building-threat-actor-profile-from-osint

用途

该技能用于通过开源情报（OSINT）系统性地收集和分析公开信息，构建对手组织的综合画像。它覆盖从公开来源采集情报、跨平台关联指标、映射对手基础设施，到产出结构化威胁行为者档案的完整流程，为防御策略和归因评估提供依据。

主要能力

• 多源情报采集：从安全厂商报告（Mandiant、CrowdStrike、Recorded Future、Talos）、政府公告（CISA、NSA、FBI 联合公告）、学术论文、恶意软件仓库（VirusTotal、MalwareBazaar、Malpedia）、粘贴站点（Pastebin、GitHub Gists）、代码仓库、社交媒体账号、暗网论坛以及证书透明度日志等来源收集情报。
• 结构化分析技术：采用钻石模型（对手、基础设施、能力、受害者）、竞争性假设分析（ACH）评估归因置信度，并使用 MITRE ATT&CK 映射记录 TTP。
• 画像组件：完整档案包含跨厂商别名与命名约定、疑似来源与赞助方、动机（间谍、金融、黑客行动主义、破坏）、目标行业与地理区域、已知行动与战役、映射到 ATT&CK 的 TTP、工具集与恶意软件家族、基础设施模式以及历史时间线。
• 工具集成：使用 Maltego 和 SpiderFoot 进行链接分析与基础设施映射，使用 STIX 2.1 构建结构化对象。

使用方式

工作流分为五个步骤：

1. 从多源采集情报：通过 Python 脚本调用 AlienVault OTX、VirusTotal、Shodan 等 API 搜索威胁行为者相关脉冲、样本和基础设施信息。
2. 构建结构化威胁行为者档案：使用 stix2 库创建 STIX 2.1 的 ThreatActor、IntrusionSet、Identity 和 Relationship 对象，并序列化为 JSON 文件。
3. 将 TTP 映射到 MITRE ATT&CK：使用 attackcti 库获取指定组织（如 APT29，G0016）使用的技术，并按战术阶段归类。
4. 使用 SpiderFoot 关联基础设施：运行 SpiderFoot 扫描目标域名或 IP，并关联共享托管、注册模式等基础设施指标。
5. 生成威胁行为者档案：输出包含执行摘要、归因、别名、目标、TTP 摘要、基础设施模式和建议的 Markdown 档案文件。

适用场景

• 在环境中部署或配置 OSINT 威胁行为者画像能力时
• 建立符合合规要求的安全控制时
• 构建或改进该领域的安全架构时
• 开展需要此实现的安全评估时

前置条件

• Python 3.9+，以及 shodan、requests、beautifulsoup4、maltego-trx、stix2 库
• SpiderFoot（https://github.com/smicallef/spiderfoot）或 SpiderFoot HX
• Maltego CE 或 Maltego XL 用于链接分析
• API 密钥：Shodan、VirusTotal、AlienVault OTX、PassiveTotal/RiskIQ
• 用于 TTP 映射的 MITRE ATT&CK 知识
• 对 STIX 2.1 Intrusion Set、Threat Actor 和 Identity SDO 的理解

验证标准

• 从至少 3 个 OSINT 来源收集情报
• 正确创建 STIX 2.1 Threat Actor 和 Intrusion Set 对象
• TTP 映射到 ATT&CK，包含技术 ID 和过程示例
• 跨来源关联基础设施指标
• 档案包含带置信度等级的归因评估
• 档案可用于检测工程和威胁狩猎

限制

资料未提供该技能的具体收费、价格、平台支持范围或效果保证等信息。实际使用依赖所列 API 密钥和第三方工具的可用性。