01 · 为什么需要案例
第2页给了评级表，第3页给了证据链与回传机制，第4页给了分级与时效，第5页给了自动化公式——但它们是"规则"，不是"操作"。案例的价值在于把规则串成一条可复现的动作链，暴露规则之间的衔接缝隙（例如：证据够了但时效不够怎么办？置信度高但来源单一能否自动阻断？）。
本页约定：以下三个示例均为教学构造，数据（URL、时间、分值）为演示而设，不对应任何真实安全事件或真实主体；其作用是训练"按框架思考"的肌肉记忆，而非提供统计结论。
02 · 案例一：钓鱼 URL 质量评估全流程（示例）
场景：社区渠道提交一条"仿冒某电商平台"的钓鱼 URL。分析师依框架逐步处理：
2.1 评分卡快照（示例）
| 字段 | 示例取值 | 依据 |
|---|---|---|
| 源可靠性 | B（通常可靠） | 提交方为长期运营、机制透明的开源项目（第2页 A–F） |
| 信息可信度 | 2（很可能真实） | 逻辑自洽、与已知活动模式吻合，但缺独立印证 |
| 独立佐证 | 2 个真正独立来源 | 内部沙箱复现 + 另一社区源（已做同源排查，第3页） |
| STIX confidence | 72 / 100 | 由贝叶斯融合得到（第5页） |
| 分级 | 高（但仅"告警级"） | 双高+佐证，但未满足"自动阻断"门槛（第4页） |
| TLP | AMBER | 可在组织内按需共享（第4页 TLP 2.0） |
| valid_until | 受理后 48 小时 | 钓鱼 URL 时效量级：小时—天级（第4页） |
2.2 决策与消费
- 消费动作：进入 SOC 实时告警 + 威胁狩猎线索；不进入自动阻断——因仅单一高可靠来源 + 2 佐证，未达"双高来源 + 多独立佐证 + 回传就绪 + 可回滚"（第2、4页保守矩阵）。
- 证据链留存：附截图、重定向链、证书透明度日志、被动 DNS、沙箱行为报告索引，支持第三方复核（第3页）。
- 后续校准：48 小时内若有消费端命中回传（Sighting），置信度上调并可考虑升级阻断策略；若无命中且临近到期，则自动降级归档（第5页衰减）。
衔接点：本例把第2页（双维度+贝叶斯）、第3页（证据链+交叉验证+Sighting）、第4页（分级+TLP+时效）、第5页（自动化评分+衰减）一次性串了起来——这正是"框架落地"的含义。
03 · 案例二：误报闭环的自动修正（示例）
场景：某商业源的一条 C2 IP 指标被标为"高"置信并进入告警。运行一周后，消费端通过 MISP 回传了多条 false positive 记录（该 IP 实为某 CDN 出口）。
| 闭环环节 | 示例动作 |
|---|---|
| 证据回传 | 消费方回传 5 条误报（false positive sighting），远低于该源历史精确率 |
| 触发规则 | 累计误报数 ≥ 阈值（可配置）→ 置信度自动降一档（第3页 6.1） |
| 源信誉 | 该商业源信誉评分被 EWMA 下调，未来同类指标先验降低（第3、5页） |
| 通知与复核 | 自动通知发布方复核；分析师确认后正式降级并留痕（第4页 治理） |
| 结果 | 该指标退出自动告警、转为狩猎线索；避免持续误报淹没 SOC（第1页 告警疲劳） |
这个闭环正是第1页"误报可闭环"目标与第3页"反馈校准"的工程兑现：没有回传，误报永远发现不了；有了回传，质量会随消费自我修正。
04 · 案例三：投毒情报的检测与处置（示例）
场景：内部部署的蜜标 IOC（Canary IOC，绝无真实威胁意义）意外出现在某外部共享源的情报包中。
- 检测：蜜标命中检测（第3、5页）在规模化比对中报警——内部诱饵指标不应出现在外部共享里；
- 判定：基本可断定内部情报已泄露，或对方在针对性反侦察；
- 处置：该来源全部情报进入隔离待审，源信誉置零，并启动安全调查（第3页 4.4、第5页 6）；
- 纠偏：在投毒被确认前，凡是引用该来源的指标一律下调先验、标记为"待独立印证"，防止误封合法基础设施（第2页 矩阵）。
安全含义：投毒情报的危害不是"错报一条"，而是"污染你信任的来源体系"。因此对投毒的响应必须上升到来源级隔离，而非单条指标删除。
05 · 置信度评分卡模板（可直接复用）
下列字段可作为每条情报的"质量护照"，与 STIX 2.1 字段一一对应，便于机器交换与人工复核：
| 字段 | 取值/类型 | 说明 |
|---|---|---|
| 情报ID | 字符串 | 全局唯一，建议沿用 STIX object id 规则 |
| 类型 | IOC / TTP / 漏洞 / 报告 | 决定时效与评估方法（第4页 双轴分级） |
| 源可靠性 | A–F | 对应 STIX / 自定义 source 评级（第2页） |
| 信息可信度 | 1–6 | 证据强度评级（第2页） |
| 独立佐证数 | 整数 | 已剔除同源转载后的真正独立来源数（第3页） |
| confidence | 0–100 | 机器可读置信度（STIX 2.1） |
| 分级 | 高 / 中 / 低 | 与 confidence 映射（第4页） |
| TLP | RED/AMBER+STRICT/AMBER/GREEN/CLEAR | 共享约束，与置信度正交（第4页） |
| valid_from / valid_until | ISO 8601 | 时效窗口（第4页） |
| 证据链索引 | 链接/引用 | 指向原始材料与留存位置（第3页） |
| 评定人 / 时间 | 标识 / 时间戳 | 责任与复评基线（第2、4页） |
06 · 实施前后对比（机制层面）
下表为机制/痛点层面的定性对比，用于说明框架带来的结构性改变；不给出任何伪造的量化指标，实际改善需用第4页 KPI 在自身环境度量。
| 维度 | 实施前（典型痛点） | 实施后（本框架机制） |
|---|---|---|
| 评级 | 无评级或"凭感觉"，无法比较 | 双维度 + STIX confidence，跨团队语义一致（第2页） |
| 证据 | 结论缺依据，难以复核 | 强制证据链 + 可复核三问（第3页） |
| 时效 | 过期情报持续误报 | valid_until + 衰减 + 自动过期归档（第4、5页） |
| 误报 | 发现晚、靠人工投诉 | Sighting 回传触发自动降级（第3、6页案例二） |
| 共享 | TLP 与置信度混用 | 两字段正交、外发强制双标注（第4页） |
| 投毒 | 难以察觉 | 蜜标 + 分布监控 + 来源级隔离（第3、5、6页案例三） |
| 规模 | 人工瓶颈 | 自动化评分引擎 + 人工兜底（第5页） |
07 · 落地复盘要点
- 顺序铁律：先建反馈闭环（回传）与证据链，再上自动化评分（第5页）——没有真相来源，ML 只会放大偏差。
- 小步试点：参考第4页分阶段路线，先在内部 TIP↔SOC 打通 MVP 闭环，再扩展到伙伴共享。
- 度量驱动：用第4页 KPI（去重率、过期处理率、命中率、精确率/误报率、校准偏差、回传率）做月度评审，避免"有评分无校准"。
- 人永远是闭环的一环：自动化负责规模与一致性，人负责高影响决策与异常复核（呼应第5、8页）。
08 · 案例四：小样本统计陷阱与区间估计（示例）
场景：一条新发布钓鱼 URL 在 48 小时内收到 5 次消费回传，全部命中（表面精确率 100%）。
- 错误做法：宣布"该情报精确率 100%，升为高置信并进入自动阻断"；
- 正确做法：计算 Wilson 95% 置信区间——n=5、x=5 时区间下限约为 0.57（标准统计方法的可复现计算结果），即"真实精确率以 95% 的置信水平不低于约 57%"，统计上不足以支撑自动处置；
- 处置：维持"告警级"消费，继续积累回传样本，待区间下限越过本单位阈值后再评估升级；
- 启示：评分引擎消费的是区间而非点值（第5页），这条规则在本案例层面得到兑现；同时回传率本身也要进入分母——5 次回传占实际消费量的比例若很低，样本还存在选择偏差。
数值说明：Wilson 区间为标准教科书方法，0.57 为 z=1.96、n=5、x=5 下的公式计算结果，属可复现的数学事实，非虚构实验数据；演示重点在方法论而非该具体数值。
09 · 落地常见问题（FAQ）
- 没有历史回传数据，源信誉从哪来？冷启动期以中性偏低先验起步（第3页），用公开源的透明度、机制口碑做定性初评；积累足量 sightings 后再切换 EWMA / ML 定量评分，两套并存期以保守者为准；
- 商业源不接受误报回传怎么办？把回传义务写入采购合同与服务级别条款；无回传通道的源，其评级上限人为设限并缩短复评周期——"无法校准的源"本身就是质量风险；
- 分析师抵触"被流程管"怎么办？检查单只拦截"缺证据 / 缺字段"的硬伤，不评判分析结论本身；同时把检查单通过情况纳入质量正向激励（如评级一致性奖励）而非惩罚，避免形式化应付；
- 自动化评分与人工评级冲突听谁的？低影响场景以引擎为准并留痕观察；高影响动作以人工复核为准；冲突本身应作为特征与规则改进的信号回流，而不是"二选一"的立场之争；
- 多久能看到误报率下降？闭环见效速度取决于回传率与样本积累速度（第4页 MVP 先行）；通常先看到"误报可度量"，再看到"误报可下降"，切忌在回传率不足时下结论。
本节参考来源（第6页）
本页案例为教学构造，不构成真实事件或统计结果；所演示的机制（评分卡字段、Sighting 回传、TLP、valid_until、蜜标检测）均有第2–5页引用的真实规范支撑。
OASIS《STIX Version 2.1》（Indicator / Sighting / confidence / valid_until 字段）：docs.oasis-open.org/cti/stix/v2.1/os/stix-v2.1-os.html
MISP sightings / false-positive 回传机制：misp-project.org
FIRST《Traffic Light Protocol (TLP) v2.0》：first.org/tlp
Canarytokens 蜜标工具（诱饵 IOC 思想）：canarytokens.org
10 · 案例五：多源冲突下的 D-S 融合（示例）
与案例一/四相同，本例为演示计算逻辑的构造示例；信念质量取值为教学设定，非实测数据。
场景：两个独立来源对同一条 TTP 归因情报给出倾向不同、强度不同的评价——来源①（较强支持）：真 0.6 / 假 0.1 / 未知 0.3；来源②（中等支持）：真 0.5 / 假 0.2 / 未知 0.3。二者存在部分冲突（①给"假"0.1 与②给"真"0.5），直接用点估计加权会掩盖冲突。按 D-S 组合规则计算：
冲突质量 K = 0.6×0.2 + 0.1×0.5 = 0.17（归一化因子 1−K = 0.83） 联合"真" = (0.6×0.5 + 0.6×0.3 + 0.3×0.5) / 0.83 = 0.63/0.83 ≈ 0.759 联合"假" = (0.1×0.2 + 0.1×0.3 + 0.2×0.3) / 0.83 = 0.11/0.83 ≈ 0.133 联合"未知" = (0.3×0.3) / 0.83 ≈ 0.108（合计 1.000） 置信区间：Bel(真)=0.759，Pl(真)=Bel(真)+未知=0.867 → "真"的可信区间 [0.76, 0.87] 映射示例：区间中值约 0.81 → STIX confidence 取保守值 80（区间表达为 76–87）
- 冲突的显式表达：K=0.17 说明两源存在不可忽略的分歧；按第3节建议，K 超过本单位阈值时应触发人工复核而非自动采信；
- 未知的保留：融合后仍有约 11% 质量留在"未知"，诚实反映了证据不足——这正是 D-S 相对朴素点估计加权的核心价值（第5页第3节）；
- 与贝叶斯的衔接：若两源可靠性可量化且无实质冲突，贝叶斯（案例外的第5页示例）给出可解释的点估计；证据稀疏、冲突明显时退回 D-S 区间表达——方法选择以"冲突程度"为切换信号。