于活跃度检测的自动化淘汰流程，防止僵尸情报堆积，同时设置误杀复活机制（第3页）。
- 全程可审计：建立覆盖采集、研判、分发、变更、退役全链路的溯源机制，支撑合规审计与责任追溯（第4页）。
- 价值可量化：建立情报ROI评估模型，从命中、响应加速、损失避免等维度量化投入产出（第4页）。
- 共享可协同：厘清共享环境下TLP分级、共享协议对生命周期动作的约束，建立跨域同步与二次生命周期机制（第5页，增补目标）。
- 落地可工程：给出可复用的平台参考架构、标准协议映射与SOAR编排方案，并定义库健康度度量与成熟度评估体系，支撑规模化运营（第6—7页，增补目标）。
04 · 核心研究内容
| 编号 | 研究内容 | 要点 | 展开位置 |
|---|---|---|---|
| L1 | 情报时效性模型 | 基于IOC类型与威胁场景建立差异化衰减模型，动态调整有效期 | 第2页 §01—§06 |
| L2 | 自动化淘汰机制 | 活跃度检测探针体系、退役判定规则、误报复活流程 | 第3页 §01—§04 |
| L3 | 版本控制与变更管理 | 情报实体版本化、变更分类、审批与留痕、下游同步冲突处理 | 第3页 §05—§06 |
| L4 | 情报溯源与审计 | 情报血缘、全链路操作审计、日志完整性与留存 | 第4页 §01—§02 |
| L5 | 情报价值评估（ROI） | 投入产出指标体系、风险量化方法、运营看板与实施路线图 | 第4页 §03—§06 |
| L6 | 共享环境下的生命周期 | TLP约束映射、共享协议责任、跨域同步冲突、二次生命周期 | 第5页 §01—§06 |
| L7 | 平台架构与工程实现 | TIP定位、分层参考架构、STIX/MISP数据模型、TAXII 2.1、SOAR编排 | 第6页 §01—§06 |
| L8 | 运营度量与成熟度 | 库健康度记分卡、漂移监测、A/B灰度、L0–L4成熟度模型 | 第7页 §01—§05 |
05 · 关键技术与方法（总览）
- 衰减建模：基于历史情报"首次入库→最后活跃"的生存数据，用生存分析方法拟合分类型失效曲线，为有效期设定提供数据依据（第2页）。
- 活跃度探针：DNS解析探测、HTTP可达性检测与样本沙箱复现，判定情报活性状态（第3页）。
- 全链路日志：情报平台内置操作审计与变更历史，对接SIEM实现异常操作监测（第4页）。
- Sighting回流：消费端命中回传（STIX Sighting对象）同时服务时效校准与ROI度量，是管理闭环的数据动脉。
- 标准协议栈：以STIX 2.1为数据表达标准、TAXII 2.1为传输协议、MISP/OpenCTI为运营平台参照，保证机制的可落地性与互操作性（第5—6页）。
06 · 与相邻子课题的边界
生命周期管理与多个子课题存在数据与职责交界，边界划清才能避免重复建设：
- 与子课题01（收集与标准化）：01负责情报"如何进来"（含置信度与valid_until字段的初设），本课题负责"进来之后如何变老与退场"；有效期字段的初始值来自01，动态调整属于本课题。
- 与子课题07（威胁狩猎）：狩猎产生的新IOC经01入库后进入本框架管理；退役情报是否仍有狩猎价值（历史模式识别）由狩猎课题评估，本课题负责退役执行与保留可查。
- 与子课题09（质量评估与置信度）：置信度模型是有效期联动因子的输入之一；质量课题回答"这条情报有多可信"，本课题回答"这条情报还能活多久、何时退场"。
- 与子课题03/04（分析与应用，如涉及）：分析产物（组织画像、家族特征）的版本化纳入本课题L3范围；应用场景对时效的需求（实时检测 vs 回溯取证）反向定义差异化有效期策略。
07 · 合规与伦理边界
合规要点：①审计日志可能包含操作人身份等个人信息，遵循《个人信息保护法》最小必要原则，控制采集字段与访问权限；②审计日志设定留存期限并采用防篡改存储（如仅追加写入），留存期满依制度销毁；③活跃度探针对外部IOC的探测行为应限速、浅交互，不与疑似攻击基础设施建立深度会话，探针任务本身纳入审计；④生命周期管理仅作用于本组织授权运营的情报库，对共享得来且受TLP约束的情报，退役决策不得违反共享协议约定；⑤涉及数据出境的共享活动须叠加《数据安全法》《个人信息保护法》的出境合规评估（详见第5页 §05）。
08 · 预期成果与交付物
- 《威胁情报生命周期管理框架》研究报告一份（本八页内容的系统化整理）
- IOC时效性衰减模型与分类型有效期基线（第2页）
- 自动化淘汰流程设计与原型（含复活机制，第3页）
- 情报全链路审计规范与ROI评估指标体系（第4页）
- 共享生命周期与跨域同步规范（第5页）
- 平台参考架构与工程实现指南（第6页）
- 库健康度度量与成熟度评估手册（第7页）
- 典型场景推演与上线检查清单（第8页）
09 · 国内外研究现状与工程实践综述
生命周期管理并非全新命题，但其要素分散在标准、开源平台与工程实践中，尚未被系统整合。本课题的调研结论如下：
- 标准层面：GB/T 36643-2018（2018-10-10发布、2019-05-01实施，全国信息安全标准化技术委员会归口管理，中国电子技术标准化研究院等单位起草）确立了国内威胁信息交换的八组件三域模型；OASIS的STIX 2.1（2021年获批为OASIS正式标准）与TAXII 2.1为国际交换事实标准，其中Indicator的valid_until、confidence、revoked字段与Sighting对象为生命周期管理提供了原生载体。
- 工程实践层面：开源平台已将"指标过期"落地为产品能力——MISP自2.4.114版本起提供指标衰减（Decaying）特性，可参数化的衰减模型随2.4.116版本于2019年9月发布（官方博文《Decaying of Indicators》），通过lifetime（寿命）、decay_speed（衰减速率）、threshold（截止阈值）、base_score（基础分）等参数使指标随时间自动降分直至过期，官方并维护misp-decaying-models默认模型仓库（当前默认模型共三个：nids-simple-model、phishing-model、vishing-model）；OpenCTI以原生STIX 2.1知识图谱组织对象，生命周期状态直接落于标准对象；Elastic等主流数据平台在MISP集成中已消费decay_score字段（当≥50%的衰减模型判定指标过期时标记为decayed），说明"衰减判定进入数据管道"已成为主流实践。
- 方法学层面：生存分析（Kaplan & Meier, 1958）是处理"右删失存活数据"的经典统计方法，本课题将其引入IOC时效建模；FAIR（Factor Analysis of Information Risk）为损失量化提供因素分解框架，作为"损失避免"估算的方法参照。
- 研究空白：①衰减模型多停留在平台参数配置层，缺乏基于本组织真实存活数据的统计校准方法；②跨组织共享环境下的生命周期责任与二次评估机制少有系统论述；③对抗鲁棒性（攻击者针对淘汰机制的规避行为）几乎空白；④情报ROI的量化口径行业尚未统一。以上空白即本课题的增量贡献方向。
综述声明：本节所述各标准版本号、发布日期、平台版本特性均以官方公开文档为准（来源见第8页汇总参考）；凡涉及数值的衰减参数仅为机制示意，不代表任何实测统计。
10 · 术语与缩略语表
| 术语/缩略语 | 全称 / 中文 | 本课题中的含义 |
|---|---|---|
| IOC | Indicator of Compromise / 失陷指标 | 用于识别潜在恶意活动的可观测证据（Hash、IP、域名、URL、邮箱等） |
| TTP | Tactics, Techniques and Procedures / 战术、技术与过程 | 攻击者行为模式，MITRE ATT&CK框架的主要组织维度 |
| STIX | Structured Threat Information Expression | OASIS结构化威胁信息表达标准，本课题数据模型基线（v2.1） |
| TAXII | Trusted Automated eXchange of Intelligence Information | OASIS威胁情报传输协议（v2.1），承载STIX对象交换 |
| Sighting | 目击记录 | 消费端观测到某指标的命中回传，STIX 2.1中的Sighting对象 |
| TLP | Traffic Light Protocol / 红绿灯协议 | FIRST维护的信息共享分级约定（v2.0：RED/AMBER+STRICT/AMBER/GREEN/CLEAR） |
| TIP | Threat Intelligence Platform / 威胁情报平台 | 情报采集、管理、分发的中枢系统（如MISP、OpenCTI） |
| Sinkhole | 沉洞 / 接管 | 防御方或注册局接管恶意域名解析使其失效的技术手段 |
| Fast-flux | 快速流转 | 攻击者通过频繁轮换IP/域名解析规避封禁的技术 |
| KM曲线 | Kaplan-Meier生存曲线 | 非参数生存函数估计方法，本课题衰减建模基线（第2页） |
| 右删失 | Right-censoring | 统计时点仍存活的指标真实寿命只知其下限的数据情形 |
| ISAC | Information Sharing and Analysis Center | 行业信息共享与分析中心（第5页） |
| SOAR | Security Orchestration, Automation and Response | 安全编排自动化响应平台，承载淘汰/复活playbook（第6页） |
| 僵尸情报 | Stale IOC | 已失效但仍滞留于活跃库并被持续分发的指标 |
本节参考来源（第1页）
以下均为真实可查的权威来源（标准发布机构、官方项目站点、政府/标准组织页面）。
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》国家标准全文公开系统（2018-10-10发布，2019-05-01实施）：openstd.samr.gov.cn
OASIS《STIX Version 2.1》官方规范（Sighting与版本化机制见规范正文）：docs.oasis-open.org/cti/stix/v2.1/os/stix-v2.1-os.html
CISA（美国网络安全与基础设施安全局）威胁情报与信息共享资源：cisa.gov
MISP开源威胁情报平台项目（含指标衰减Decaying Models特性）：misp-project.org · 默认衰减模型仓库：github.com/MISP/misp-decaying-models
NIST SP 800-150《Guide to Cyber Threat Information Sharing》（2016年10月）：csrc.nist.gov/pubs/sp/800/150/final
MISP官方博文《Decaying of Indicators — An improved and flexible model to expire indicators》（2019-09-12，随MISP 2.4.116发布）：misp-project.org/2019/09/12/Decaying-Of-Indicators