Synthetic Exercise World Format

Synthetic Exercise World Format 提供了一个中立且可重复使用的参考环境，用于网络威胁情报演练、训练场景和文档。它包含虚构的国家、组织、部门、基础设施和威胁行为者，使参与者能够讨论现实的CTI概念，而无需引用真实的地缘政治情况、真实受害者或真实对手，从而帮助培训师、分析师和标准机构专注于信息结构、质量和互操作性。Synthetic Exercise World Format provides a neutral and reusable reference environment for cyber threat intelligence (CTI) exercises, training scenarios, and documentation. It contains fictional countries, organizations, departments, infrastructure, and threat actors, allowing participants to discuss realistic CTI concepts without referencing real geopolitical situations, actual victims, or real adversaries, thereby helping trainers, analysts, and standards bodies focus on information structure, quality, and interoperability.

原始信息汇总

数据集概述

Synthetic Exercise World Format 是一个为网络威胁情报（CTI）演练、培训、文档编制和标准制定而设计的虚构世界数据集。它通过提供中立的、可复用的参考环境，帮助参与者在讨论CTI概念时避免涉及真实地缘政治、受害者或对手，从而聚焦于信息结构、质量和互操作性。

核心价值

• 政治中立性：使用虚构国家、组织和威胁行为体，避免因真实案例引发的偏见、敏感或争议。
• 一致性与可复用性：统一的虚构实体可在多个工具和格式中重复使用，便于比较实现、验证解析器和测试数据模型。
• 安全性：支持设计跨域事件、供应链攻击等真实场景，同时不暴露敏感信息，降低参与门槛。

数据模型与格式

数据集遵循 MISP galaxy 标准结构，以单个 JSON 对象提供，兼容支持 MISP galaxy 的平台。JSON 包含文档级字段（如 name, type, uuid, version, description）和可复用的 values[] 列表，每个列表条目包含 value, uuid, description, meta 字段。

• JSON 源文件：exercise-world.json

实体家族

实体类型	数量	主要元数据字段	用途
国家 (Country)	10	entity-type, planet, capital, geography, exercise-use	提供虚构地缘政治背景
公司 (Company)	30	entity-type, planet, headquarters, sector, exercise-use	提供虚构受害者、供应商等
威胁行为体 (Threat Actor)	20	entity-type, planet, origin, primary-motivation, sophistication, exercise-use	提供非真实行为体用于培训

元数据关系

• company.meta.headquarters == country.value
• threat-actor.meta.origin == country.value
• 所有 meta.planet 值均为 "Nacre"

这种设计允许工具按虚构国家分组公司和威胁行为体，而无需依赖真实地缘政治参考。

国家概览

国家	首都	地理特征	代表行业	公司数	威胁行为体数
Asterin Union	Asterin Prime	北方超级大陆	能源	3	2
Velkar Republic	Velkar Prime	内陆工业盆地	金融	3	2
Orinthia	Orinthia Prime	研究枢纽群岛	医疗	3	2
Caelum Protectorate	Caelum Prime	高海拔高原	电信	3	2
Neruva Federation	Neruva Prime	三角洲特大城市与港口	航空航天	3	2
Thyros Commonwealth	Thyros Prime	资源丰富草原	物流	3	2
Ilyndor	Ilyndor Prime	中立贸易走廊	制造业	3	2
Brinax Collective	Brinax Prime	能源网格合作州	海运	3	2
Soreth Dominion	Soreth Prime	极地物流国	食品	3	2
Quenari League	Quenari Prime	赤道农业技术联盟	媒体	3	2

地图与地理信息

数据集附带虚构行星 Nacre 的地图，用于规划中立的网络演练。地图包含国家、首都、地理特征及邻接关系，并提供了多种演练场景思路。

• 官方地图：
• 无标签地图：

许可与贡献

• 许可证：Creative Commons Attribution 4.0 International License (CC BY 4.0)
• 贡献方式：通过 GitHub 仓库 MISP/Synthetic-Exercise-World-Format 提交 Issue 或 Pull Request。

搜集汇总

数据集介绍

构建方式

Synthetic Exercise World Format 数据集以单一 JSON 对象形式构建，遵循 MISP galaxy 标准结构，包含 document-level 字段（如 name、type、uuid、version、description）及可复用的 values[] 列表。每个 values[] 条目均具备 value、uuid、description 和 meta 字段，其中 meta 字段通过 entity-type、planet、capital、geography、exercise-use 等属性定义实体关系。数据集共构建 10 个虚构国家、30 家企业和 20 个威胁行为体，通过 company.meta.headquarters 与 country.value、threat-actor.meta.origin 与 country.value 的关联实现元数据链接，所有实体均统一设定 planet 为“Nacre”，确保虚构世界的内部一致性。

特点

该数据集的核心特点在于其政治中立性与可复用性。通过虚构国家、企业、行业与威胁行为体，避免了真实世界引用可能引发的偏见、外交敏感或法律争议，特别适合跨司法管辖区和社区的 CTI 演习、标准文档及培训场景。数据集内置了地理关系（如邻国规划）与行业对应关系（如 Asterin Union 关联能源行业），支持跨边界基础设施级联、供应链演练、公共通信影响等复杂场景设计。此外，其兼容 MISP galaxy 格式，可直接加载至已有工具平台，无需自定义解析器，降低了集成门槛。

使用方法

使用者可直接从 GitHub 仓库获取 JSON 文件，将其载入支持 MISP galaxy 的 CTI 平台（如 MISP），在演习、文档编写或测试中引用虚构实体。数据集支持多种应用方式：通过 country、company、threat-actor 元数据按国家、行业或动机筛选实体；利用邻国关系表设计跨域事件场景；结合 exercise-use 字段定制训练脚本。亦可依据 CC BY 4.0 协议修改或扩展数据集，通过 GitHub Issue 或 Pull Request 提交新实体、地图或文档，促进社区共享与标准化。

背景与挑战

背景概述

在网络威胁情报（CTI）领域，训练、演练和标准制定常因引用真实地理政治实体而引入偏见、法律争议或参与障碍。为应对这一困境，MISP社区于近年来构建了Synthetic Exercise World Format（合成演练世界格式）数据集。该数据集由MISP核心团队主导开发，核心研究人员针对CTI演练中缺乏中立、可复用的参考环境这一痛点，设计了一个包含10个虚构国家、30家企业和20个威胁行为体的完整虚构世界。通过将CTI概念剥离真实政治敏感性，该数据集为跨司法管辖区和社区的标准化文档、测试用例及演练场景提供了安全统一的基线，显著提升了CTI工具与格式的互操作性和采纳范围。

当前挑战

该数据集核心挑战在于平衡虚构环境的真实感与政治中立性：过度简化的实体可能削弱演练价值，而过于细节化的设定又可能无意映射现实局势。构建过程中，设计团队面临多重困难，包括确保10个国家的产业分布、地理关系与企业威胁矩阵的逻辑自洽性，在JSON结构内封装跨实体元数据关联（如公司总部与国家的映射），以及维持20个威胁行为体的动机、复杂度与归属地域的多样性，同时避免与真实APT组织产生关联。此外，如何使数据集兼容MISP Galaxy标准格式以降低集成门槛，并在无现实坐标参考下设计出可用于规划跨境基础设施连锁故障等场景的可视化地图，亦是重大技术挑战。

常用场景

经典使用场景

在网络安全演习与威胁情报标准化领域，Synthetic Exercise World Format最经典的使用场景是为多国联合网络演习提供一个完全中立、可复用的虚构世界参照环境。通过构建包含10个虚构国家、30家企业和20个威胁行为体的完整生态，演习参与者可以围绕能源、金融、医疗、电信等关键基础设施行业设计跨境攻击、供应链中断、漏洞披露等复杂场景，而无需涉及真实的地缘政治敏感信息。该数据集尤其适用于STIX/TAXII等威胁情报格式的互操作性测试、MISP平台的事件演练，以及CACAO剧本的验证，确保不同组织能在同一虚构语境下安全、高效地协作。

实际应用

在实际应用中，该数据集已被集成至MISP威胁情报平台，作为官方‘exercise-world’星系供全球安全团队直接导入。安全分析师可利用虚构国家与企业的关联关系（如总部与所属国、攻击者起源国），快速搭建逼真的演练蓝本，用于培训新人的威胁狩猎技能或测试SOC的应急响应流程。标准化组织如FIRST和OASIS也依赖此数据集撰写参考文档与合规测试用例，确保全球不同司法管辖区的机构和供应商能在共同词汇上讨论CTI模型。此外，地缘政治风险建模公司借助该数据集进行跨境危机推演，验证供应链攻击的连锁效应，而无需承担泄露客户机密的风险。

衍生相关工作

该数据集推动了多项衍生工作，其中最具代表性的是MISP社区基于其数据结构开发的‘exercise-world’星系，使得虚构实体可直接在现有工具链中加载与共享。围绕该数据集，学者们建立了形式化验证框架，用于检验STIX模式在虚构场景下的覆盖度与一致性。此外，多个网络安全培训机构据此开发了模块化课程，涵盖从基础威胁归因到高级跨域攻击链建模。在标准化方面，OASIS的CACAO剧本格式和FIRST的CVSS评分实践均引用该数据集作为示例环境，以增强其参考文档的中立性和可移植性。地图可视化部分也被设计为SVG格式，方便研究者定制化调整，进一步拓展了其在红蓝对抗仿真和桌面推演中的应用。