分析威胁情报源 是做什么的？
何时使用
在以下情况下使用此技能：
- 接收新的商业或开源威胁情报源，并评估其信噪比
- 将异构 IOC 格式（STIX 2.1、OpenIOC、YARA、Sigma）归一化为统一架构
- 评估情报源的新鲜度、准确性和与组织威胁态势的相关性
- 构建自动化的富化管道，将 IOC 与 SIEM 事件关联
不要将此技能用于原始数据包捕获分析或未经建立CTI基线的实时事件响应。
前提条件
- 访问威胁情报平台 (TIP)，如 ThreatConnect、MISP 或 OpenCTI
- 至少一个商业情报源的 API 密钥（如 Recorded Future、Mandiant Advantage 或 VirusTotal Enterprise）
- TAXII 2.1 客户端库（taxii2-client Python 包或其等效库）
- 对 TIP 的指标数据库具有读写权限的角色
工作流
步骤 1：枚举并排定情报源优先级
按类别列出所有可用情报源（商业、政府、ISAC、OSINT）：
- 商业：Recorded Future、Mandiant Advantage、CrowdStrike Falcon Intelligence
- 政府：CISA AIS（自动指标共享）、FBI InfraGard、MS-ISAC
- OSINT：AlienVault OTX、Abuse.ch、PhishTank、Emerging Threats
根据以下标准对每个情报源打分：更新频率、历史准确性、对所在行业的覆盖度、以及归因深度。使用基于 NIST SP 800-150（网络威胁信息共享指南）标准的加权评分矩阵。
步骤 2：通过 TAXII 2.1 或 API 摄取
对于支持 TAXII 的情报源：
taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01
对于 REST API 源（如 Recorded Future）：
- 查询
/v2/indicator/search并设置risk_score_min=65以过滤低置信度 IOC - 应用速率限制和指数退避策略以确保 API 韧性
步骤 3：归一化为 STIX 2.1
使用 OASIS 标准架构将每个 IOC 转换为 STIX 2.1 对象：
- IP 地址 →
indicator对象，使用pattern: "[ipv4-addr:value = '...']" - 域名 →
indicator对象，使用pattern: "[domain-name:value = '...']" - 文件哈希 →
indicator对象，使用pattern: "[file:hashes.SHA-256 = '...']"
附加 relationship 对象，将指标链接到 threat-actor（威胁行为体） 或 malware（恶意软件） 对象。根据源准确度评级填写 confidence（置信度）字段（0–100）。
步骤 4：去重与富化
使用归一化后的值+类型作为复合键，对现有 TIP 数据库进行去重处理。对存活的 IOC 进行富化：
- VirusTotal：检测率、沙箱行为报告
- PassiveTotal (RiskIQ)：WHOIS 历史、被动 DNS、SSL 证书链
- Shodan：横幅数据、开放端口、地理位置
步骤 5：分发至消费系统
通过 TAXII 2.1 推送将富化后的指标导出至 SIEM（Splunk、Microsoft Sentinel）、防火墙（Palo Alto XSOAR playbooks）以及 EDR 平台。根据指标类型设置 TTL：IP 地址 30 天、域名 90 天、文件哈希 1 年。
关键概念
| 术语 | 定义 |
|---|---|
| STIX 2.1 | 结构化威胁信息表达 — OASIS 标准 JSON 架构，用于 CTI 对象，包括指标、威胁行为体、攻击活动和关系 |
| TAXII 2.1 | 可信自动化威胁情报信息交换 — 基于 HTTPS 的协议，用于在服务器和客户端之间共享 STIX 内容 |
| IOC | 危害指标 — 可观察到的工件（IP、域名、哈希、URL），表明系统可能已被入侵 |
| TLP | 交通灯协议 — 颜色编码分类（红/琥珀/绿/白），定义 CTI 的共享限制 |
| 置信度分数 | 数值（STIX 中为 0–100），反映情报源对某个指标恶意归因的确定性 |
| 情报源准确度 | 情报源的历史准确率，通过生产环境检测中的真阳性率衡量 |
工具与系统
- ThreatConnect TC Exchange：聚合 100+ 商业和 OSINT 情报源；提供用于 IOC 富化的自动化剧本
- MISP（恶意软件信息共享平台）：支持 STIX/TAXII 的开源 TIP；被 ISAC 和政府 CERT 广泛使用
- OpenCTI：原生集成 MITRE ATT&CK 和基于图的关系可视化的开源平台
- Recorded Future：具有 AI 驱动风险评分和实时暗网监控的商业情报源
- taxii2-client：用于 TAXII 2.0/2.1 客户端操作的 Python 库（pip install taxii2-client）
- PyMISP：用于 MISP 情报源管理和 IOC 提交的 Python API
常见陷阱
- IOC 过时：IP 地址和域名频繁轮换；应用一年前的 IOC 会产生误报。强制执行 TTL 策略。
- 缺乏上下文：在不了解相关攻击活动或对手的情况下阻断 IOC，可能会干扰合法业务流量（例如与恶意行为者共享的 CDN IP）。
- 未去重的情报源重叠：从五个源摄取同一个 IOC 而不去重，会放大指标数量并增加 SIEM 规则复杂性。
- 违反 TLP：在授权边界之外分发 RED 分类情报会违反共享协议和信任关系。
- 基于低置信度指标过度阻断：置信度低于 50 的指标应触发仅检测规则，而非阻断，以避免运营中断。