| name | analyzing-threat-intelligence-feeds |
| description | 分析结构化和非结构化威胁情报（CTI）推送，提取可操作的指标、对手战术和攻击活动上下文。适用于导入商业或开源 CTI 情报、评估情报质量、将数据规范化为 STIX 2.1 格式，或使用攻击活动溯源归因富化现有 IOC 时使用。
|
| domain | cybersecurity |
| subdomain | threat-intelligence |
| tags | ["STIX","TAXII","MITRE-ATT&CK","IOC","ThreatConnect","Recorded-Future","MISP","CTI","NIST-CSF"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
分析威胁情报推送
适用场景
在以下情况下使用本技能：
- 导入新的商业或 OSINT 威胁情报，评估其信噪比
- 将异构 IOC 格式（STIX 2.1、OpenIOC、YARA、Sigma）规范化为统一架构
- 评估情报的时效性、准确性以及与组织威胁画像的相关性
- 构建将 IOC 与 SIEM 事件关联的自动化富化流水线
不适用于未建立 CTI 基线时进行原始数据包捕获分析或实时事件分诊。
前置条件
- 访问威胁情报平台（TIP），如 ThreatConnect、MISP 或 OpenCTI
- 至少一个商业情报的 API 密钥（Recorded Future、Mandiant Advantage 或 VirusTotal Enterprise）
- TAXII 2.1 客户端库（taxii2-client Python 包或同类工具）
- 具有 TIP 指标数据库读写权限的角色
工作流程
步骤 1：枚举并优先排序情报来源
按类型列出所有可用情报（商业、政府、ISAC、OSINT）：
- 商业：Recorded Future、Mandiant Advantage、CrowdStrike Falcon Intelligence
- 政府：CISA AIS（自动指标共享）、FBI InfraGard、MS-ISAC
- OSINT：AlienVault OTX、Abuse.ch、PhishTank、Emerging Threats
对每个情报从以下维度打分：更新频率、历史准确率、对您所在行业的覆盖度、以及溯源深度。使用基于 NIST SP 800-150（网络威胁信息共享指南）标准的加权评分矩阵。
步骤 2：通过 TAXII 2.1 或 API 导入
对于支持 TAXII 的情报：
taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01
对于 REST API 情报（如 Recorded Future）：
- 使用
risk_score_min=65 查询 /v2/indicator/search 以过滤低置信度 IOC
- 为 API 弹性应用速率限制和指数退避
步骤 3：规范化为 STIX 2.1
使用 OASIS 标准架构将每个 IOC 转换为 STIX 2.1 对象：
- IP 地址 → 带
pattern: "[ipv4-addr:value = '...']" 的 indicator 对象
- 域名 → 带
pattern: "[domain-name:value = '...']" 的 indicator
- 文件哈希 → 带
pattern: "[file:hashes.SHA-256 = '...']" 的 indicator
附加 relationship 对象，将指标链接到 threat-actor 或 malware 对象。根据来源准确率评级设置 confidence 字段（0-100）。
步骤 4：去重和富化
使用规范化后的值+类型作为复合键，针对 TIP 现有数据库进行去重。对保留的 IOC 进行富化：
- VirusTotal：检测率、沙箱行为报告
- PassiveTotal (RiskIQ)：WHOIS 历史、被动 DNS、SSL 证书链
- Shodan：Banner 数据、开放端口、地理位置
步骤 5：分发到消费系统
通过 TAXII 2.1 推送将富化后的指标导出到 SIEM（Splunk、Microsoft Sentinel）、防火墙（Palo Alto XSOAR Playbook）和 EDR 平台。按指标类型设置 TTL：IP 地址 30 天、域名 90 天、文件哈希 1 年。
核心概念
| 术语 | 定义 |
|---|
| STIX 2.1 | 结构化威胁信息表达式——OASIS 标准 JSON 架构，用于 CTI 对象（指标、威胁行为者、攻击活动和关系） |
| TAXII 2.1 | 情报信息可信自动交换——基于 HTTPS 的协议，用于在服务器和客户端之间共享 STIX 内容 |
| IOC（失陷指标） | 表明系统可能已被攻陷的可观测工件（IP、域名、哈希、URL） |
| TLP | 流量灯协议——以颜色编码分类（RED/AMBER/GREEN/WHITE），定义 CTI 的共享限制 |
| 置信度分数 | STIX 中的数值（0-100），反映生产者对指标恶意溯源的确信程度 |
| 情报准确性 | 以生产检测中真正例率衡量的情报历史准确率 |
工具与系统
- ThreatConnect TC Exchange：聚合 100+ 个商业和 OSINT 情报；提供 IOC 富化的自动化 Playbook
- MISP（恶意软件信息共享平台）：支持 STIX/TAXII 的开源 TIP；被 ISAC 和政府 CERT 广泛使用
- OpenCTI：具有原生 MITRE ATT&CK 集成和基于图的关系可视化的开源平台
- Recorded Future：具有 AI 风险评分和实时暗网监控的商业情报
- taxii2-client：TAXII 2.0/2.1 客户端操作的 Python 库（pip install taxii2-client）
- PyMISP：用于 MISP 情报管理和 IOC 提交的 Python API
常见陷阱
- IOC 过期陈旧：IP 地址和域名频繁轮换；应用 1 年前的 IOC 会产生误报。执行 TTL 策略。
- 缺少上下文：在不了解相关攻击活动或对手的情况下封锁 IOC 可能中断合法业务流量（如与恶意行为者共享的 CDN IP）。
- 情报重叠但未去重：从五个情报来源导入相同 IOC 却不去重，会导致指标数量膨胀和 SIEM 规则复杂度增加。
- TLP 违规：在授权范围之外重新分发 RED 级别情报违反共享协议和信任关系。
- 对低置信度指标过度封锁：置信度低于 50 的指标应触发仅检测规则，而非封锁规则，以避免运营中断。
