analyzing-threat-intelligence-feeds

name	analyzing-threat-intelligence-feeds
description	分析结构化和非结构化威胁情报（CTI）推送，提取可操作的指标、对手战术和攻击活动上下文。适用于导入商业或开源 CTI 情报、评估情报质量、将数据规范化为 STIX 2.1 格式，或使用攻击活动溯源归因富化现有 IOC 时使用。
domain	cybersecurity
subdomain	threat-intelligence
tags	["STIX","TAXII","MITRE-ATT&CK","IOC","ThreatConnect","Recorded-Future","MISP","CTI","NIST-CSF"]
version	1.0.0
author	mahipal
license	Apache-2.0

分析威胁情报推送

适用场景

在以下情况下使用本技能：

• 导入新的商业或 OSINT 威胁情报，评估其信噪比
• 将异构 IOC 格式（STIX 2.1、OpenIOC、YARA、Sigma）规范化为统一架构
• 评估情报的时效性、准确性以及与组织威胁画像的相关性
• 构建将 IOC 与 SIEM 事件关联的自动化富化流水线

不适用于未建立 CTI 基线时进行原始数据包捕获分析或实时事件分诊。

前置条件

• 访问威胁情报平台（TIP），如 ThreatConnect、MISP 或 OpenCTI
• 至少一个商业情报的 API 密钥（Recorded Future、Mandiant Advantage 或 VirusTotal Enterprise）
• TAXII 2.1 客户端库（taxii2-client Python 包或同类工具）
• 具有 TIP 指标数据库读写权限的角色

工作流程

步骤 1：枚举并优先排序情报来源

按类型列出所有可用情报（商业、政府、ISAC、OSINT）：

• 商业：Recorded Future、Mandiant Advantage、CrowdStrike Falcon Intelligence
• 政府：CISA AIS（自动指标共享）、FBI InfraGard、MS-ISAC
• OSINT：AlienVault OTX、Abuse.ch、PhishTank、Emerging Threats

对每个情报从以下维度打分：更新频率、历史准确率、对您所在行业的覆盖度、以及溯源深度。使用基于 NIST SP 800-150（网络威胁信息共享指南）标准的加权评分矩阵。

步骤 2：通过 TAXII 2.1 或 API 导入

对于支持 TAXII 的情报：

taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01

对于 REST API 情报（如 Recorded Future）：

• 使用 risk_score_min=65 查询 /v2/indicator/search 以过滤低置信度 IOC
• 为 API 弹性应用速率限制和指数退避

步骤 3：规范化为 STIX 2.1

使用 OASIS 标准架构将每个 IOC 转换为 STIX 2.1 对象：

• IP 地址 → 带 pattern: "[ipv4-addr:value = '...']" 的 indicator 对象
• 域名 → 带 pattern: "[domain-name:value = '...']" 的 indicator
• 文件哈希 → 带 pattern: "[file:hashes.SHA-256 = '...']" 的 indicator

附加 relationship 对象，将指标链接到 threat-actor 或 malware 对象。根据来源准确率评级设置 confidence 字段（0-100）。

步骤 4：去重和富化

使用规范化后的值+类型作为复合键，针对 TIP 现有数据库进行去重。对保留的 IOC 进行富化：

• VirusTotal：检测率、沙箱行为报告
• PassiveTotal (RiskIQ)：WHOIS 历史、被动 DNS、SSL 证书链
• Shodan：Banner 数据、开放端口、地理位置

步骤 5：分发到消费系统

通过 TAXII 2.1 推送将富化后的指标导出到 SIEM（Splunk、Microsoft Sentinel）、防火墙（Palo Alto XSOAR Playbook）和 EDR 平台。按指标类型设置 TTL：IP 地址 30 天、域名 90 天、文件哈希 1 年。

核心概念

术语	定义
STIX 2.1	结构化威胁信息表达式——OASIS 标准 JSON 架构，用于 CTI 对象（指标、威胁行为者、攻击活动和关系）
TAXII 2.1	情报信息可信自动交换——基于 HTTPS 的协议，用于在服务器和客户端之间共享 STIX 内容
IOC（失陷指标）	表明系统可能已被攻陷的可观测工件（IP、域名、哈希、URL）
TLP	流量灯协议——以颜色编码分类（RED/AMBER/GREEN/WHITE），定义 CTI 的共享限制
置信度分数	STIX 中的数值（0-100），反映生产者对指标恶意溯源的确信程度
情报准确性	以生产检测中真正例率衡量的情报历史准确率

工具与系统

• ThreatConnect TC Exchange：聚合 100+ 个商业和 OSINT 情报；提供 IOC 富化的自动化 Playbook
• MISP（恶意软件信息共享平台）：支持 STIX/TAXII 的开源 TIP；被 ISAC 和政府 CERT 广泛使用
• OpenCTI：具有原生 MITRE ATT&CK 集成和基于图的关系可视化的开源平台
• Recorded Future：具有 AI 风险评分和实时暗网监控的商业情报
• taxii2-client：TAXII 2.0/2.1 客户端操作的 Python 库（pip install taxii2-client）
• PyMISP：用于 MISP 情报管理和 IOC 提交的 Python API

常见陷阱

• IOC 过期陈旧：IP 地址和域名频繁轮换；应用 1 年前的 IOC 会产生误报。执行 TTL 策略。
• 缺少上下文：在不了解相关攻击活动或对手的情况下封锁 IOC 可能中断合法业务流量（如与恶意行为者共享的 CDN IP）。
• 情报重叠但未去重：从五个情报来源导入相同 IOC 却不去重，会导致指标数量膨胀和 SIEM 规则复杂度增加。
• TLP 违规：在授权范围之外重新分发 RED 级别情报违反共享协议和信任关系。
• 对低置信度指标过度封锁：置信度低于 50 的指标应触发仅检测规则，而非封锁规则，以避免运营中断。