05 Incident News Intelligence - jiale-li-orion/SecFusionAgent GitHub Wiki
05 Incident / News Intelligence
English | 中文
本文补充 01-Data-Sources-and-Processing 中未单独展开的 Incident / News Watch。它处理现实世界中突然出现、持续演化、初始证据不完整的安全事件：攻击、被盗、数据泄露、供应链事故、在野利用、资金转移、服务中断和后续应急响应。
Incident Intelligence 与 Bug Stream、Insight Watch 使用同一来源、证据与来源链路契约，但数据生命周期不同。News 的价值首先来自 发现事件和追踪变化，技术事实要在 primary / forensic / authoritative 证据出现后才能晋级；重复转载本身不增加证据强度。
Information role
Incident Watch 的输入按 source role 管理，而不是把所有媒体当成同等级知识源：
| Source role | 解决的问题 | 典型内容 | 对 claim 的作用 |
|---|---|---|---|
signal |
有什么可能正在发生 | 快讯、新闻、研究员披露、链上告警 | 触发发现与 follow-up |
telemetry |
现实状态是否变化 | transaction、address movement、IOC、status/telemetry | 支撑带时间边界的观测 |
primary |
受影响方实际确认了什么 | 项目/厂商公告、security/status page、GitHub advisory/发布 | 高权威事实来源 |
forensic |
攻击怎样发生、影响怎样扩散 | IR、链上/链下分析、技术复盘 | 支撑 root cause、attack path、impact |
authority |
官方如何定义威胁与应对 | CISA/CERT/CC 等 alert/advisory | 支撑 threat/mitigation/known exploitation |
reference |
背景、趋势与二次整理 | 行业媒体、月报、专题 | 发现与 context，不单独提升 technical 权威 |
每个 SourceDefinition 记录 source_role、source_family 和 upstream_source。例如“BlockBeats 据 Lookonchain 监测”中，BlockBeats 是发布 source，Lookonchain 是 cited/upstream source；两篇媒体同时转述同一个 Lookonchain 信号时，corroboration count 仍然是一个独立上游来源。
First-batch monitoring sources
以下来源都服务于 01 的产品 incidents coverage；表内 source_role 与 retention_mode 对齐可执行 SourceDefinition，都是单值字段。一个 provider 同时承担 breaking、forensic、reference 等不同生命周期时，通过不同 source stream 或 promotion 表达，不在单个字段里写复合 mode。接入方式只写已确认的公开能力；动态/高风险 provider 的时点 reachability 由 module README 与本地决策记录维护。
Web3 breaking and timeline
| Source | source_role |
Access baseline | 价值 | retention_mode |
|---|---|---|---|---|
| BlockBeats 快讯 | signal |
公开快讯 Web 页面 | 中文 Web3 高频快讯、链上侦探转述、项目公告转述；适合早发现 | incident_signal |
| Foresight News Timeline | signal |
公开 Timeline 页面 | 同一事件持续追加节点，适合时间线 watch | incident_signal |
| The Block Exploits | signal |
公开标签/list 页面 | 全球 Web3 exploit、协议/交易所安全事件、后续资金和处置动态 | incident_signal |
BlockBeats 与 Foresight News 适合发现中文 Web3 事件；The Block 补充英文全球 coverage。三者均属于 secondary 信号，技术结论继续回溯原始项目方、链上数据或 security vendor。
On-chain and independent signals
| Source | source_role |
Access baseline | 价值 | retention_mode |
|---|---|---|---|---|
| Lookonchain | telemetry |
社交平台公开披露 | attacker / whale address、token movement、资金兑换与跨链转移 | incident_signal |
| PeckShieldAlert | telemetry |
社交平台公开披露 | exploit alert、损失估算、资金路径、事件月度统计 | incident_signal |
| ZachXBT | signal |
社交平台公开披露 | 独立调查、地址关联、诈骗/攻击者线索 | incident_signal |
这一层发现速度很快，但平台接入稳定性和自动化权限会变化，因此它保持为 signal path 之一，不成为唯一监测链。链上结论能直接回到 transaction / address 时，最终证据优先引用链上对象或后续 forensic report。
Web3 forensic and incident databases
| Source | source_role |
Access baseline | 价值 | retention_mode |
|---|---|---|---|---|
| CertiK Incident Analysis | forensic |
公开 Incident Analysis 页面 | 独立事件复盘，包含漏洞机制、攻击路径、损失与后续 | durable_managed |
| CertiK Security Dashboard | reference |
公开 dashboard | 事件统计、损失、月度重大事件，可用于事件发现与评测集抽样 | durable_managed |
| SlowMist Hacked / SlowMist | forensic |
官方公开 Hacked/事件材料 | Web3 攻击事件库、应急响应、链上/链下分析、资金追踪 | incident_signal |
| SlowMist Reports | forensic |
公开报告 / PDF | 半年/年度事件统计、攻击类型与损失，用于长期趋势和 case sampling | durable_managed |
| Cyvers | forensic |
公开安全产品/研究内容 | Web3 security monitoring、事件/资金流分析 | durable_managed |
| Chainalysis | forensic |
公开研究/博客 | 资金追踪、攻击/犯罪模式、跨事件关联与 post-incident analysis | durable_managed |
General cybersecurity breaking news
| Source | source_role |
Access baseline | 价值 | retention_mode |
|---|---|---|---|---|
| BleepingComputer | signal |
RSS / Web | 数据泄露、ransomware、zero-day、供应链和厂商安全事件 | incident_signal |
| SecurityWeek | signal |
公开栏目/list 页面 | breach、ransomware、ICS/OT、供应链、企业安全事故 | incident_signal |
通用 cyber breaking coverage 保持小而异质的来源组合；BleepingComputer 是稳定 RSS/Web signal source 之一，新增媒体按 source diversity 与 coverage 决定，不以适配器数量为目标。
Threat intelligence and incident response research
| Source | source_role |
Access baseline | 价值 | retention_mode |
|---|---|---|---|---|
| Google Threat Intelligence / Mandiant | forensic |
公开 blog/index | incident investigation、campaign、TTP、供应链、AI 安全现实攻击 | durable_managed |
| Unit 42 | forensic |
公开 research index | high-profile threats、IR、active exploitation、AI/身份/supply-chain investigation | durable_managed |
| Cisco Talos Blog | forensic |
公开 blog/newsletter | threat research、campaign、malware、vulnerability exploitation | durable_managed |
这类来源更新速度通常慢于 breaking news，但技术密度高。它们既可以把 Incident 从“发生了”富化到“怎样发生”，也可能在事件结束后进入 Insight Corpus。
Primary and authoritative confirmation
| Source | source_role |
Access baseline | 价值 | retention_mode |
|---|---|---|---|---|
| 受影响项目/厂商 security blog、status page、incident report | primary |
动态发现后形成 managed-content source stream | 影响范围、处置、恢复、官方时间线 | durable_managed |
| GitHub security advisory / issue / release / commit | primary |
GitHub API/Git | fix、affected version、patch、公开 technical response | selective_index |
| CISA Cybersecurity Alerts & Advisories | authority |
公开 advisory list | ongoing/high-impact threats、known exploitation、IOC/TTP、mitigation | durable_managed |
| CERT/CC 及国家/行业 CERT | authority |
Web/feed 按具体 source 探针 | coordinated disclosure、alert、应急与 mitigation | durable_managed |
Primary source 的 URL 往往要在事件发生以后动态发现，因此它既是 source registry 的长期 provider family，也是 M3/M5 follow-up 时生成的动态 source target。
Incident 生命周期
News/Incident 的数据生命周期分成信号、candidate、已晋升 incident 三层：
breaking / telemetry / researcher signal
-> SignalItem (short TTL)
-> anchor extraction
-> IncidentCandidate cluster
-> source follow-up / timeline watch
-> promotion decision
-> SecurityIncident + durable evidence
-> enrichment / investigation
-> resolved / postmortem
-> Insight + Experience
SignalItem
SignalItem 是短生命周期监测对象，保留：
source_id
source_role
source_family
upstream_source
published_at / observed_at
url
content_hash
title / summary
entity_hints
anchors
incident_candidate_id
Web3 anchors 优先使用 project、chain、token、address、tx hash、amount 与时间窗；通用 cyber anchors 优先使用 organization、product、domain/IP、CVE/GHSA、threat actor、campaign 与时间窗。
IncidentCandidate
IncidentCandidate 表示“多个信号可能属于同一现实事件”。它维护：
cluster_id
candidate_type
anchor_set
source_diversity
independent_source_count
watch_priority
next_poll_at
last_material_change
unresolved_questions
promotion_state
聚类先使用 deterministic anchor，semantic similarity补充弱身份。upstream_source 用于识别转载依赖，防止十篇同源报道被计算成十个独立 confirmation。
晋升
满足以下任一条件时，可以进入 durable SecurityIncident：
- 受影响项目/厂商或权威 source确认；
- 两个以上真正独立来源围绕同一可验证 anchor形成 corroboration；
- 有 transaction、IOC、GitHub advisory/patch 等直接证据；
- 事件需要持续 M4/M5 investigation 或用户查询；
- analyst / 评测集 pin。
晋升时固定真正支撑 claim/时间线的 source 版本。之后每条新闻继续先走 SignalItem；产生 material change 的节点再进入 durable 时间线。
Incident timeline and enrichment
Durable Incident 的时间线使用 append-only event：
incident_id
event_time
observed_at
event_type
summary
claim_refs
evidence_refs
source_role
supersedes / corrects
事件后续 enrichment 重点包括：
- 受影响对象、产品、repo、package、version；
- exploit / vulnerability / patch / fix commit；
- threat actor / campaign / IOC；
- Web3 address / transaction / fund flow；
- 影响金额、用户/资产范围与状态修订；
- mitigation、recovery、fund freeze/return；
- source conflict、未确认 root cause 与 attribution；
- postmortem 与长期安全洞察。
M4 将时间线与证据组织成 confirmed / conflict / unknown；M5 可以针对 unresolved question主动补 source；事件结束后的调查 trajectory进入 Experience Evolution。
Coverage composition 与 source acceptance
Incident Watch 的 source portfolio 追求角色互补，不以 source 数量本身作为质量目标。当前稳定 coverage 组合包括：中文 Web3 breaking/timeline、通用 cyber breaking、Web3 forensic、authority/primary confirmation、独立 threat-intelligence research，以及按需 telemetry/researcher signal。一个事件通常从 signal 进入，再由 forensic/primary/authority/direct evidence 提升事实强度。
每个进入 inventory 的 Incident source 都需要固定：access owner、单一 source_role、source_family / upstream_source 语义、单一 retention_mode、time/identity semantics、fixture、dedup/source-independence test，以及对应 downstream consumer。动态 source family 可以在事件后解析具体目标，但 dynamic resolution 本身不增加 source-category coverage。
source portfolio 的可达性会随网络、反爬、凭据和 rate limit 变化；这些时点状态通过 live probe / 工程记录维护，不从 05 的稳定 lifecycle contract 中推导。
Runtime contract
Incident source onboarding 遵守 01 的 Source Definition / monitoring runtime 分离：source_role 表达 signal/telemetry/primary/forensic/authority/reference 的单一主要作用，retention_mode 选择单一 processing path。一个来源同时产生短期 signal 和长期 forensic material 时，使用不同 source stream；从 signal 到 durable Incident 使用 promotion，而不是给同一 SourceDefinition 写两个 retention mode。
incident_signal path 固定为 SignalItem → deterministic anchor extraction → IncidentCandidate → promotion。达到 promotion 条件后形成 durable SecurityIncident，后续 material signal 继续追加 incident revision、timeline、source link 与 evidence；完全重复输入保持 replay。durable_managed forensic/authority/primary 文档先进入 Managed Content + EvidenceIngress，再作为 Incident enrichment/evidence 消费。
转载依赖通过 source_family / upstream_source 保留，independent corroboration 按独立上游来源围绕同一 strong anchor 计算。live reachability、反爬、地区网络、凭据、限流和 provider fallback 属于运行/工程状态，不改变 Incident taxonomy、source role 或 lifecycle contract；历史探针与实现决策保留在本地 Wiki 决策记录。
动态 project/vendor/GitHub follow-up 的目标发现属于后续 M4/M5 调查；一旦需要读取新外部内容，仍重新进入 Acquisition + Evidence boundary，不能从 Agent/tool output 直接写成 Incident fact。