分级规范、时效管理与工程落地（第4页）

01 · 情报分级体系设计

置信度模型、证据链与反馈闭环（第2、3页）解决"如何评价"，本页解决"评价结果如何沉淀为规范并规模化运转"。我们建议采用双轴分级：以置信度为主轴（低/中/高），以情报类型为辅助轴（IOC / TTP / 漏洞 / 威胁报告），因为不同类型情报的评估方法、时效特征与消费方式差异显著，不应共用一把尺子。

分级规范必须文档化：明确定义、评定人资质、评定流程、复评周期与例外处理流程，并纳入单位质量管理体系。术语风格上建议与本单位已有的漏洞分级（FIRST CVSS 严重度分级）保持一致的表达习惯，降低跨团队沟通成本。分级标签与 STIX confidence 数值的映射关系应在规范中固定（如：高=60–100、中=40–59、低=0–39），实现"一份评定、两种读法"（人读标签、机读数值）。

02 · 分级与消费场景的匹配规则

分级的意义在于约束消费动作。核心原则：处置动作的不可逆性与影响面越大，要求的置信度门槛越高。

03 · 时效性管理与 IOC 衰减

情报会"过期"：攻击者更换基础设施的速度远快于情报更新速度，过期情报持续参与匹配只会制造误报。STIX 2.1 为 Indicator 等对象定义了 valid_from/valid_until 字段，GB/T 36643-2018 的威胁信息模型同样强调时效属性，这正是时效管理的机器可读抓手。

3.1 分类型时效特征（定性）

注：上表为定性量级判断，用于差异化设定 valid_until 策略；具体阈值应由各组织结合自身回传数据统计确定，本课题不给出普适数值。

3.2 衰减与复评策略

• 生命周期：入库 → 验证 → 消费 → 命中反馈 → 复评 → 过期/归档；到期自动降级、停止在线匹配，而非直接删除；
• 复评触发器：新命中回传、新来源佐证、长期静默超时、对抗性校验发现疑点；
• 过期 ≠ 删除：过期情报转入存档区，保留溯源价值，支撑归因复盘与趋势分析。这也是 NIST SP 800-150 对信息共享"持续性管理"思想的体现。

04 · 共享约束：FIRST TLP 2.0

质量标注必须与共享约束协同设计。FIRST（事件响应与安全团队论坛）维护的 TLP（Traffic Light Protocol，交通灯协议）是当前最广泛采用的情报共享分级框架，其 2.0 版本于 2022 年 8 月发布：

再次强调（呼应第2页）：TLP 与置信度正交——TLP 管"能传给谁"，置信度管"有多可信"。情报外发的机器校验规则应强制同时携带两个字段；对外共享协议中还应约定回传义务（第3页）、争议处理与退出机制。

05 · 平台工程落地：参考架构

5.1 可复用开源组件（真实项目，仅供选型参考）

• MISP：开源威胁情报平台，事件/属性/对象模型成熟，原生支持 sightings 与社区共享；
• OpenCTI：开源威胁情报知识图谱平台，基于 STIX 2.1，擅长关联分析与可视化；
• OpenTAXII：开源 TAXII 服务端实现，用于搭建标准化共享通道；
• stix2-validator：OASIS CTI 官方 STIX 格式校验器，可作质量闸门组件；
• STIX-Shifter：将 STIX 模式翻译为各主流安全厂商查询语法，降低 SIEM/EDR 接入成本。

注：以上为真实存在的开源项目列举，不构成对任何产品或厂商的推荐；实际选型需结合组织规模、合规要求与自评测试确定。

5.2 分阶段落地路线

• 试点期（1 个季度量级）：内部打通采集→归一化→置信度标注→SOC 消费→命中回传的最小闭环，手工与自动规则并行；
• 扩展期：接入多源与伙伴共享，上线源信誉评分与自动校准规则，质量闸门自动化；
• 运营期：KPI 看板常态化、季度规范评审、分析师校准训练制度化。

06 · 质量度量与运营 KPI

运营节奏建议：周维度看告警质量与误报处置；月维度复审源信誉评分与分级分布；季度维度评审分级规范、阈值参数与规则库变更。所有 KPI 的口径定义应写入规范文档并保持版本化，避免"同名不同义"。

07 · 治理与组织职责

变更管理：阈值、规则与评分模型的变更须经评审并灰度生效；事故复盘：误封合法业务、情报泄露、投毒命中等事件应触发复盘并反哺规则库。治理的本质，是让质量运营不因人员更替而退化。

08 · 全文总结与预期成果

本子课题四页形成完整逻辑链：第1页界定问题与目标；第2页建立置信度评估的方法论（Admiralty Code 双维度框架 + Kent 概率语言 + STIX 2.1 机器标尺 + 偏差控制）；第3页建立证据与校准机制（证据链、Sighting 回传、交叉验证、误报度量、源信誉评分）；第4页落成规范与系统（分级规范、时效管理、TLP 约束、参考架构、KPI 与治理）。

成果与第1页交付物对应：《威胁情报质量评估与置信度模型》研究报告（覆盖第2–4页全部内容）、情报源信誉评分指标体系、证据链规范与交叉验证引擎原型、情报分级规范与置信度标注指南。结合迪妙的反钓鱼业务，钓鱼 URL/仿冒域名的短时效分级、命中回传与误报校准，可直接反哺演练沙盘的数据水位与课程案例库建设。

09 · 质量门禁（Quality Gate）发布检查清单

入库 / 分发前由质量闸门执行"自动检查 + 人工抽查"，任何一项不通过即拦截或强制降级。该清单是第4页"规则必须可配置、可审计"的操作化：

10 · 平台韧性、备份与审计要求

• 链路可用性：采集与分发链路具备故障转移；Sighting 回传接口采用重试 + 幂等设计，避免回传丢失造成统计偏差——回传缺口会直接污染第3页全部质量度量；
• 数据备份：情报库、评级历史与审计日志定期备份并演练恢复；过期情报存档区独立备份，满足溯源复盘与合规检查要求；
• 审计日志：评级变更、规则变更、闸门决策、人工放行全部留痕，保存期限与单位审计政策一致；并可对照《网络数据安全管理条例》（2024年公布，自 2025 年 1 月 1 日施行）关于数据处理活动记录与安全审计的要求执行；
• 权限最小化与职责分离：评级、放行、规则变更权限按角色分离，高危操作双人复核（与第7页治理职责衔接）；
• 时钟同步：全平台统一授时（NTP），保证 first_seen / valid_until 等时间字段跨系统可比——时间线分析（第3页对抗校验）依赖可信时基。

本节参考来源（第4页）

以下均为真实、公开可查的权威来源与开源项目；本页不含任何虚构数据。

11 · 常见落地失败模式与缓解措施

结合公开实践与本课题框架，落地阶段最高频的失败模式及对应缓解如下（与第8页误区清单互为印证）：