analyzing-threat-intelligence-feeds

分析威胁情报源

何时使用

在以下情况使用此技能：

• 接入新的商业或 OSINT 威胁源并评估其信噪比
• 将异构的 IOC 格式（STIX 2.1、OpenIOC、YARA、Sigma）规范化为统一模式
• 评估情报源的新鲜度、保真度以及与组织威胁画像的相关性
• 构建自动化富化流水线，将 IOC 与 SIEM 事件进行关联

不要在未先建立 CTI 基线的情况下，将此技能用于原始数据包捕获分析或实时事件分诊。

先决条件

• 可访问威胁情报平台（TIP），如 ThreatConnect、MISP 或 OpenCTI
• 至少一个商业情报源的 API 密钥（Recorded Future、Mandiant Advantage 或 VirusTotal Enterprise）
• TAXII 2.1 客户端库（taxii2-client Python 包或等效工具）
• 对 TIP 指标数据库具有读/写权限的角色

工作流

步骤 1：枚举并优先排序情报源

列出所有可用情报源，按类型分类（商业、政府、ISAC、OSINT）：

• 商业：Recorded Future、Mandiant Advantage、CrowdStrike Falcon Intelligence
• 政府：CISA AIS（自动指标共享）、FBI InfraGard、MS-ISAC
• OSINT：AlienVault OTX、Abuse.ch、PhishTank、Emerging Threats

对每个情报源评分：更新频率、历史准确率、对您所在行业的覆盖范围以及归因深度。使用加权评分矩阵，标准来自 NIST SP 800-150（网络威胁信息共享指南）。

步骤 2：通过 TAXII 2.1 或 API 接入

对于支持 TAXII 的情报源：

taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01

对于 REST API 情报源（例如 Recorded Future）：

• 使用 risk_score_min=65 查询 /v2/indicator/search 以过滤低置信度 IOC
• 应用速率限制和指数退避以增强 API 韧性

步骤 3：规范化为 STIX 2.1

使用 OASIS 标准模式将每个 IOC 转换为 STIX 2.1 对象：

• IP 地址 → indicator 对象，pattern: "[ipv4-addr:value = '...']"
• 域名 → indicator，pattern: "[domain-name:value = '...']"
• 文件哈希 → indicator，pattern: "[file:hashes.SHA-256 = '...']"

附加 relationship 对象，将指标链接到 threat-actor 或 malware 对象。根据来源保真度评级使用 confidence 字段（0–100）。

步骤 4：去重与富化

使用规范化值 + 类型作为复合键，对现有 TIP 数据库运行去重。富化保留下来的 IOC：

• VirusTotal：检测率、沙箱行为报告
• PassiveTotal（RiskIQ）：WHOIS 历史、被动 DNS、SSL 证书链
• Shodan：横幅数据、开放端口、地理位置

步骤 5：分发到消费系统

通过 TAXII 2.1 推送将富化后的指标导出到 SIEM（Splunk、Microsoft Sentinel）、防火墙（Palo Alto XSOAR playbook）和 EDR 平台。按指标类型设置 TTL（生存时间）：IP 地址 30 天，域名 90 天，文件哈希 1 年。

关键概念

术语	定义
STIX 2.1	结构化威胁信息表达 — OASIS 标准 JSON 模式，用于 CTI 对象，包括指标、威胁行为者、攻击活动及关系
TAXII 2.1	可信自动化情报信息交换 — 基于 HTTPS 的协议，用于在服务器和客户端之间共享 STIX 内容
IOC	妥协指标 — 可观察的痕迹（IP、域名、哈希、URL），表明系统可能已被入侵
TLP	交通灯协议 — 颜色编码分类（RED/AMBER/GREEN/WHITE），定义 CTI 的共享限制
置信度分数	数值（STIX 中为 0–100），反映生产者对指标恶意归因的确定性
情报源保真度	情报源的历史准确率，以生产环境检测中的真阳性率衡量

工具与系统

• ThreatConnect TC Exchange：聚合 100+ 商业与 OSINT 情报源；提供用于 IOC 富化的自动化剧本
• MISP（Malware Information Sharing Platform）：支持 STIX/TAXII 的开源 TIP；被 ISAC 和政府 CERT 广泛使用
• OpenCTI：原生集成 MITRE ATT&CK 并提供基于图的关系可视化的开源平台
• Recorded Future：具备 AI 驱动风险评分和实时暗网监控的商业情报源
• taxii2-client：用于 TAXII 2.0/2.1 客户端操作的 Python 库（pip install taxii2-client）
• PyMISP：用于 MISP 情报源管理和 IOC 提交的 Python API

常见陷阱

• IOC 时效性过期：IP 地址和域名频繁轮换；应用 1 年前的 IOC 会产生误报。应强制执行 TTL 策略。
• 缺少上下文：在不了解关联活动或攻击者的情况下封锁 IOC，可能会干扰合法业务流量（例如与恶意行为者共享的 CDN IP）。
• 情报源重叠但未去重：从五个情报源摄取同一 IOC 而不去重，会虚增指标数量并增加 SIEM 规则复杂度。
• 违反 TLP：在授权范围之外再分发 RED 级情报会违反共享协议和信任关系。
• 基于低置信度指标过度封锁：置信度低于 50 的指标应触发仅检测规则，而非封锁，以避免运营中断。