一文读懂｜关于 OpenText Threat Intelligence 常见问题的解答

OpenText Threat Intelligence 是业界领先的全球集成式威胁情报与网页分类系统。该平台服务约150家集成合作伙伴，通过互联网级数据采集，覆盖 IP 地址、URL、域名及文件型威胁监测。OpenText 率先将机器学习技术应用于全网内容分类，OpenText Threat Intelligence 每日为数亿互联网用户提供防护，使其免受网络威胁及非法不良内容的侵害。

以下是有关 OpenText Threat Intelligence 的常见问题解答，助您了解该产品的领先优势与操作方法。

将 OpenText™ Threat Intelligence 的功能嵌入到安全、网络或其他解决方案中，可以显著提升产品价值，无需合作伙伴重新构建新技术能力或投入大量集成开发成本。这些服务旨在为嵌入式安全合作伙伴提供：

得益于其云服务模式，该方案可覆盖从最小型设备到最大规模系统的全场景部署，无论是远程办公点还是企业数据中心，OpenText OpenText Threat Intelligence均具备足够的灵活性，能够满足几乎所有类型的客户需求。

OpenText Threat Intelligence 的数据来自数百万个来源，包括实际终端设备与合作伙伴系统。

系统会对 URL、IP 地址、文件、移动 App 等不同数据点进行关联，利用 “关联罪证（guilt-by-association）” 模型预测可能出现的威胁。

合作伙伴可以自由选择最适合其产品的集成方式。OpenText 提供灵活的定价模型以满足合作伙伴的商业需求。

整合 OpenText Threat Intelligence 可带来多项好处：

集成通常可以通过快速、轻量的开发周期完成。典型开发周期约为 1–4 人月（开发+QA），取决于合作伙伴策略引擎、报告系统及管理控制台的复杂程度。我们提供参考平台、性能指标与测试服务作为开发指导。

OpenText 会定期发布新版本，包含 Threat Intelligence SDK 与 Streaming Malware Detection SDK 的最新功能与增强。

旧版本仍会持续支持，但建议使用最新版本以获得最佳性能。值得注意的是：Streaming Malware Detection SDK 的更新可能需要额外系统资源。

完整的 SDK / API 使用说明（含示例请求与返回格式）会提供给嵌入式合作伙伴或潜在合作伙伴（需签署 NDA）。

IP Reputation 服务可通过 RESTful API 和 OpenText Threat Intelligence SDK 进行使用。我们建议的集成方式是每日下载一份会动态更新的黑名单 IP 列表，并通过 API 调用获取更多上下文情报，例如地理位置数据与威胁历史记录。IP 威胁类别包括：Spam Sources、Windows Exploits、Web Attacks、BotNets、Scanners、Denial of Service、Reputation、Phishing、Proxy、Mobile Threats，以及 TOR Proxy。

SDK 会被配置为每日下载一份包含恶意 IP 地址的本地数据库，更新频率可由集成该技术的合作伙伴自行设定。本地数据库的大小通常为 20–40MB，实时更新文件则小得多。

该服务旨在防护公网（Public IPs）的入站威胁，不适用于内部或 intranet 网络的 IP 保护。

由于 IP 地址与威胁态势变化非常快速，我们建议每 5 分钟检查一次更新，以补充每日基础数据库文件。

OpenText Threat Intelligence SDK 通过使用本地数据库，减少对云端的调用，从而显著降低延迟。此外，我们在全球范围内部署了分布式服务器集群，使 API 响应时间保持在非常低的毫秒级（具体取决于网络速度及其他环境因素）。

Real-Time Anti-Phishing 服务可通过 RESTful API 使用。API 调用可采用同步或异步方式：

• 同步调用：当请求中的所有 URL 都已被爬取并完成判定后，返回完整结果。

• 异步调用：采用工单机制，在查询时返回已爬取并完成判定的 URL 信息。

此外，OpenText Threat Intelligence SDK 也可部署，用于自动缓存云端查询结果。

我们建议在以下场景中通过客户端应用（如浏览器或终端）调用 Real-Time Anti-Phishing 服务：

• 邮件安全扫描流程中

• 批处理任务的一部分

Real-Time Anti-Phishing 服务会在请求时对 URL 进行实时判定，因此无需更新本地数据即可使用。

由于该服务依赖对目标网站的实时爬取与分析，通常会有数秒的延迟，以便收集 URL 所需的信息。在特定条件下，系统可根据参数设置，对缓存数据进行判定，从而减少延迟。

Streaming Malware Detection 以预编译 SDK 的方式提供，兼容大多数 Linux® 发行版以及受支持版本的 Microsoft® Windows®。

Streaming Malware Detection 通常部署在网络边缘设备上，作为第一层防御的一部分。它能够在文件传输过程中直接给出 Good、Bad 或 Unknown 的判断，文件无需完全下载即可被分析。如需使用额外变量，请参考相关文档。

我们建议每天至少为 SDK 下载一次最新的机器学习模型，以确保能够防护最新威胁。

在许多情况下，SDK 在文件尚未完全下载前即可完成分析并做出判断。分析通常耗时为毫秒级，具体取决于文件大小与完成判定所需的数据量。

File Reputation 服务可通过 RESTful API 或 OpenText Threat Intelligence SDK 调用。

File Reputation 通常用于实时检测“已知良性”或“已知恶意”文件。由于没有本地数据库，所有查询均通过云端完成；不过 OpenText Threat Intelligence SDK 可用于自动缓存云查询结果，以提升性能。

该服务完全依赖云端查询，因此嵌入式安全合作伙伴无需进行任何本地更新。

在正常网络条件下，API 响应通常为毫秒级。该 API 每次调用最多支持 100 个文件哈希的批量查询。