用途
该技能用于在 Splunk Enterprise Security 中构建自动化的威胁情报富化管道。Splunk 的威胁情报框架可让 SOC 团队将失陷指标（IOC）与安全事件自动关联：框架接入威胁源，把指标规范化到 KV Store 集合，并通过基于查找的关联搜索标记匹配事件。威胁情报管理集中处理来自多个来源的收集、规范化与富化，通过为分析人员提供即时上下文来缩短研判时间。
主要能力
- 威胁情报框架架构：外部 TI 源（STIX/TAXII、CSV、API）→ 模块化输入（下载并解析源）→ KV Store 集合（规范化 IOC 存储，含 ip_intel、domain_intel、file_intel、url_intel、email_intel）→ 威胁情报查找 → 关联搜索（将事件与 IOC 匹配）→ 带 TI 上下文的 Notable Event。
- 威胁情报源配置：支持 STIX/TAXII 源（inputs.conf 中配置 type=taxii、url、collection、polling_interval、api_key）、CSV 威胁列表，以及基于 API 的自定义模块化输入（示例为 OTX AlienVault 采集器，使用 splunklib.modularinput 编写）。
- 富化查找构建：通过 collections.conf 定义 KV Store 集合字段（如 ip_threat_intel、domain_threat_intel、file_hash_intel），通过 transforms.conf 定义查找表（external_type=kvstore）。
- 关联搜索：提供基于 IP、域名、文件哈希的关联搜索示例，并支持多源富化管道（结合 IP 情报、地理位置、WHOIS 等查找）。
- 仪表板：IOC 覆盖统计与情报源新鲜度监控。
使用方式
- 配置威胁情报源：在 inputs.conf 中定义 TAXII 或 CSV 威胁列表；如需 API 源，可编写自定义模块化输入脚本（示例为 OTX 采集器，需 api_key 与 pulse_days 参数）。
- 定义 KV Store 集合与查找表：在 collections.conf 中声明字段，在 transforms.conf 中声明 external_type=kvstore 的查找。
- 编写关联搜索：使用 tstats 或普通搜索，通过 lookup 将事件字段（如 dest_ip、query、Hashes）与情报查找匹配，并用 eval 计算紧急度与描述。
- 构建仪表板：使用 inputlookup 统计 IOC 覆盖情况，并计算情报源数据年龄以判断 FRESH/AGING/STALE。
适用场景
- 在环境中部署或配置 Splunk 威胁情报富化能力时。
- 建立与合规要求对齐的安全控制时。
- 构建或改进该领域的安全架构时。
- 开展需要此实现的安全评估时。
前提条件
- Splunk Enterprise Security (ES) 7.x 或更高版本。
- 威胁情报管理附加组件或威胁情报框架。
- 外部威胁情报源的 API 密钥（MISP、OTX、VirusTotal、AbuseIPDB）。
- 已启用并正确配置 KV Store。
- 用于模块化输入配置的管理员权限。
限制
资料未提供该技能的具体收费、价格、平台支持范围、实际效果数据或完整的分步安装命令，相关事实暂未提供。