OpenCTI平台中Indicator分数更新机制解析

背景介绍

OpenCTI作为一个开源威胁情报平台，其Indicator管理机制是平台的核心功能之一。在实际使用过程中，Indicator的分数更新逻辑对于威胁情报的有效性至关重要。本文将深入分析OpenCTI平台中Indicator分数更新的特殊机制及其设计考量。

问题现象

在OpenCTI 6.5.8版本中，当用户尝试通过upsert操作更新一个已存在的Indicator时，如果新导入的Indicator分数与原始基础分数(base score)相同，平台将不会更新该Indicator的当前分数。这一行为会导致一些特殊情况：

1. 已被衰减机制(decay)标记为撤销(revoked)的Indicator，即使有新情报源再次报告其为恶意，仍会保持撤销状态
2. 基础设施监控脚本定期推送的活跃Indicator可能在衰减后被错误地保持撤销状态

技术原理

这一行为实际上是OpenCTI平台的刻意设计，而非系统缺陷。其背后的技术考量包括：

1. 数据一致性保护：防止数据源无意义地重复推送相同分数导致分数重置
2. 衰减机制完整性：确保衰减计算不受无效更新的干扰
3. 情报生命周期管理：区分真正的情报更新与简单的数据重复

解决方案与最佳实践

针对这一设计带来的实际业务问题，OpenCTI团队建议采用以下解决方案：

1. 禁用衰减机制：如果Indicator分数的权威来源是外部系统，建议关闭平台的衰减管理功能，完全由外部源控制Indicator有效性

2. 使用Sighting机制：通过创建Sighting来影响Indicator分数并触发衰减重新计算（需平台后续开发支持）

3. 配置优化：

   • 通过feed配置阻止无意义的upsert操作
   • 调整置信度级别和相关自动化规则

4. 特殊处理逻辑：对于已被撤销的Indicator，允许在upsert时重置分数

实施建议

对于不同使用场景，建议采取以下策略：

1. 多源情报整合环境：当有多个情报源推送Indicator时，应通过置信度管理确保只有高质量情报能影响分数

2. 基础设施监控场景：对于定期推送的活跃Indicator监控，应考虑实现自定义的分数更新逻辑或使用Sighting机制

3. 混合管理模式：结合衰减机制和外部更新时，应建立清晰的优先级规则和更新策略

总结

OpenCTI平台的Indicator分数更新机制体现了在情报生命周期管理和数据一致性之间的平衡取舍。理解这一设计原理有助于用户根据自身业务需求制定合适的情报管理策略。随着平台功能的不断完善，未来可能会提供更灵活的分数更新控制选项，满足不同场景下的运营需求。