2. 威胁情报来源与分类
威胁情报融合工程的第一步，不是急着做关联分析，而是把“原料”分清楚。不同来源的情报在获取方式、覆盖范围、时效性、可信度和成本上差异极大，如果混在一起处理，融合结果往往会被低质量数据稀释。本节按五类来源展开：开源情报（OSINT）、商业情报、社区情报、内部遥测、暗网情报，重点说明它们各自“怎么拿、覆盖什么、质量如何、在融合中值多少”。
五类来源的定位与获取方式
开源情报（OSINT）指从公开渠道可合法获取的信息，典型来源包括厂商安全公告、CVE/NVD、MITRE ATT&CK、公开的恶意样本分析报告、安全博客、社交媒体、证书透明度日志（CT Log）、DNS/WHOIS记录、GitHub 泄露仓库等。获取方式以采集器为主：对 RSS/Atom 订阅、公开 API（如 NVD API、CT Log 的 certstream）、网页抓取和文件下载进行定时拉取。OSINT 的优势是免费、覆盖面广、可长期积累；劣势是噪声大、格式不统一、时效参差，且很多内容缺少可验证的上下文。
商业情报来自付费厂商，如商业威胁情报平台、样本沙箱、漏洞库、品牌监测和暗网监测服务。获取方式通常是 API 订阅、STIX/TAXII 推送、厂商门户导出或本地化部署的订阅源。商业情报的价值在于经过人工或半自动研判，带有置信度、关联组织和攻击活动上下文，覆盖 APT 追踪、勒索软件生态、漏洞利用链等。代价是成本高，且不同厂商的评分模型、命名体系不一致，直接混用会出现“同一组织多个名字”的问题。
社区情报由安全研究者、行业联盟、ISAC（信息共享与分析中心）和开源社区贡献，例如 MISP 实例、Twitter/Mastodon 上的 IOC 分享、行业漏洞共享群组、开源 YARA/Sigma 规则仓库。获取方式包括 MISP 同步、邮件列表、Slack/Discord 频道和 Git 仓库订阅。社区情报时效快、贴近实战，但质量波动大，需要验证来源信誉和 IOC 新鲜度。
内部遥测是企业自身环境产生的数据，包括 EDR 进程与命令行日志、防火墙与代理日志、DNS 查询日志、Windows 事件日志、云审计日志、邮件网关记录和蜜罐/蜜标告警。获取方式是通过日志采集管道（如 Sysmon + Winlogbeat/Filebeat、云原生日志导出）汇聚到 SIEM 或数据湖。内部遥测的最大价值是“与自身强相关”：它能确认某个外部 IOC 是否真的在本环境出现过，是融合中判定优先级的关键证据。
暗网情报来自 Tor/I2P 隐藏服务、暗网论坛、勒索软件泄露站点、初始访问代理（IAB）交易帖和地下市场。获取方式包括授权渗透式监测、商业暗网监测服务、蜜罐账号和人工研判。暗网情报能提前暴露数据泄露、凭证售卖和攻击策划，但法律与伦理风险高，且内容真伪混杂，必须经过严格验证。
覆盖范围与质量特征的差异
从覆盖范围看，OSINT 最广，几乎覆盖所有公开披露的漏洞和样本，但对未公开的攻击活动无能为力；商业情报在 APT 和勒索生态上最深，但受厂商覆盖区域和客户群影响；社区情报在特定行业或漏洞上可能比商业情报更快，但缺乏系统性；内部遥测只覆盖自身资产，却是唯一能回答“这个威胁是否真的打到我”的数据；暗网情报覆盖攻击准备阶段，是其他来源难以替代的早期预警。
质量特征可以用五个维度衡量：时效性（从事件发生到情报可用）、准确性（误报率）、可验证性（能否被独立证据支持）、上下文完整度（是否带攻击者、目标、TTP）、合规与成本。举例来说，一条来自社区推文的 IOC 可能时效性极高但准确性未知；一条商业情报报告可能上下文完整但延迟数天；一条内部 EDR 告警准确性高但只反映单点。
融合价值：外部广度 + 内部深度
融合的核心逻辑是：外部情报提供“可能”，内部遥测确认“是否发生”。具体做法是先把五类来源统一成 STIX 2.1 对象（Indicator、Malware、Threat Actor、Observed Data 等），再按 IOC 类型做规范化——域名统一小写并去除末尾点，IP 统一为 CIDR 或单 IP，文件哈希统一为小写 SHA-256。随后用“置信度加权”排序：商业情报和内部遥测权重高，社区情报需信誉分，OSINT 需交叉验证，暗网情报需人工复核。
一个可操作的融合判断规则是：当外部 IOC 在内部遥测中命中（例如某恶意域名出现在 DNS 日志中），该情报优先级立即提升为“已确认”；若仅外部来源出现且无内部命中，则标记为“待观察”，进入狩猎队列而非直接封禁。这样既避免被低质量 IOC 淹没，又能让真正相关的威胁浮出水面。
来源选择与组合策略
不同规模和安全成熟度的团队，来源组合不同。小型团队可优先使用 OSINT + 内部遥测 + 社区 MISP，成本低且能覆盖大部分常见威胁；中大型团队应引入商业情报补充 APT 和勒索上下文，并按行业订阅 ISAC；有合规和品牌保护需求的团队，再考虑暗网监测。关键不是“来源越多越好”，而是让每类来源在融合链路中承担明确角色：OSINT 做广度底座，商业情报做深度研判，社区情报做快速响应，内部遥测做优先级判定，暗网情报做早期预警。
最后需要强调：所有外部情报在进入融合前都应经过“可信度—相关性—可操作性”三问。可信度看来源和证据，相关性看是否匹配自身资产与行业，可操作性看能否转化为检测规则、封禁策略或狩猎假设。只有通过这三问的情报，才值得占用融合管道的计算和人力成本。