用途
该技能面向威胁情报分析与安全运营场景，通过 PyMISP 连接 MISP（Malware Information Sharing Platform）实例，对平台中的事件与属性数据进行结构化统计与趋势分析，帮助安全人员理解当前威胁态势。
主要能力
- 按威胁等级和日期范围拉取事件统计数据。
- 分析属性类型分布，包括 IP、域名、哈希、URL 等 IOC 类型。
- 从事件标签中识别排名靠前的 MITRE ATT&CK 技术。
- 通过 galaxy 集群追踪威胁行为者活动。
- 生成 IOC 提交的时间趋势分析。
使用方式
- 安装依赖：
pip install pymisp - 配置 MISP URL 与 API 密钥。
- 运行 agent 生成威胁态势分析：
python scripts/agent.py --misp-url https://misp.local --api-key YOUR_KEY --days 90 --output landscape_report.json
适用场景
- 调查需要分析 MISP 威胁态势的安全事件。
- 为该领域构建检测规则或威胁狩猎查询。
- SOC 分析师需要结构化分析流程时。
- 验证相关攻击技术的安全监控覆盖度。
前置条件
- 熟悉威胁情报概念与工具。
- 可访问测试或实验环境以安全执行。
- Python 3.8+ 并安装所需依赖。
- 对任何测试活动拥有适当授权。
示例输出
威胁态势摘要：
- 周期：最近 90 天
- 分析事件数：1,247
- 最高威胁等级：High（43%）
- 主要属性类型：ip-dst（31%）、domain（22%）、sha256（18%）
- 主要 MITRE 技术：T1566 Phishing（89 个事件）
- 主要威胁行为者：APT28（34 个事件）
限制
资料未提供关于收费、价格、平台兼容性、效果保证或具体使用步骤之外的更多信息，相关内容暂未提供。