## 为什么用威胁情报做例子

威胁情报（CTI）是知识图谱最"硬核"的落地场景之一：**数据来自多源（报告、漏洞库、厂商公告、OSINT）、实体关系密集、分析问题天然是多跳关系型**。MITRE ATT\&CK 2026 版已收录 **200+ 攻击技术、14 个战术**，跨 Enterprise / Mobile / ICS 三个领域；Verizon 2025 数据泄露报告显示 **68% 的入侵涉及已知 TTP**——这意味着威胁情报本质上就是一个巨大的"已知关系网络"，正适合图谱承载。

更关键的是，CTI 领域有**成熟标准**：STIX 2.1（OASIS 的威胁情报交换格式）。我们建模的类，能一一对应到 STIX 对象——这让图谱能和外部情报源互通，而不是自说自话。

---

## 输入：5 条原始情报

1. **APT29** is a Russian state-sponsored threat actor targeting NATO governments.（俄罗斯背景威胁组织，目标北约政府）
2. **CVE-2024-3400** is a critical vulnerability in PAN-OS exploited by APT29.（PAN-OS 关键漏洞，被 APT29 利用）
3. **CVE-2024-3401** is a minor vulnerability in PAN-OS exploited by APT29.（PAN-OS 低危漏洞，被 APT29 利用）
4. **HAMMERTOSS** is a backdoor malware family used by APT29 for C2 over Twitter.（APT29 用于经 Twitter 回连的后门家族）
5. **PAN-OS** is a network operating system developed by Palo Alto Networks.（Palo Alto 开发的网络操作系统）

目标：把 5 句人话，变成一张机器能理解、能多跳查询、能校验、能对齐行业标准的知识图谱。

---

## 第一步：抽三层——实体、关系、属性

**实体层**（9 个实体）：

| 实体                   | 类型            | 关键属性                                      | 对齐 STIX 2.1 对象      |
| -------------------- | ------------- | ----------------------------------------- | ------------------- |
| APT29                | ThreatActor   | origin=Russia、sponsorship=state-sponsored | `threat-actor`      |
| Russia               | Country       | 归因目标                                      | `identity`（country） |
| NATO governments     | Organization  | role=victim                               | `identity`          |
| CVE-2024-3400 / 3401 | Vulnerability | severity=critical / minor                 | `vulnerability`     |
| PAN-OS               | Product       | kind=network operating system             | `software`          |
| HAMMERTOSS           | Malware       | category=backdoor                         | `malware`           |
| Twitter              | Platform      | role=c2_channel                           | `infrastructure`    |
| Palo Alto Networks   | Organization  | role=vendor                               | `identity`          |

**关系层**（9 条边）：`targets`、`attributedTo`、`exploits`×2、`affects`×2、`uses`、`usesChannel`、`develops`。

**属性层**：`origin`、`sponsorship`、`role`、`severity`、`kind`、`category`、`cveId`，以及溯源属性 `sourceDoc` / `confidence`。

归纳出本体骨架：**7 个实体类型 + 7 个关系类型**——这就是第 1 篇说的"图纸"。

---

## 第二遍：速览层——JSON 和 Cypher 先把图画出来

**JSON**（结构化，但无语义约束）：

```json
{
  "entities": [
    { "id": "APT29", "type": "ThreatActor", "properties": { "origin": "Russia", "sponsorship": "state-sponsored" } },
    { "id": "CVE-2024-3400", "type": "Vulnerability", "properties": { "cveId": "CVE-2024-3400", "severity": "critical" } }
  ],
  "relations": [
    { "source": "APT29", "type": "exploits", "target": "CVE-2024-3400" },
    { "source": "CVE-2024-3400", "type": "affects", "target": "PAN-OS" }
  ]
}
```

**Cypher**（Neo4j 属性图，注意关系方向与本体定义一致）：

```cypher
CREATE (a:ThreatActor   {name:'APT29', origin:'Russia', sponsorship:'state-sponsored'})
CREATE (v1:Vulnerability {cveId:'CVE-2024-3400', severity:'critical'})
CREATE (p:Product       {name:'PAN-OS', kind:'network operating system'})
CREATE (pa:Organization {name:'Palo Alto Networks', role:'vendor'})
CREATE (a)-[:EXPLOITS]->(v1)-[:AFFECTS]->(p)
CREATE (pa)-[:DEVELOPS]->(p)          // Palo Alto 开发 PAN-OS
```

> ⚠️ **方向坑**：Cypher 的 `DEVELOPS` 方向必须与本体定义一致（`Organization DEVELOPS Product`）。多篇文章里出现过查询把方向写反导致"查无结果"的 bug——这是属性图没有类型约束的通病，正式建模请往下看。

JSON 和 Cypher 能快速把图画出来，但**不约束语义**——类型写错、漏字段、方向写反都不报错。上生产，需要第三遍。

---

## 第三遍：精读层——OWL + RDF + SHACL 三层正式建模

### 第 1 层：OWL 本体（Schema）

```turtle
@prefix cti: <https://cti.example.org/> .
@prefix owl: <http://www.w3.org/2002/07/owl#> .
@prefix rdfs: <http://www.w3.org/2000/01/rdf-schema#> .

# 类与层级
cti:ThreatActor    a owl:Class .
cti:Malware        a owl:Class .
cti:Backdoor       a owl:Class ; rdfs:subClassOf cti:Malware .    # 后门 ⊑ 恶意软件
cti:MalwareFamily  a owl:Class ; rdfs:subClassOf cti:Malware .
cti:Vulnerability  a owl:Class .
cti:Product        a owl:Class .
cti:Organization   a owl:Class .
cti:Country        a owl:Class ; rdfs:subClassOf cti:Organization .

# 对象属性（domain/range 约束 + 逆属性）
cti:exploits    a owl:ObjectProperty ;
                rdfs:domain cti:ThreatActor ; rdfs:range cti:Vulnerability ;
                owl:inverseOf cti:exploitedBy .
cti:developedBy a owl:ObjectProperty ;
                rdfs:domain cti:Product ; rdfs:range cti:Organization .
cti:usesChannel a owl:ObjectProperty ;
                rdfs:domain cti:Malware ; rdfs:range cti:Platform .
```

### 第 2 层：RDF 实例（ABox）

```turtle
cti:APT29  a cti:ThreatActor ; rdfs:label "APT29" ;
    cti:attributedTo cti:Russia ;
    cti:targets      cti:NATO ;
    cti:uses         cti:HAMMERTOSS ;
    cti:exploits     cti:CVE-2024-3400 , cti:CVE-2024-3401 .

cti:CVE-2024-3400  a cti:Vulnerability ;
    cti:cveId "CVE-2024-3400" ; cti:affects cti:PAN-OS ;
    cti:hasSeverity cti:Critical .

cti:PAN-OS  a cti:Product ; rdfs:label "PAN-OS" ;
    cti:developedBy cti:PaloAltoNetworks .

cti:HAMMERTOSS  a cti:Backdoor , cti:MalwareFamily ;
    cti:implements  cti:C2 ; cti:usesChannel cti:Twitter .
```

### 第 3 层：SHACL 形状（质量门禁）

```turtle
@prefix sh: <http://www.w3.org/ns/shacl#> .

cti:VulnerabilityShape  a sh:NodeShape ;
    sh:targetClass cti:Vulnerability ;
    sh:property [ sh:path cti:cveId ; sh:minCount 1 ; sh:maxCount 1 ;
                  sh:pattern "^CVE-\\d{4}-\\d+$" ] ;          # cveId 必须合规
    sh:property [ sh:path cti:affects ; sh:minCount 1 ;
                  sh:class cti:Product ] .                    # 必须有影响面

cti:ThreatActorShape  a sh:NodeShape ;
    sh:targetClass cti:ThreatActor ;
    sh:property [ sh:path cti:attributedTo ; sh:minCount 1 ; sh:class cti:Country ] ;
    sh:property [ sh:path cti:uses ; sh:minCount 1 ; sh:class cti:Malware ] .
```

---

## 关键：推理联动，让校验和模型不打架

`ThreatActorShape` 要求 `uses` 的客体是 `Malware`，而实例里 HAMMERTOSS 声明的是 `Backdoor` 和 `MalwareFamily`，**没直接写 `a Malware`**——校验会失败吗？不会，推理机先干活了：

```
Backdoor ⊑ Malware，MalwareFamily ⊑ Malware
⟹ 推理机推出：HAMMERTOSS a Malware
⟹ ThreatActorShape 校验通过
```

这就是第 2 篇"**先推理、再 SHACL**"的实战意义。同理 `owl:inverseOf` 自动补全 `exploits ⟷ exploitedBy`，少写一半边。

![03-图谱示例图.png](https://developer.qcloudimg.com/http-save/yehe-11479707/088e40a9fe1e5cd224f9a45aa04b402b.png)

**成品公式**：图谱 = OWL（Schema 图纸）＋ RDF 实例（ABox 血肉）＋ SHACL 校验（质量门禁）。

---

## 对齐行业标准：STIX 2.1 与 MITRE ATT\&CK

前面表格已经标注了类与 STIX 对象的对应关系。真正落地时，建议直接用 STIX 2.1 的 JSON 数据源：

- MITRE 官方发布 `enterprise-attack.json` / `mobile-attack.json` / `ics-attack.json`（STIX 2.1 格式），包含 ATT\&CK 全部对象
- 用 `stix2` Python 库解析，把 STIX Domain Object（SDO）+ STIX Relationship Object（SRO）映射成三元组导入图谱
- ATT\&CK 的五大对象（攻击组织 / 软件 / 技术 / 战术 / 缓解措施）之间的 `uses`、`attributed-to`、`mitigates` 关系，天然就是图谱的边

STIX 2.1 的 `relationship` 对象让 APT 组织的攻击链可以整体导入图谱：比如 APT29 的 STIX bundle 里，`threat-actor` → `uses` → `malware` → `implements` → `attack-pattern`（T1059 等）→ `targets` → `identity`。**你建的图谱越贴近 STIX，就越能直接吸收 ATT\&CK 这种"官方图谱"，站在行业肩膀上。**

---

## 工程坑：实体消解（Entity Resolution）是隐藏瓶颈

从非结构化文本抽三元组，"同名异写"是最大的坑：

- `JPMorgan Chase`、`JP Morgan`、`JPMC` 是同一个实体
- 真实案例：某 GraphRAG 项目从 1,028 篇论文抽取 **390,864 条原始三元组**，经实体消解收敛为 **36,757 个规范实体**——**90% 的噪声来自实体指称不一致**
- CTI 场景同样如此：`APT29`、`Cozy Bear`、`Midnight Blizzard`、`SVR` 是同一个威胁组织

**工程建议**：

1. 抽取后必做**实体对齐/规范化**（别名表 + embedding 相似度聚类）
2. 用 `owl:sameAs` 连接同实体不同 IRI（跨源融合的关键）
3. 实体消解质量直接影响图谱查询准确率——宁可慢，不可脏（第 5 篇的 G4 质量抽测就是为此）

---

## 本篇小结

1. **建模三抽**：实体层、关系层、属性层——5 句情报抽出 9 实体 9 关系
2. **两种速览表示**：JSON（结构化）、Cypher（属性图）——快，但不约束语义
3. **三种正式表示**：OWL 定义规矩 → RDF 填实例 → SHACL 卡质量
4. **推理联动**：子类蕴含 + 逆属性自动补全，声明最小化、推理最大化
5. **对齐标准**：STIX 2.1 + ATT\&CK，图谱能直接吸收官方威胁知识
6. **实体消解**：图谱构建的头号隐藏瓶颈，90% 噪声来自指称不一致

---

## 参考资料

- [MITRE ATT\&CK 官方 STIX 2.1 数据集（enterprise/mobile/ics-attack.json）](https://github.com/mitre/cti)
- [eccenca 教程：从 STIX 2.1 数据构建知识图谱](https://documentation.eccenca.com/latest/build/tutorial-how-to-link-ids-to-osint/lift-data-from-STIX-2.1-data-of-mitre-attack/)
- [Enhancing Threat Intelligence with the MITRE ATT\&CK Framework（Nozomi）](https://nozominetworks.com/blog/enhancing-threat-intelligence-with-the-mitre-attck-framework)
- [Knowledge Graphs for AI Agents（实体消解案例数据）](https://swarmsignal.net/knowledge-graphs-for-ai-agents)

---


威胁情报（CTI）是知识图谱最"硬核"的落地场景之一：数据来自多源（报告、漏洞库、厂商公告、OSINT）、实体关系密集、分析问题天然是多跳关系型。MITRE ATT\&CK 2026 版已收录 200+ 攻击技术、14 个战术，跨 Enterprise  Mobile  ICS 三个领域；Verizon 2025 数据泄露报告显示 68% 的入侵涉及已知 TTP——这意味着威胁情报本质上就是一个巨大的"已知关系网络"，正适合图谱承载。

知识图谱实战：从 5 条威胁情报到一张知识图谱（附完整建模代码）

从 5 条威胁情报到一张知识图谱

运维开发工程师

人工智能

大数据

安全

威胁情报与知识图谱结合展现强大分析能力：通过STIX2.1标准对齐MITRE ATT&CK，实现多源异构数据的结构化建模与推理查询。该方案将5条原始情报转化为9实体、9关系的可校验图谱，支持多跳关联分析和实体消解，显著提升威胁狩猎效率。适合企业安全团队构建可扩展、可推理的威胁情报知识库。

威胁情报

知识图谱

数据泄露

代码解释

JSON

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

知识图谱实战：从 5 条威胁情报到一张知识图谱（附完整建模代码）-腾讯云开发者社区-腾讯云

知识图谱实战：从 5 条威胁情报到一张知识图谱（附完整建模代码）

知识图谱实战：从 5 条威胁情报到一张知识图谱（附完整建模代码）

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐