YD/T 6002-2024 标准解读
一、核心指标体系梳理
| 指标类别 | 量化名称 | 阈值参数 | 限定条件 |
|---|
| 数据结构层 | 本体模式覆盖率 | ≥98.5% | 涵盖攻击链、资产清单、漏洞库三类核心域 |
| 数据集成层 | 多源实体融合一致率 | ≥96.0% | 基于同源IP与证书指纹交叉验证 |
| 推理计算层 | 关系推演召回率 | ≥93.5% | 针对已知ATT&CK战术阶段映射测试集 |
| 系统性能层 | 增量图谱更新延迟 | ≤300s | 在日均百万级边变更负载下测算 |
| 系统性能层 | 子图查询响应时间 | ≤500ms | 遍历深度不大于三级节点 |
二、关键参数精准释义
- 本体模式覆盖率：指标准定义的威胁情报Schema节点与属性在实际图谱中实例化的比例。测算口径采用标准化词表匹配算法，判定依据为是否通过YD/T系列元数据规范校验。
- 多源实体融合一致率：表征异构日志、探针数据与外部情报源的实体去重与归一化效能。测算口径采用图数据库原生哈希比对函数，判定依据为同一物理对象标识符的唯一性约束满足度。
- 关系推演召回率：衡量隐含安全关联路径的挖掘完备程度。测算口径基于有向边的路径存在性验证，判定依据为与基准测试集中标注的真实攻击轨迹重合数量占总样本量的比值。
- 增量图谱更新延迟：反映实时数据接入至图谱拓扑生效的时间差。测算口径记录数据流入Timestamp与图状态Commit Timestamp之差，判定依据为事务提交成功且索引重建完成时刻。
三、参数合格区间界定
- 本体模式覆盖率合格区间设定为[98.5%，100%]。临界值触及97.0%时触发一级告警，低于95.0%判定为不合格，需重置知识抽取流水线。
- 多源实体融合一致率合格区间为[96.0%，100%]。区间下限[96.0%，97.0%)视为预警区，要求启动人工复核流程。低于95.0%判定数据清洗模块失效。
- 关系推演召回率合格区间锚定[93.5%，98.0%]。当置信度评分均值跌破0.85阈值或召回率跌落92.0%时，判定推理引擎参数失调，需重新校准权重矩阵。
- 系统性能层参数实行分级管控。增量更新延迟容忍阈为[300s，450s]，超限即判定为资源调度瓶颈。查询响应时间在并发量高于五千QPS时需维持≤800ms，否则判定为索引碎片化超标。
四、参数管控实操建议
- 日常监控部署自动化采集探针，以五分钟为粒度抓取图数据库执行计划与内存占用。建立指标基线档案，采用滑动窗口法剔除异常波动干扰。
- 数据统计执行双轨校验机制。底层采用时序数据库归档原始遥测值，上层通过聚合脚本生成日/周维度合规报告。偏差分析聚焦特征漂移指数与采样分布偏移率。
- 偏差修正实施闭环处置。检测到指标越限时，优先执行索引重组与缓存驱逐操作。若连续三次迭代仍无法回归合格区间，强制冻结写入流，切换至离线训练集群进行模型热更新，验证通过后回写生产环境并保留操作审计日志。