大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
第二部分全域感知——国家级情报摄取与数据底座
第2章 UPSTREAM与PRISM：两条摄取路径的工程化分野
2.1 全量摄取的双轨架构
NSA的信号情报摄取体系在工程上分为两条逻辑路径：UPSTREAM（上游截获）与DOWNSTREAM（下游获取）。两者的本质区别不在于数据内容，而在于采集位置和法律授权框架——UPSTREAM在通信链路层完成流量镜像，依据FISA Section 702的”境外通信”条款运行；DOWNSTREAM则在应用层通过服务商接口直接拉取结构化数据，即公众熟知的PRISM计划。
graph TB
subgraph 双轨摄取架构
subgraph UPSTREAM["UPSTREAM — 链路层截获"]
CABLE["海底光缆<br/>分光器 / 光学分路"] --> SPLICE["流量镜像节点<br/>DCGS-N / TURMOIL前端"]
SPLICE --> FILTER["选择器过滤<br/>BANYAN / TURMOIL分类器"]
FILTER --> NSA_UP["NSA数据管道<br/>→ XKEYSCORE索引"]
end
subgraph DOWNSTREAM["DOWNSTREAM — 应用层获取"]
PROVIDER["服务提供商
Google/MS/Apple/Facebook..."] --> PRISM_IFACE["PRISM接口<br/>FISA 702合规通道"]
PRISM_IFACE --> STRUCT["结构化数据<br/>邮件/聊天/文件/视频日志"]
STRUCT --> NSA_DOWN["NSA数据管道<br/>→ XKEYSCORE索引"]
end
NSA_UP --> FUSION["统一数据湖<br/>PINWALE / TURBULENCE"]
NSA_DOWN --> FUSION
end
style UPSTREAM fill:#0d1117,stroke:#e94560,color:#fff
style DOWNSTREAM fill:#0d1117,stroke:#0f3460,color:#fff
这两条路径并非冗余备份，而是互补设计。UPSTREAM能捕获传输层元数据（源/目的IP、TCP时间戳、路由跳变）和未加密有效载荷，但对TLS加密内容无能为力；PRISM则在应用层获取已解密的结构化数据，但依赖服务商配合且存在请求延迟。两条管道的数据最终汇入同一数据湖，由XKEYSCORE完成统一索引与关联检索。
感兴趣的读者，建议加入知识星球后留言，感谢！
