微步在线

微步在线的威胁情报体系由“情报生产—情报处理—情报交付”三条技术主线与十余款模块化产品共同构成，所有数据与能力最终收敛到三大规格形态：威胁情报查询（Lookup）、威胁情报推送（Feed）、下一代威胁情报平台（NGTIP）。以下按照“规格名称-核心数据对象-接口形态-更新频率-粒度-附加能力”六个维度进行文字化展开，篇幅超过两千字，所有描述仅聚焦产品与技术规格本身，不作任何商业化评价。

一、威胁情报查询（Lookup）

1. 核心数据对象  

  • IOC 库：域名、URL、IPv4/IPv6、Hash（MD5/SHA1/SHA256）、SSL 证书指纹、钱包地址等 27 种标识符；单条记录携带生存周期字段（first_seen/last_seen）、可信度等级（1–100 整数）、攻击团伙标签（TTP 映射到 MITRE ATT&CK）、地理位置、ASN、开放端口、关联样本等 40 余个属性。  

  • 漏洞情报：CVE、CNVD、CNNVD、GHSA 编号与 0Day 临时编号并存；每条漏洞记录附带 CVSS v3 基础分、VPT（微步自研漏洞优先级模型）分值、PoC 可用状态、在野利用状态、补丁状态、资产匹配规则（CPE 表达式及自定义指纹）。  

  • 资产测绘情报：对全球 43 亿 IPv4 地址每 24 小时轮询一次，记录 1800+ 协议指纹、3000+ 产品指纹、5000+ 组件指纹；资产条目包含 banner、证书链、协议栈特征、时序图、截图、地理位置、托管商、域名关联、历史变更轨迹（默认回溯 3 年）。  

  • IP 画像：基于 6 万+ 蜜罐节点、1.2 万+ 合作日志源，每日产生 2000 万活跃攻击 IP 的深度上下文，字段包含攻击链阶段、反连地址、使用工具、历史行为、活跃度评分、威胁类型、可信度、家族标签、首次发现时间、最近活跃时间、地理位置、ASN、VPN/代理标识、TOR 出口标识。  

2. 接口形态  

  • RESTful API：HTTPS/JSON，单次请求最大返回 1000 条记录；支持批量查询（/v4/ioc/batch）、关联查询（/v4/graph/relation）、上下文展开（/v4/context/ip）。  

  • SDK：官方提供 Python、Go、Java 三种语言封装；支持连接池、重试、指标埋点。  

  • 浏览器插件：Chrome/Edge 扩展，支持鼠标取词即时 Lookup；插件本地缓存 10 万条记录，7 天内自动滚动更新。  

3. 更新频率  

  • IOC：高可信源实时更新（分钟级），其余情报源 5 分钟轮询一次；平均延迟 <5 分钟。  

  • 漏洞情报：官方漏洞源公布后 30 分钟内完成收录；0Day 奖励计划情报 2 小时内完成核验