📚 课程目录第2章威胁情报基础与分类

2. 威胁情报基础与分类

威胁情报不是“把网上看到的恶意IP抄进防火墙”，而是围绕对手、能力、意图与基础设施，经过采集、加工、分析、分发和反馈形成的一条可消费链路。SOC 要把它自动化联动起来，第一步必须分清情报的层级、形态、交换标准和可信度，否则很容易把低置信度的 IOC 直接推入阻断策略，造成误封或漏防。

一、按决策层级划分：战略、运营、战术情报

威胁情报按服务对象和时效粒度，通常分为三层。理解这三层的差别，是决定“谁消费、怎么用、多久失效”的前提。

战略情报（Strategic）：面向管理层与安全决策者，回答“谁在威胁我们、为什么、整体风险趋势如何”。内容多为攻击者画像、行业针对性、地缘与动机分析，时效以月/季度计，通常不直接产生检测规则，而是影响预算、架构与优先级。
运营情报（Operational）：面向 SOC 负责人、威胁狩猎与应急团队，回答“对手正在用什么战役、什么基础设施、下一步可能打哪里”。它关注具体攻击活动（campaign）、攻击者使用的工具组合与基础设施簇，时效以天/周计，可指导狩猎假设与排查方向。
战术情报（Tactical）：面向检测工程与一线分析，回答“用什么具体特征能发现这次攻击”。包括 IOC、TTP、检测规则、YARA/Sigma 等，时效以小时/天计，是自动化联动中最常被机器直接消费的一层。

三者的关系可以概括为：战略定方向，运营定目标，战术定规则。自动化联动主要发生在战术层，但规则的价值判断必须回到运营与战略语境，否则会出现“技术正确、业务错误”的阻断。

二、IOC 与 TTP：从“点”到“行为链”

IOC（Indicators of Compromise，妥协指标）是可观测的、与已知恶意活动相关的原子或近似原子特征，例如恶意 IP、域名、URL、文件哈希（MD5/SHA1/SHA256）、邮件发件地址、注册表键、互斥体名等。IOC 的优点是易匹配、易自动化，缺点是生命周期短——攻击者更换域名或重编译样本后，旧 IOC 迅速失效。

TTP（Tactics, Techniques and Procedures，战术、技术与过程）描述攻击者“怎么做”，对应 MITRE ATT&CK 中的战术与技术，例如“利用计划任务实现持久化（T1053）”“通过 PowerShell 下载执行（T1059.001）”。TTP 比 IOC 更稳定，因为攻击者改变工具容易，改变行为模式较难。检测工程中，IOC 用于快速封堵已知威胁，TTP 用于构建更耐久的检测逻辑与狩猎假设。

实践原则：IOC 用于“止血”，TTP 用于“免疫”。自动化联动中，IOC 可触发即时阻断，TTP 更适合生成检测规则、狩猎查询与告警富化逻辑。

三、STIX 与 TAXII：让情报可交换、可机读

要让不同厂商、不同平台的情报能够自动流转，需要统一的数据模型与传输协议。STIX（Structured Threat Information Expression）是结构化威胁信息的表达标准，用对象（SDO/SCO/SRO）描述威胁要素及其关系，例如 Indicator、Malware、Attack Pattern、Threat Actor、Relationship 等。TAXII（Trusted Automated Exchange of Intelligence Information）则是传输层协议，定义如何通过 HTTPS 以 Collection/Channel 的方式发布与订阅 STIX 内容。

简单说：STIX 管“情报长什么样”，TAXII 管“情报怎么送”。SOC 平台通过 TAXII Client 从情报源拉取 STIX Bundle，解析出 Indicator 对象及其 pattern（如 [ipv4-addr:value = '203.0.113.45']），再映射为本地检测或阻断条目。理解这一层，才能排查“情报拉到了但没生效”的问题——常见原因是 pattern 语法不被本地引擎支持，或对象关系未正确解析。

四、情报来源与质量评估

情报来源大致可分为：开源情报（OSINT，如公开报告、社区 IOC 库）、商业情报（付费厂商的订阅源）、政府/行业共享（如 CERT、ISAC）、内部情报（自身 SOC 告警、蜜罐、事件复盘）。不同来源的可信度、覆盖面和时效差异很大，不能一视同仁地自动阻断。

质量评估通常从几个维度展开：来源可信度（该来源历史准确率如何）、置信度（该条情报本身被验证的程度）、时效性（是否仍在活跃期）、可操作性（能否直接映射为本地检测/阻断）、上下文完整度（是否附带攻击活动、家族、TTP 等背景）。在自动化联动中，建议按“来源可信度 × 置信度”设定动作阈值：高可信高置信可直接阻断；中可信先告警或加入观察名单；低可信仅入库富化，不触发阻断。

常见误区：把社区 IOC 库全量自动导入阻断策略。这类 IOC 往往缺少上下文与置信度标注，且包含大量已失效或误报条目，直接阻断可能影响业务。正确做法是先入库、打标签、设 TTL，再按阈值分级处置。

五、面向自动化的最小实践示例

假设从某商业源通过 TAXII 拉取到一条 STIX Indicator，pattern 为 [ipv4-addr:value = '203.0.113.45']，置信度 85，来源可信度“高”，有效期 7 天。自动化联动可这样处理：解析 STIX Bundle → 提取 Indicator 与 pattern → 映射为本地 IOC 对象（类型 ipv4、值 203.0.113.45、置信度 85、TTL 7 天）→ 按阈值判定为“可阻断”→ 推送至防火墙与 EDR 阻断列表，同时写入情报库并记录来源与过期时间。7 天后自动失效，避免长期误封。

{
  "type": "indicator",
  "pattern": "[ipv4-addr:value = '203.0.113.45']",
  "confidence": 85,
  "valid_from": "2025-01-10T00:00:00Z",
  "valid_until": "2025-01-17T00:00:00Z",
  "labels": ["malicious-activity"],
  "source": "commercial-feed-A"
}