用途
本技能用于构建自动化的对手基础设施追踪系统，以 Python 实现，借助被动 DNS、证书透明度、WHOIS 注册数据和 IP 富化，发现、映射并持续监控威胁行为者的命令与控制（C2）网络。其核心目的是从已知指标出发，通过基础设施跳转发现与同一威胁行为者相关的新域名、IP 和托管关系，并维护一张持续更新的威胁行为者网络地图。
主要能力
- 被动 DNS 查询：获取域名历史解析记录，保留已变更的解析关系，识别共享托管模式。
- 反向 IP 查询：发现同一 IP 上托管的全部域名。
- WHOIS 查询：获取注册商、注册组织、注册邮箱、名称服务器、创建/更新/过期日期等数据用于跳转。
- 基础设施跳转：支持 IP 跳转、域名跳转、WHOIS 跳转、证书跳转、NS/MX 跳转。
- 从种子指标递归跳转：以域名或 IP 为起点，按指定深度递归发现相关基础设施。
- 基础设施图谱：使用 NetworkX 构建节点与边的图，识别基础设施集群和高度中心性的枢纽节点（共享基础设施）。
- 新基础设施监控：按威胁行为者模式检测新注册域名并生成告警。
- 报告生成：输出包含集群、枢纽节点和新检测域名的 Markdown 报告。
使用方式
前置条件：Python 3.9+，安装 requests、dnspython、python-whois、shodan、networkx 库；需要 SecurityTrails、PassiveTotal/RiskIQ、Shodan、VirusTotal 的 API 密钥；可访问被动 DNS 数据源；理解 DNS 基础设施、托管与域名注册；可使用图数据库（Neo4j）或 NetworkX 进行关系可视化。
工作流程：
- 使用 InfrastructureTracker 类进行被动 DNS 查询、反向 IP 查询、WHOIS 查询，并通过 pivot_from_seed 从种子指标递归跳转。
- 使用 InfrastructureGraph 类将发现结果加入图，调用 find_clusters 识别集群、find_hub_nodes 识别枢纽节点，并通过 export_graph 导出 JSON 图数据。
- 使用 InfrastructureMonitor 类按模式检查新注册域名并记录告警，通过 generate_infrastructure_report 生成报告。
适用场景
- 在环境中部署或配置对手基础设施追踪能力时。
- 建立符合合规要求的安全控制时。
- 构建或改进该领域的安全架构时。
- 开展需要此实现的安全评估时。
限制
资料未提供系统在具体环境中的性能表现、检测准确率等数据，暂未提供。使用时需依赖第三方 API 密钥与数据源，实际可用性取决于密钥权限与配额，资料未提供具体配额或价格信息。
验证标准
- 被动 DNS 查询返回历史解析数据。
- 反向 IP 查询发现共托管域名。
- 基础设施跳转从种子指标扩展。
- 图分析识别集群与枢纽节点。
- 通过模式监控检测到新基础设施。
- 生成包含可操作建议的报告。