4. 威胁情报平台（TIP）选型与部署

威胁情报平台（Threat Intelligence Platform，TIP）是SOC威胁情报自动化联动的中枢。它并不等同于“情报源”，而是承担情报的汇聚、规范化、去重、富化、评分、存储、分发与生命周期管理。选型与部署阶段的核心任务，是让后续的SOAR、SIEM、防火墙、EDR等消费方能够以稳定、可编程、可追溯的方式获取情报。本节围绕主流TIP对比、数据模型、API能力、高可用部署与集成准备五个方面展开。

一、主流TIP对比：先明确评估维度

选型不应只看“支持多少情报源”，而应从数据模型开放度、API成熟度、部署形态、联动能力、成本与运维复杂度五个维度评估。常见主流方案可分为三类：

• MISP：开源、社区活跃，事件（Event）与属性（Attribute）模型灵活，支持STIX 2.x导出、Taxii Server、PyMISP API，适合预算有限、需要深度定制与本地化部署的团队。
• OpenCTI：开源、基于STIX 2.1原生建模，图数据库（Elasticsearch + Neo4j）支撑实体关系分析，GraphQL API与连接器生态强，适合需要知识图谱与复杂关系推理的场景。
• 商业TIP（如ThreatConnect、Anomali、Recorded Future等）：开箱即用的情报源整合、评分模型、报表与合规能力，API稳定，但许可成本高、数据出境与本地化需评估。

选型判断可参考：若团队已有较强开发能力且强调自主可控，优先MISP或OpenCTI；若预算充足、需要快速上线并减少运维投入，可考虑商业TIP。无论选择哪种，必须验证其是否支持STIX/TAXII标准，这是后续自动化联动的通用语言。

二、数据模型：统一语义是联动的前提

不同情报源对同一对象的描述差异很大。TIP的数据模型需要把“IP、域名、URL、文件哈希、邮箱、漏洞、攻击组织、TTP”等抽象为统一实体，并保留关系与置信度。以STIX 2.1为例，核心对象包括Indicator（指标）、Malware（恶意软件）、ThreatActor（威胁行为体）、AttackPattern（攻击模式）、Relationship（关系）等。

实际落地时，建议在TIP中建立如下字段规范：

• Indicator：pattern（如 [ipv4-addr:value = '203.0.113.45']）、pattern_type、valid_from、valid_until、confidence、labels。
• 关系：indicates、uses、targets、attributed-to，用于把指标与组织、恶意软件、攻击模式关联。
• 生命周期：active、expired、revoked，配合valid_until实现自动过期，避免“僵尸情报”持续下发。

数据模型一旦确定，后续所有API、连接器、消费方都围绕它工作。若模型混乱，自动化联动会出现“同一IP在不同系统里含义不同”的问题。

三、API能力：自动化联动的接口契约

TIP的API能力直接决定联动效率。评估时应关注：认证方式（API Key、OAuth2）、查询接口（按指标、按时间、按标签）、写入接口（批量导入、更新、撤销）、订阅接口（TAXII Collection、Webhook、消息队列）以及限流与分页策略。

以MISP为例，常用接口包括：

# 查询最近24小时新增的IP指标
curl -H "Authorization: YOUR_API_KEY" \
  "https://misp.example.com/attributes/restSearch" \
  -d '{"type":"ip-dst","last":"24h","to_ids":true}'

# 通过TAXII 2.1拉取OpenCTI集合
GET /taxii2/root/collections/{id}/objects/
Accept: application/taxii+json;version=2.1

集成准备阶段，应先在TIP中创建专用服务账号，按最小权限分配只读或读写角色，并记录API端点、认证头、限流阈值。建议对每个消费方建立独立的TAXII Collection或标签视图，避免全量情报无差别下发。

四、高可用部署：避免单点，保证情报持续供给

TIP一旦不可用，下游SIEM、SOAR、防火墙的情报更新会中断。高可用部署需从应用层、数据层、接入层三方面设计。以OpenCTI为例，典型高可用拓扑如下：

部署要点：应用节点无状态，可水平扩展；Elasticsearch与Neo4j至少三节点，避免脑裂；RabbitMQ做镜像队列；对象存储用于保存原始情报文件与附件。数据库需配置定期快照与跨节点复制。若使用MISP，则重点保障MySQL/MariaDB主从、Redis缓存与MISP节点间的同步（Feed同步或ZMQ）。

五、集成准备：从“能连”到“可运营”

集成准备不是简单开通API，而是建立一套可运营的接口契约。建议在正式联动前完成以下工作：

• 账号与权限：为SIEM、SOAR、防火墙分别创建独立API账号，只读账号用于查询，读写账号仅授予必要Collection。
• 数据视图：按置信度、标签、有效期建立过滤视图。例如仅下发confidence≥70且valid_until未过期的IP与域名。
• 同步机制：优先使用TAXII 2.1订阅或Webhook推送；若消费方不支持，则采用定时拉取，间隔建议5～15分钟。
• 幂等与去重：消费方按Indicator的STIX ID或“类型+值”做幂等写入，避免重复告警。
• 可观测性：记录每次同步的条数、失败数、延迟，并设置阈值告警。