[论文解读] Taxonomy driven indicator scoring in MISP threat intelligence platforms

Sami Mokaddem, Gérard Wagener+2 more|arXiv (Cornell University)|Feb 8, 2019

Network Security and Intrusion Detection参考文献 16被引用 12

一句话总结

本文提出了一种基于分类法、具有时间衰减特性的指标评分模型（IoCs），用于MISP威胁情报平台，以提升在分布式威胁共享中的信任度与相关性。通过结合源可信度、反馈信息以及基于时间的衰减机制（τ=120小时，δ≈1.3），该模型实现了动态评分，优先处理新鲜且可靠的IoCs——在模拟中成功过滤了60%的临时钓鱼URL。

ABSTRACT

IT security community is recently facing a change of trend from closed to open working groups and from restrictive information to full information disclosure and sharing. One major feature for this trend change is the number of incidents and various Indicators of compromise (IoC) that appear on a daily base, which can only be faced and solved in a collaborative way. Sharing information is key to stay on top of the threats. To cover the needs of having a medium for information sharing, different initiatives were taken such as the Open Source Threat Intelligence and Sharing Platform called MISP. At current state, this sharing and collection platform has become far more than a malware information sharing platform. It includes all kind of IoCs, malware and vulnerabilities, but also financial threat or fraud information. Hence, the volume of information is increasing and evolving. In this paper we present implemented distributed data interaction methods for MISP followed by a generic scoring model for decaying information that is shared within MISP communities. As the MISP community members do not have the same objectives, use cases and implementations of the scoring model are discussed. A commonly encountered use case in practice is the detection of indicators of compromise in operational networks.

研究动机与目标

• 解决在MISP的分布式、点对点威胁情报共享中所面临的信任与新鲜度挑战。
• 通过基于可靠性和时间敏感性的IoC评分，提升入侵检测系统（IDS）的决策能力。
• 开发一种通用且可扩展的评分模型，整合MISP数据交互框架中的多种操作参数。
• 在资源受限环境（如IDS规则集）中实现IoC的优先排序。
• 通过可量化的置信度度量，支持社区驱动的威胁共享。

提出的方法

• 基于MISP的47种可用分类法，定义基础评分，结合源可信度与分类法相关的可信度。
• 采用幂律函数建模IoC衰减：score = base_score × (1 - (t/τ)^(1/δ))，其中t为自创建以来的时间。
• 基于end_time分布的累积分布函数（CDF）分析，将τ（半衰期）估计为120小时（5天）。
• 通过求解t=72小时（3天）时50%的IoCs已失效的方程，推导出δ（衰减速率）≈1.3。
• 将来自IDS和人工分析师的反馈（如误报、失效）整合进评分处理流程。
• 使用评分模型模拟IDS规则加载过程，评估在为期2个月期间的过滤准确性。

实验结果

研究问题

• RQ1 在类似MISP的分布式威胁情报平台中，IoC的相关性如何实现定量评估？
• RQ2 哪种基于时间的衰减模型最能反映真实世界中IoC（如钓鱼URL）的失效模式？
• RQ3 如何将源可信度与消费者反馈整合进统一的评分机制中？
• RQ4 评分模型在带宽或内存受限环境中，能在多大程度上改善IDS规则选择？
• RQ5 哪些关键操作参数会影响共享IoC的可信度与新鲜度？

主要发现

• 绝大多数IoCs（≈90%）在5天内失效，支持将τ = 120小时作为IoC生命周期的稳健估计值。
• 在72小时（3天）时，50%的IoCs已失效，因此δ ≈ 1.3是幂律模型的最优衰减速率。
• 在为期2个月的模拟中，该评分模型成功过滤了60%的临时钓鱼URL，显著减少了过时规则的加载。
• 约40%的IoCs被过早移除，表明存在召回率与新鲜度之间的权衡，而该模型有助于有效管理这一权衡。
• 该模型使IDS能够优先处理高置信度、时间敏感的IoCs，从而在节省系统资源的同时提升检测准确性。
• MISP实际运营中的实证数据支持时间衰减与基于反馈的评分方法的有效性。