# openTIS **Repository Path**: SteveRocket/openTIS ## Basic Information - **Project Name**: openTIS - **Description**: 安全运营中心（SOC）-威胁情报与知识库管理系统（TIS） http://www.mdrsec.com - **Primary Language**: Unknown - **License**: Not specified - **Default Branch**: master - **Homepage**: https://mp.weixin.qq.com/s/V5Axn-ZWi22ubh5Jiocb9g - **GVP Project**: No ## Statistics - **Stars**: 1 - **Forks**: 0 - **Created**: 2021-12-26 - **Last Updated**: 2026-07-03 ## Categories & Tags **Categories**: Uncategorized **Tags**: None ## README # 网络安全威胁情报中心（TIS） ## 关于我们 - 官网：logo http://www.mdrsec.com 我们的技术文章和产品概述欢迎浏览我们的门户。 - 公众号：CTO Plus 最新的动态欢迎关注我们官方唯一公众号。 微信公众号 - 作者QQ 更详细更具体的需求，或者项目合作，或者问题 欢迎联系我。 我的QQ - QQ群 我们官方组建的QQ群，如果您有兴趣也可以加入我们。 QQ群 - 请喝咖啡 如果感兴趣，也可以请我喝杯咖啡 请我喝咖啡 ## 产品核心功能模块 ![index](index.jpg) ![index2](index2.jpg) ![attck分析](attck分析.jpg) ![事件列表](事件列表.jpg) 我们的企业级威胁情报中心是一个以**数据为燃料、以分析流程为引擎、以联动响应为传动轴、以运营优化为方向盘**的复杂系统工程。 我们的TIS不仅仅有“百亿级情报库”数量，关键是：**它能让我的告警少一点、准一点。它能在我被攻击之前告诉我哪里有坑。它能在事后帮我复盘他是怎么进来的？** ## 威胁情报中心的战略定位 2025年杭州某企业因未及时获取APT攻击预警，导致15亿条用户数据泄露——这一事件揭示了一个残酷的现实：在高级持续性威胁与勒索软件泛滥的后疫情时代，威胁情报已不再是安全团队茶余饭后的“谈资”，而是决定企业生死的核心生产要素。 然而，一个尴尬的现状是：大多数企业耗费重金建设的威胁情报中心（Threat Intelligence Center），最终沦为了一个“高级日志聚合器”——海量告警滚动、误报泛滥成灾、分析师疲于奔命，真正有效的威胁检出率不足1%。究其根源，在于对威胁情报中心核心能力的认知偏差：它不应是一个被动的“情报接收器”，而应是一个贯穿**数据采集、融合生产、分析研判、联动处置、复盘沉淀**全链路的“决策指挥中枢”。 ## 高精准的多源情报聚合与生产引擎 威胁情报中心的底层是数据，而数据的广度与精度直接决定了上层建筑的高度。仅依靠单一厂商的Feed流或开源情报（OSINT）是远远不够的。 **1. 全源情报接入与智能融合** 我们的TIS平台，具备对**商业情报、开源情报、合作交换情报、内部自产情报**四大类数据源的“零摩擦”接入能力。这不仅仅是支持STIX/TAXII等标准格式的解析，更关键的是对非结构化数据（如安全报告PDF、暗网截图、社交聊天记录）的NLP自然语言处理与实体抽取能力。 然而，多源融合面临一个核心痛点：不同厂商对同一IOC（失陷指标）的判定可能相互矛盾。这就要求TIS系统具备基于**知识图谱的冲突消解算法**——不是简单的投票表决，而是根据数据源的历史置信度、上下文环境（如关联的样本家族、攻击基础设施）进行加权研判，自动融合生成一条“超级情报记录”。 **2. 基于“数据湖”的本地化情报生产** 购买商业情报本质上是在为厂商的分析研判能力付费，但“数据裸奔”的风险与合规要求决定了高端制造业、金融、能源等关键行业必须构建本地化生产闭环。我们的TIS系统内置**高对抗沙箱集群**与**流量元数据仓库**。 - **样本深度分析**：对接入的PE、Office、PDF等文件，在独立沙箱中诱骗其行为，提取C2回连地址、内存字符串、进程调用链等微观特征，自动转化为STIX格式的战术情报。 - **NDR流量元数据碰撞**：被动DNS数据、NetFlow五元组、SSL证书指纹是发现“未知威胁”的富矿。我们的TIS将流量探针采集的元数据与本地情报库进行**异步离线碰撞**。例如，当云端某APT组织的C2域名情报滞后48小时下发时，系统能回溯历史DNS记录，瞬间捞出早已中招的“沉睡”失陷主机。 ## 多维关联分析与可视化溯源 如果说数据接入是“四肢”，那么分析引擎就是TIS的“大脑”。传统SIEM/SOC失败的原因在于仅依赖规则匹配，而TIS的价值在于基于**攻击链（Kill Chain）** 的图谱关联。 **1. 时空关联与攻击者画像构建** 当某个IP被标记为恶意时，初级产品只会弹窗告警，而优秀的TIS会自动执行“一键下钻”：该IP历史上解析过哪些域名？注册人邮箱是什么？关联的SSL证书序列号是否曾在其他攻击事件中出现过？通过**图数据库**技术，系统能瞬间将离散的IOC（IP、Hash、Domain）串联成完整的攻击者基础设施拓扑图，并映射到MITRE ATT&CK框架，清晰展示攻击者当前处于“初始访问”、“横向移动”还是“数据渗出”阶段。 **2. 红蓝视角下的可视化狩猎** 安全分析师不应面对冰冷的命令行，而应拥有“上帝视角”的作战沙盘。我们的TIS系统提供**交互式可视化画布**，允许分析师像使用思维导图一样随意拖拽IOC节点进行扩展查询。这种“威胁狩猎”功能能够辅助专家基于假设进行验证：例如怀疑某供应链厂商被攻陷，可将其域名作为起点，层层穿透其关联的C段IP、Whois信息变更记录，最终定位到隐蔽的水坑攻击站点。 ## 赋能与降噪：面向安全栈的广域联动响应 威胁情报中心绝不能是孤岛，它的生命力体现在对现有安全产品（NGFW、WAF、EDR、SIEM）的“降维赋能”上。 关于NGFW、WAF、EDR、SIEM系统可以参考我们相对应的自研产品介绍文章。 **1. 异构设备的“零代码”联动编排** 企业安全设备往往来自多家厂商，接口协议各异。我们的TIS系统提供标准化的**API网关与Playbook剧本编排引擎**。 - **单向赋能**：将高置信度IOC（置信度>90%）以每5分钟一次的频率通过syslog或API推送给边界防火墙，实现“自动封堵”；将上下文情报（如“该IP属于银狐团伙”）推送给SIEM，辅助告警富化。 - **双向反哺**：接收EDR上报的异常进程Hash，若本地库未命中，则自动上传至TIS沙箱引爆，并将生成的研判结果回传给EDR执行隔离。这种**检测-分析-响应闭环**是衡量TIS成熟度的关键指标。 **2. 基于情报的告警降噪** 这是我们TIS系统最核心的业务价值。据统计，SOC日均告警中超过60%属于低价值无效告警。TIS通过**多源信誉查询**：当IDS报告一个“SQL注入尝试”时，TIS自动查询源IP的信誉，若该IP被标记为“已知扫描器”，则TIS指令SIEM将该告警等级降为“Info”并自动归档；反之，若该IP关联了最新的APT组织，即便攻击失败，也应将告警等级拉升至“危急”并强制弹出通知。这能将安全运营人员的效率提升至少3倍以上。 ## 深度防御：未知威胁检测与沙箱联动 特征码检测的时代早已终结，面对无文件攻击和零日漏洞，我们自研的TIS系统具备基于行为与基因的恶意代码判定能力。 **1. 动静结合的高对抗沙箱** TIS必须内置或深度集成沙箱阵列。**静态分析**负责快速提取样本PE结构特征、导入表函数异常；**动态分析**则负责在虚拟环境中诱导样本执行。现代高级威胁普遍具备“反沙箱”意识（检测到虚拟机则自动退出），因此我们自研的TIS系统具备**动态环境伪装技术**，模拟真实用户点击鼠标、浏览网页的痕迹，诱使恶意代码释放Payload，从而捕获其加密流量中的C2信标。 **2. 基因图谱与同源判定** 通过对样本代码的相似性比对，TIS能够识别出变种木马。例如，即使某勒索病毒的Hash完全改变，但其代码中独特的字符串拼接算法、加密常量未变，沙箱分析报告即可将其归类为“Conti勒索软件变种”，并自动关联出该家族历史TTPs（战术、技术和过程），为快速制定处置预案提供依据。 ## 态势感知：面向决策层的战略情报视图 企业高管与董事会关注的是风险敞口，而非具体的恶意域名。因此，我们自研的TIS系统具备从海量战术情报中提取**战略级洞察**的能力。 **1. 行业威胁雷达** 我们的TIS系统支持按行业标签（金融、能源、制造、医疗）筛选定向威胁。系统应能自动生成“本月针对全球供应链的勒索软件活跃度趋势图”或“针对本行业核心业务系统的漏洞利用热力图”，帮助决策者直观理解“谁最想攻击我们”、“他们最可能利用哪个短板”。 **2. 定制化风险评分与趋势预测** 通过机器学习算法，结合资产价值（CVE漏洞、数据敏感度）与外部威胁热度，TIS应为企业的每一个核心业务系统生成动态的**风险评分**。例如，当Log4j漏洞爆发时，TIS不仅推送漏洞情报，更应结合内部资产盘点数据，直接告诉CIO：“我们的交易系统评分从70分骤降至30分，存在6个高危暴露面，建议立即隔离”。 ## 情报生态：内外协同的共享与运营机制 安全是一场不对称战争，单兵作战必败无疑。我们自研的TIS系统具备完善的情报协同能力。 **1. 内部情报流转工单化** 我们的TIS系统内置**情报工单系统**。分析师发现新威胁后，可一键派发处置工单给服务器管理员，并附带详细的“清除计划任务-删除注册表项-重启服务”操作手册。同时，支持生成符合监管要求的**一键导出报表**，用于向上级单位或监管部门报送。 **2. 私有情报联盟与数据脱敏** 集团型企业往往需要在总部与分支之间、甚至与上下游供应商之间建立情报共享机制。我们的TIS系统支持**基于标签的细粒度共享**：如仅共享“恶意IP列表”而不暴露内部受攻击资产的Hostname；或仅共享样本特征而不暴露文件原文。通过搭建匿踪共享通道，形成“一点发现，全网免疫”的协同防御圈。 ## 合规与隐私保护：隔离网络下的情报闭环 对于涉密单位、军工企业或金融核心交易网，物理隔离是刚性要求。传统SaaS化云端情报查询服务在此场景完全失效。因此，我们自研的TIS系统具备强大的**离线生存能力**。 **1. 高压缩比离线情报包与差分更新** TIS应支持通过光盘或专用摆渡机，导入经过特殊加密与压缩的离线情报包。更新机制必须支持**增量差分**：每周仅导入KB级别的增量数据，而非TB级别的全量拷贝，以适应隔离网的低带宽摆渡效率。 **2. 数据不外传的本地沙箱分析** 在隔离网内发现的未知样本，严禁上传至公网VirusTotal。我们的TIS系统利用本地化部署的沙箱集群进行离线分析，确保敏感文件不出网。同时，支持将脱敏后的样本特征（非文件本身）导出，供外网分析人员研判后，再以规则形式反向导入内网。 ## 运营指标体系 **1. 多维度情报质量评估（ROC曲线）** TIS应具备**自动化情报源打分卡**。系统自动统计各情报源在过去一个月内产生的告警中，有多少被证实为误报（False Positive），有多少命中了真实事件（True Positive）。通过AUC曲线直观展示各厂商数据质量，作为次年情报续费预算分配的客观依据，倒逼厂商提供高质量数据。 **2. 分析师工作效率仪表盘** 监控平均研判时间、平均溯源深度、情报转化率等KPI。通过量化数据，证明TIS建设对降低MTTD（平均检测时间）和MTTR（平均响应时间）的实际贡献，从而为安全团队争取更多预算编制。 只有将威胁情报中心定位为企业数字资产的“免疫系统中枢”，通过**全局感知、智能决策、精准协同**三大能力的深度释放，才能在数字化浪潮的攻防对抗中，真正构筑起面向未来的主动防御体系。 ## 产品清单 ### 企业网络安全运营中心产品 - 资产安全配置管理系统（SCMDB） - 终端侦测与响应系统（EDR） - 网络侦测与响应系统（NDR） - 企业网络资产攻击面管理系统（CAASM） - 资产暴露面管理系统（AEMS） - 网络安全蜜罐管理系统（HoneyPot） - 安全事件收集与告警管理系统（SIEM） - 扩展侦测与响应系统（XDR） - 多引擎脆弱性扫描系统（VAS） - 多源日志审计监测系统（LAS） - 网络安全威胁情报中心（TIS） - 网络安全漏洞库管理系统（VDBS） - 网络安全编排与自动化响应（SOAR） - 威胁狩猎系统（THS） - 数据库安全审计系统（DSAS） - AI智能体安全态势管理系统（AISPM） - Web防火墙（WAF） - 网站安全监测平台（WSM） - 网络安全态势感知平台（SSAP） - 网络安全自动化应急响应工具系统（NSRT） - 企业网络安全运维工具系统（SecTools） - 网络安全自动化等保测评系统（ASES） - 浏览器安全监测防护系统（BSMPS） - 网络安全用户实体行为分析系统（UEBA） - 互联网电信诈骗预警防护系统（TPFWS） - 云原生安全管理平台（CNAPP） - 自动化渗透测试系统（PTS） - 工业企业信息安全监测中心（IoT SOC） - 企业智能安全运营中心（AISOC） ### 企业自动化运维产品 - 运维智能监控告警管理平台（AIMAMS） - 企业网络工具系统（NTools） - 自动化测试系统（AutoTest） - 自动化运维系统（AutoOps） - 企业运维工具系统（OpsTools） - 物联网管理系统（IoTS） - 软件开发生命周期管理系统（SDLC） - IT流程管理系统（ITSM） ### 企业数字化运营资源管理系统产品 - 制造执行管理系统（MES） - 运输管理系统（TMS） - 跨境电商企业资源管理系统（ERP） - 企业客户关系管理系统（CRM） - 跨境电商仓库管理系统（WMS） - 财务管理系统（FMS） - 质量管理系统（QMS） - 精准营销管理系统（PMS） - 智能生产管理系统（SPMS） - 电商BI系统（BI） - 智能互联网分布式爬虫系统（AISpider） ## **【关于我们】** * [主页：http://116.205.137.183/index_pro.html](http://116.205.137.183/index_pro.html) * [Articulate v1.0](https://mp.weixin.qq.com/s/0yqGBPbOI6QxHqK17WxU8Q) * [Articulate v2.0](https://mp.weixin.qq.com/s/V5Axn-ZWi22ubh5Jiocb9g) [![](https://img.shields.io/badge/GitHub-zrf--rocket-blue?logo=gitpod)](https://github.com/zrf-rocket) [![](https://img.shields.io/badge/Gitee-SteveRocket-pink)](https://gitee.com/SteveRocket/) ![CTO Plus](https://img.shields.io/badge/微信公众号：CTO%20Plus-8A2BE2) 🥰 **【代码工程系列】** * [Python和Go的设计模式](https://github.com/zrf-rocket/DesignPattern) * GitHub：https://github.com/zrf-rocket/DesignPattern * Gitee：https://gitee.com/SteveRocket/design_pattern * [Python、Go的编码技巧cookbook](https://github.com/zrf-rocket/CookBook) * GitHub：https://github.com/zrf-rocket/CookBook * Gitee：https://gitee.com/SteveRocket/cook-book * [Go代码示例](https://github.com/zrf-rocket/PracticeGo) * GitHub：https://github.com/zrf-rocket/PracticeGo * Gitee：https://gitee.com/SteveRocket/practice_go * [Python代码示例](https://github.com/zrf-rocket/PracticePython) * GitHub：https://github.com/zrf-rocket/PracticePython * Gitee：https://gitee.com/SteveRocket/practice_python * [Python Web框架的示例代码](https://github.com/zrf-rocket/PythonFramework) * GitHub：https://github.com/zrf-rocket/PythonFramework * Gitee：https://gitee.com/SteveRocket/python_framework * [Rust代码示例](https://github.com/zrf-rocket/PracticeRust) * GitHub：https://github.com/zrf-rocket/PracticeRust * Gitee：https://gitee.com/SteveRocket/practice_rust * [Vue代码示例](https://github.com/zrf-rocket/PracticeVue) * GitHub：https://github.com/zrf-rocket/PracticeVue * Gitee：https://gitee.com/SteveRocket/practice_vue * [前端代码示例](https://github.com/zrf-rocket/PracticeFronted) * GitHub：https://github.com/zrf-rocket/PracticeFronted * Gitee：https://gitee.com/SteveRocket/practice_fronted * [Python自动化测试框架](https://github.com/zrf-rocket/PythonTestAutomationFramework) * GitHub：https://github.com/zrf-rocket/PythonTestAutomationFramework * Gitee：https://gitee.com/SteveRocket/python_test_automation_framework * [Python和Go的算法代码示例](https://github.com/zrf-rocket/Algorithms) * GitHub：https://github.com/zrf-rocket/Algorithms * Gitee：https://gitee.com/SteveRocket/Algorithms * [Python和Go的数据结构代码示例](https://github.com/zrf-rocket/DataStructure) * GitHub：https://github.com/zrf-rocket/DataStructure * Gitee：https://gitee.com/SteveRocket/data_structure * [编码规范](https://github.com/zrf-rocket/DevGuide) * GitHub：https://github.com/zrf-rocket/DevGuide * Gitee：https://gitee.com/SteveRocket/develop_guide * [编码安全规范](https://github.com/zrf-rocket/SecGuide) * GitHub：https://github.com/zrf-rocket/SecGuide * Gitee：https://gitee.com/SteveRocket/security_guide **【产品系列】** * [主机监控系统-日志收集与报警管理系统（SIEM）](https://github.com/zrf-rocket/SIEM) * GitHub：https://github.com/zrf-rocket/SIEM * Gitee：https://gitee.com/SteveRocket/siem * [安全运营中心（SOC）-终端侦测与响应系统（EDR）](https://github.com/zrf-rocket/EDR_SOC) * GitHub：https://github.com/zrf-rocket/EDR_SOC * Gitee：https://gitee.com/SteveRocket/edr_soc * [DevSecOps-SDLC](https://github.com/zrf-rocket/DevSecOps-SDLC) * GitHub：https://github.com/zrf-rocket/DevSecOps-SDLC * Gitee：https://gitee.com/SteveRocket/dev-sec-ops-sdlc * [AI图像识别-智能缺陷检测系统]() * [基于AI图像识别的工业缺陷检测应用系统（GPU&FPGA）](https://mp.weixin.qq.com/s/04qefQFg-Pg1Gcqq1vBLQQ) * [基于AI图像识别的智能缺陷检测系统，在钢铁行业的应用-技术方案](https://mp.weixin.qq.com/s/dSHbnuOwQZzE4CvPr1JYjg) # 安全运营中心（SOC）-威胁情报与知识库管理系统（TIP）