用途：构建以 MISP 为后端的威胁情报平台，用于摄取、关联和富化 IOC（失陷指标），并导出标准化情报。
主要能力：使用 PyMISP 连接 MISP 实例并创建威胁情报事件，可设置威胁等级、分发范围和分析状态；添加 ip-dst、domain、sha256、url 等属性并设置 to_ids 标志；用 MITRE ATT&CK 技术标识为事件打标签；跨组织关联事件；从 URLhaus、Feodo Tracker、MalwareBazaar 等外部源摄取情报；通过 VirusTotal 和 AbuseIPDB API 富化指标；将关联事件导出为 STIX 2.1 bundle。
使用方式：先安装依赖 pip install pymisp requests stix2；部署 MISP 实例并在 Administration > Auth Keys 生成 API key；运行脚本 python scripts/agent.py --misp-url https://misp.local --misp-key <api_key> --ingest-feeds --output misp_report.json。也可用 PyMISP 直接创建事件，例如设置 event.info、threat_level_id 并调用 add_attribute 添加 IOC。
适用场景：安全团队搭建威胁情报聚合与共享平台、IOC 富化与关联分析、STIX 2.1 情报交换。
限制：需自备可用的 MISP 实例与 API key，外部富化依赖 VirusTotal、AbuseIPDB 等第三方 API 的可用性与配额；资料未提供具体收费、价格或效果数据。