分析威脅情資摘要
適用時機
請在以下情況使用此技能：
- 攝入新的商業或開源威脅情資摘要，並評估其訊噪比
- 將異質的 IOC 格式（STIX 2.1、OpenIOC、YARA、Sigma）標準化為統一綱要（schema）
- 評估摘要的新鮮度（freshness）、保真度（fidelity）以及與組織威脅概況的關聯性
- 建立自動化的富化管道，將 IOC 與 SIEM 事件進行關聯
請勿 在未建立 CTI 基準之前，將此技能直接用於原始封包擷取分析或即時事件處理。
先決條件
- 可存取威脅情資平台（TIP），例如 ThreatConnect、MISP 或 OpenCTI
- 至少一個商業摘要（Recorded Future、Mandiant Advantage 或 VirusTotal Enterprise）的 API 金鑰
- TAXII 2.1 客戶端函式庫（taxii2-client Python 套件或同等軟體）
- 對 TIP 的指標資料庫擁有讀取/寫入權限的角色
工作流程
步驟 1：列舉與優先排序摘要來源
按照類型（商業、政府、ISAC、OSINT）列出所有可用的摘要：
- 商業：Recorded Future、Mandiant Advantage、CrowdStrike Falcon Intelligence
- 政府：CISA AIS（自動化指標共享）、FBI InfraGard、MS-ISAC
- OSINT：AlienVault OTX、Abuse.ch、PhishTank、Emerging Threats
根據更新頻率、歷史準確率、對所屬產業的覆蓋率以及歸因深度，為每個摘要評分。使用來自 NIST SP 800-150（網路威脅資訊共享指南）的加權評分矩陣。
步驟 2：透過 TAXII 2.1 或 API 攝入
針對支援 TAXII 的摘要：
taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01
針對 REST API 摘要（例如 Recorded Future）：
- 查詢
/v2/indicator/search，並以risk_score_min=65過濾低信心的 IOC - 套用速率限制與指數退避（exponential backoff）以確保 API 穩定性
步驟 3：標準化為 STIX 2.1
使用 OASIS 標準綱要將每個 IOC 轉換為 STIX 2.1 物件：
- IP 位址 →
indicator物件，包含pattern: "[ipv4-addr:value = '...']" - 域名 →
indicator物件，包含pattern: "[domain-name:value = '...']" - 檔案雜湊 →
indicator物件，包含pattern: "[file:hashes.SHA-256 = '...']"
附加 relationship 物件，將指標連結至 threat-actor 或 malware 物件。根據來源保真度評分，使用 confidence 欄位（0–100）。
步驟 4：去重與富化
根據標準化數值 + 類型作為複合鍵，對現有 TIP 資料庫執行去重。對通過去重的 IOC 進行富化：
- VirusTotal：偵測比例、沙箱行為報告
- PassiveTotal (RiskIQ)：WHOIS 歷史、被動 DNS、SSL 憑證鏈
- Shodan：標頭資料、開放埠、地理位置
步驟 5：分發至消費系統
透過 TAXII 2.1 推送將富化後的指標匯出至 SIEM（Splunk、Microsoft Sentinel）、防火牆（Palo Alto XSOAR 劇本）及 EDR 平台。根據指標類型設定 TTL（存活時間）：IP 位址 30 天、域名 90 天、檔案雜湊 1 年。
關鍵概念
| 術語 | 定義 |
|---|---|
| STIX 2.1 | 結構化威脅資訊表達式（Structured Threat Information Expression）— OASIS 標準 JSON 綱要，用於 CTI 物件，包括指標、威脅行為者、戰役與關聯 |
| TAXII 2.1 | 可信威脅資訊自動化交換（Trusted Automated eXchange of Intelligence Information）— 基於 HTTPS 的通訊協定，用於伺服器與客戶端之間共享 STIX 內容 |
| IOC | 入侵指標（Indicator of Compromise）— 可觀察到的痕跡（IP、域名、雜湊、URL），表示系統可能已被入侵 |
| TLP | 交通號誌協定（Traffic Light Protocol）— 色彩編碼分類（RED/AMBER/GREEN/WHITE），定義 CTI 的共享限制 |
| 信心分數 | 數值（STIX 中為 0–100），反映製作者對指標惡意歸因的確定程度 |
| 摘要保真度 | 摘要的歷史準確率，以實際生產環境偵測中的真陽性率衡量 |
工具與系統
- ThreatConnect TC Exchange：彙集超過 100 個商業與 OSINT 摘要；提供自動化劇本進行 IOC 富化
- MISP（惡意軟體資訊共享平台）：開源 TIP，支援 STIX/TAXII；廣泛用於 ISAC 和政府 CERT
- OpenCTI：開源平台，原生整合 MITRE ATT&CK 並提供基於圖形的關聯視覺化
- Recorded Future：商業摘要，具備 AI 驅動的風險評分與即時暗網監控
- taxii2-client：用於 TAXII 2.0/2.1 客戶端操作的 Python 函式庫（pip install taxii2-client）
- PyMISP：用於 MISP 摘要管理與 IOC 提交的 Python API
常見陷阱
- IOC 時間滯後：IP 位址和域名經常變化；套用一年前的 IOC 會導致誤報。請強制執行 TTL 政策。
- 缺乏背景脈絡：在不了解相關戰役或敵對行為者的情況下封鎖 IOC，可能會中斷合法的商業流量（例如與惡意行為者共享的 CDN IP）。
- 摘要重疊卻未去重：從五個摘要攝入相同的 IOC 卻未進行去重，會誇大指標數量並增加 SIEM 規則的複雜度。
- TLP 違規：在授權範圍外重新分發 RED 級別的威脅情資，會違反共享協議與信任關係。
- 對低信心指標過度封鎖：信心低於 50 的指標應觸發僅偵測規則，而非封鎖規則，以避免營運中斷。