01 · 研究背景与意义
情报消费方最关心的问题永远是"这条情报有多可靠"。然而开源情报噪音大、商业情报口径不一、社区情报证据不完整，缺乏统一的评估框架，情报就无法进入高风险决策链路。
GB/T 36643-2018 在威胁信息模型中明确要求标注"可信度"字段；FIRST CVSS 的漏洞评级实践也证明，标准化的分级体系是情报规模化消费的前提。低质量情报不仅浪费分析师时间，更会在自动处置场景下造成误封合法业务、放过真实威胁的双重损失——因此"质量"不是附加项，而是威胁情报能否被信任消费的先决条件。
核心命题：高质量的威胁情报不是"数据更多"，而是"可被验证、可被比较、可被机读、可被校准"。本课题把这一命题拆解为评估模型（第2页）、证据与闭环（第3页）、规范与系统（第4页）、自动化方法（第5页）、实践案例（第6页）、标准合规（第7页）与风险展望（第8页）八个相互衔接的研究层次。
02 · 研究目标
- 源头可评价：建立情报源多维信誉评分模型，让"谁在说话"决定"听多少分"。
- 证据可复核：要求每条情报附带完整证据链，支持第三方验证。
- 多源可交叉：自动化交叉验证引擎比对独立来源，提升综合置信度。
- 误报可闭环：用消费端的真实命中数据持续校准情报质量。
- 分级可落地：形成与消费场景、时效、共享约束绑定的分级规范与标注指南。
- 评价可自动化：在人工框架之上，探索置信度的可计算、可融合、可衰减的自动化方法（第5页）。
2.1 研究问题（RQ）界定
为使研究可检验、可验收，将总目标拆解为四个递进的研究问题：
- RQ1（评价）：如何用统一、可机读的维度（源可靠性 × 信息可信度 × 数值置信度）表达"这条情报有多可信"，并保证跨团队语义一致？
- RQ2（验证）：如何以证据链与多源交叉验证支撑评级，并用对抗性校验（投毒、假旗、蜜标）防范系统性操纵？
- RQ3（闭环）：如何把消费端的命中与误报转化为结构化回传，驱动置信度与源信誉的持续校准，而非一次性打分？
- RQ4（落地）：如何将模型、机制与规范工程化为可审计的平台能力（分级路由、时效衰减、质量门禁、KPI 治理），并与国际标准、国内法规对齐？
第2页回答 RQ1，第3页回答 RQ2 与 RQ3 的机制面，第4–5页回答 RQ4，第6–8页以案例、合规与复盘完成验证与收敛。
03 · 核心研究内容
- 情报源信誉体系：建立情报源（开源、商业、政府、社区）的多维信誉评分模型，涵盖历史准确率、更新频率、覆盖领域、透明度等指标。
- 证据链完整性：要求每条情报附带完整的证据链（原始样本、网络流量、分析日志、归因依据），支持第三方复核与验证。
- 多源交叉验证：设计自动化交叉验证引擎，对同一 IOC 或 TTP 在多个独立情报源中的出现情况进行比对，提升置信度。
- 误报率监控：建立情报消费后的误报反馈闭环，通过 SIEM/EDR 的实际命中数据持续校准情报质量与置信度。
- 情报分级标准：结合 GB/T 36643-2018 威胁信息模型中"可信度"字段要求，制定情报分级规范，匹配不同消费场景与决策层级。
- 自动化置信度：研究贝叶斯更新、多源概率融合、置信度时间衰减与机器学习辅助评分，将人工框架工程化（第5页）。
04 · 关键技术与方法
- 置信度分级：采用高/中/低三级或百分制评分，与 FIRST CVSS 评分思想对齐，保证跨团队语义一致。
- 双维度评级：沿用北约 Admiralty Code 的"源可靠性 × 信息可信度"双维度框架，容纳现实复杂性。
- 反馈闭环设计：在 TIP 中内置命中/误报回传机制，置信度随消费数据动态调整。
- 对抗性校验：对高置信度情报执行沙箱复现与被动 DNS 复核，防范投毒情报与假旗行动。
- 可计算融合：以贝叶斯方法与证据理论实现多源置信度的可解释融合与不确定性量化（第5页）。
05 · 预期成果与交付物
- 《威胁情报质量评估与置信度模型》研究报告一份（覆盖本课题第1–8页全部内容）
- 情报源信誉评分指标体系
- 证据链规范与交叉验证引擎原型
- 情报分级规范与置信度标注指南
- 自动化置信度计算与误报校准参考实现说明（第5页）
- 标准对齐与合规治理清单（第7页）
06 · 研究边界与合规声明
为保证本课题内容的严谨性与可审计性，特作如下边界声明（第3、6、7页正文已引用本节）：
- 事实与观点分离：所有引用的标准、法规、公开项目均附来源链接、可公开查证；对标准未规定的内容（如先验概率映射、评分权重、时效量级），一律以"示例 / 示意 / 本课题建议"明确标注，不与标准原文混淆。
- 数据合规：本课题不采集、不处理任何真实个人信息与真实攻击数据；第6页全部案例为教学构造；研究过程遵循数据最小化原则。
- 不构成专业建议：本课题为学术性研究框架，具体组织落地时应结合自身业务并征询法务与合规意见；不构成法律意见或商业产品推荐。
- 版本时效：所引用标准与法规存在演进可能（TLP 历经 1.0→2.0、数据出境规则历经多轮细化），引用以撰写时点公开文本为准，落地前应核对最新有效版本。
- 与演练业务联动：课题成果将反哺迪妙攻防演练沙盘的情报水位标注与课程案例库，形成"研究—演练—反馈"闭环。
07 · 术语速查表
| 术语 | 全称 / 说明 |
|---|---|
| CTI | Cyber Threat Intelligence，网络威胁情报：关于威胁行为体、TTP 与 IOC 等知识的结构化产物 |
| IOC | Indicator of Compromise，失陷指标：文件哈希、域名、IP、URL 等可机读观测值 |
| TTP | Tactics, Techniques & Procedures：战术、技术与过程，MITRE ATT&CK 提供统一枚举（T 编号） |
| TIP | Threat Intelligence Platform，威胁情报平台：情报采集、归一化、分发与反馈的技术载体 |
| Sighting | 目击 / 命中回传：消费端对某指标的观测记录（STIX 2.1 Sighting 对象 / MISP sightings） |
| STIX / TAXII | OASIS 结构化威胁信息表达 / 交换标准：STIX 定义对象模型（JSON），TAXII 定义传输协议与通道（API） |
| TLP | Traffic Light Protocol，FIRST 维护的共享分级协议（2.0 版，2022 年 8 月发布） |
| CVSS | Common Vulnerability Scoring System，FIRST 维护的漏洞严重度评分体系（v3.1 发布于 2019 年 6 月） |
| 精确率 / 误报率 | Precision = TP/(TP+FP)；FPR = FP/(FP+TN)：情报准确度与业务干扰的度量（第3页混淆矩阵） |
| EWMA | Exponentially Weighted Moving Average：指数加权滑动平均，用于源信誉聚合（第3、5页） |
| Wilson 区间 | 小样本比例估计的置信区间方法，避免点估计误导决策（第3、6页） |
| 蜜标 / Canary IOC | 精心构造、无真实威胁意义的诱饵指标，用于检测情报泄露与投毒（第3、5、6页） |
08 · 与其他子课题的衔接
- 与"情报生命周期管理"（子课题08）：本课题的质量评估机制嵌入其处理 / 分析 / 反馈环节，生命周期各环节的产出物均须携带质量标注，二者构成"流程 × 质量"的乘积关系。
- 与"行业情报共享生态"（子课题10）：共享生态解决"谁来共享、经何通道"，本课题解决"共享什么质量、按什么约束共享"；TLP 与置信度双标注是两个子课题的交接面。
- 与反钓鱼主线业务的联动：钓鱼 URL / 仿冒域名是短时效情报的典型场景，其分级、回传与校准结果可直接生成演练评分与教学案例（第6、8页）。
09 · 参考来源
以下均为真实、公开可查的权威来源；本页事实性表述均可溯源至这些文献，未引用任何虚构资料。
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》（2018-10-10发布，2019-05-01实施）：openstd.samr.gov.cn/bzgk/gb/
FIRST 通用漏洞评分系统（CVSS）：first.org/cvss
PhishTank 社区验证机制：phishtank.org
OASIS STIX 2.1（置信度字段定义）：docs.oasis-open.org/cti/stix/v2.1/
ISO/IEC 27001:2022 附录 A 控制项 A.5.7 "Threat intelligence"（威胁情报）：iso.org/standard/27001
10 · 研究计划与里程碑
本课题按"框架—机制—规范—自动化—验证—合规—复盘"八个层次推进，各页成果对应如下里程碑节点；节点产出物均进入学院课题研究档案，并接受季度评审：
- 进度度量：以各页交付物完成度与评审意见闭环率度量，而非以页面数量度量；
- 依赖关系：第5页自动化评分依赖第3页回传闭环先行（顺序铁律，见第6页复盘）；
- 变更控制：里程碑内容调整须经课题评审并更新版本记录（见第8页版本与维护计划）。