用途
本技能用于设计并部署威胁情报平台（Threat Intelligence Platform，TIP），将多个开源网络威胁情报（CTI）工具集成到一个统一系统中，实现威胁情报的收集、分析、富化与分发。适用于在环境中部署或配置威胁情报平台能力、建立符合合规要求的安全控制、构建或改进该领域的安全架构，以及开展需要此类实现的安全评估。
主要能力
技能围绕 TIP 的架构分层展开：
- 采集层：从 OSINT、商业和内部来源接入情报源。
- 存储层：使用 Elasticsearch/OpenSearch 以 STIX 2.1 模式索引 CTI 数据。
- 分析层：使用 OpenCTI 进行知识图谱分析，使用 MISP 进行 IOC 关联。
- 富化层：使用 Cortex 分析器对 IOC 进行自动化富化。
- 响应层：使用 TheHive 进行案例管理与事件响应集成。
- 共享层：通过 TAXII 服务器对外共享情报。
平台集成点包括：MISP 与 OpenCTI 通过 OpenCTI MISP 连接器双向同步；OpenCTI 与 TheHive 之间基于高置信度指标创建告警/案例；TheHive 与 Cortex 之间对案例可观测对象进行自动化分析与富化；各组件与 SIEM 之间通过 API 或 Kafka 实时推送 IOC 至 Splunk/Elastic。
使用方式
技能按工作流分步说明：
- 使用 Docker Compose 部署平台，示例编排文件包含 elasticsearch、redis、rabbitmq、minio、misp、opencti、thehive、cortex 等服务及其端口、环境变量与依赖关系。
- 配置情报源接入管道，示例 Python 类 TIPFeedManager 使用 pymisp 与 pycti，提供启用 MISP 默认 OSINT 情报源（如 CIRCL OSINT、Botvrij.eu、abuse.ch URLhaus、abuse.ch Feodo Tracker）、列出并验证 OpenCTI 连接器状态、验证 MISP 到 OpenCTI 同步是否正常等方法。
- 使用 Cortex 构建富化管道，示例类 CortexEnrichment 通过 REST API 列出可用分析器、提交可观测对象进行分析、获取已完成分析任务的报告。
- 实现分析师仪表盘指标，示例类 TIPMetrics 通过 MISP 服务器统计与 OpenCTI GraphQL 分页查询，汇总事件数、属性数、启用情报源数、指标总数与报告总数等平台统计。
前置条件
- Docker 与 Docker Compose，用于部署平台组件。
- Python 3.9+，以及 pymisp、pycti、thehive4py 库。
- Elasticsearch/OpenSearch 集群用于数据存储。
- Redis 与 RabbitMQ 用于消息队列。
- 理解 STIX 2.1 数据模型与 TAXII 2.1 传输。
- 富化服务（VirusTotal、Shodan、AbuseIPDB）的 API 密钥。
验证标准
- 所有平台组件（MISP、OpenCTI、TheHive、Cortex）均已部署且可访问。
- MISP 与 OpenCTI 双向同步正常运行。
- 至少 3 个 OSINT 情报源正在接入数据。
- Cortex 分析器已配置并能返回富化结果。
- 平台指标仪表盘可显示实时统计。
- STIX/TAXII 导出功能可用于情报共享。
限制
资料未提供该技能的具体收费、价格、平台支持范围、实际部署效果或性能数据，这些信息暂未提供。