2026-10-22 11:46:02 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

网络安全顶会ACM CCS 2025 论文解读丨威胁情报的\"成本施加\"迷思

原创

冯文英
冯文英

信息网络安全杂志

2026年10月21日 14:24
上海

去阅读

一、引子

\"对对手施加成本\"（impose costs）核心逻辑是：通过公开发布威胁情报，迫使攻击者更换基础设施、研发新工具，从而消耗其稀缺资源。然而，这一被反复援引的机制，究竟在多大程度上经得起实证检验？CCS 2025 上发表的来自代尔夫特理工团队的论文Can IOCs Impose Cost? The Effects of Publishing Threat Intelligence on Adversary Behavior，首次用 10 亿条网络流量匹配记录，为这个宏大命题提供了冷峻的数据切面。

二、论文速览

过去的研究主要关注 IOC 发布后的检测效果，缺乏对发布前攻击者行为的系统性测量——这正是本文要填补的空白。Bouwman 等人巧妙地利用了一整年（356 天）的政府企业网络流量元数据，将其与两家 Gartner 市场领先的商业威胁情报厂商的 IOC 匹配：Vendor 1 的 1200 万条和 Vendor 2 的 2.24 亿条。通过回溯匹配，他们生成了超过 10 亿次 sightings（目击记录），首次实现了对同一 IOC 在发布前后各 50 天的完整行为画像。

关键发现令人深思：在产生过 sightings 的 IOC 中，高达 81% 在发布时攻击者已停止使用相关资源，仅 19% 在发布后仍有 sightings。固定效应模型显示，发布后 sightings 概率下降 3.2 个百分点，模型仅解释 8.1% 的组内方差——统计显著但实际效应 modest。更引人注目的是，Vendor 1 的 IOC 呈现出约 30 天的延迟模式：攻击活动峰值出现在发布前 30 天左右。换言之，即便是顶级威胁情报产品，很大程度上也在\"追影子\"。

三、深度解剖

争议引爆：威胁情报产业的价值根基被撼动了吗？

本文最尖锐的冲击力在于，它将矛头对准了威胁情报产业数百亿美元市值背后的核心叙事。CrowdStrike 市值曾一度超过 900 亿美元，行业前提假设是高价值威胁情报能通过改善检测来\"让攻击者付出代价\"。然而 10 亿条数据记录描绘的图景是——98% 以上的 IOC 从未在网络中被检测到，而那些确实产生了 sightings 的 IOC，绝大多数指向的已是攻击者的\"历史足迹\"而非\"当前战场\"。

但作者并未简单否定威胁情报的价值。他们提出了更具深度的\"二阶效应\"假说：攻击者可能已将\"被检测\"的风险内化为作战规划的一部分，主动采取更强的运营安全措施、缩短基础设施生命周期。这类似于垃圾邮件生态中观察到的\"猫鼠游戏\"——当封锁成为常态，攻击者便以更快的资源轮换来适应。如果此假说成立，威胁情报的价值并非体现在单条 IOC 的实时检测上，而是通过长期存在感抬高攻击门槛。但这同时意味着，支付高额许可费的企业客户可能正在为无法直接享用的公共品买单，其实时检测的投资回报率值得重新审视。

跨界启示：从政策话语到数据实证

本文的另一重要贡献在于搭建了国际关系与计算机科学之间的实证桥梁。国际关系学者从政策文本中重构了\"持久接触\"战略的因果链条，但其中关键环节——\"公开情报能改善防御、消耗对手\"——始终缺乏定量证据。本文用网络流量数据将这一抽象概念转化为可测量假设，给出了第一个系统回答。

这与 Buchanan 基于案例研究的定性发现形成了有趣对话——Buchanan 认为民主国家的黑客\"最怕曝光\"，而本文数据显示，即便是最高端的商业 IOC 也往往滞后于攻击者实际行为。\"金字塔之痛\"模型告诉我们，剥夺基础设施使用权给攻击者带来的\"痛苦\"最小，因为 IP 和域名最容易替换。本文的实证结果恰好印证了这一理论预判。

四、局限与展望

作者坦诚地列出了若干局限：数据仅来自政府企业网络，无法代表金融、中小企业等其他厂商的威胁图景；sightings 作为攻击者行为的代理变量难免混杂假阳性；观察性数据终究无法确立因果。理想的对照试验需要厂商配合保留部分 IOC 不发布，这在商业和伦理上都面临障碍。

展望未来有两个方向值得深入。其一，扩展至更多网络类型和地理区域，验证 30 天延迟模式是否普遍，以及不同国家背景攻击者的行为差异。其二，探索更精细的 IOC 元数据维度——本文发现新注册域名的时效性明显优于其他类型，若结合更丰富的 TTP 标注，或许能识别出真正具有实时检测价值的情报子集。

五、写在最后

对中国学术界和产业界而言，本文至少带来两点启示。第一，在建设国家威胁情报共享体系时，不应盲目追随\"施加成本\"的政策叙事，而应建立基于本土网络数据的 IOC 时效评估机制。中国拥有世界领先的网络基础设施规模，完全有条件开展类似甚至更大规模的实证研究。第二，威胁情报的价值可能需要被重新定义为\"追溯性狩猎\"而非\"实时阻断\"——这意味着日志保留策略与隐私法规之间的平衡将变得更加关键。

当攻击者已经把\"被发现\"写入作战手册，防御者的核心能力或许不在于获取情报的速度，而在于留存证据的广度。这篇论文最终留给我们的问题是：如果威胁情报的\"成本施加\"效应主要发生在宏观和间接层面，我们该如何设计更公平的成本分担机制？

点评专家：冯文英助理研究员

专家单位：鹏城实验室

原文标题：Can IOCs Impose Cost? The Effects of Publishing Threat Intelligence on Adversary Behavior

原文作者：Xander Bouwman, Aksel Ethembabaoglu, Bart Hermans, Carlos Gañán, Michel van Eeten

期刊/会议：CCS 2025 (2025 ACM Conference on Computer and Communications Security)

DOI：10.1145/3719027.3765026

版权与来源声明：本文依据《中华人民共和国著作权法》第二十四条之规定，为介绍、评选之目的，在此适当引用。原文版权归原作者所有。