SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场dym-cti-expert-api-keys-and-capabilities

dym-cti-expert-api-keys-and-capabilities

安全与审计

查看项目

更新于 10-18 01:24

技能介绍

用途

该技能面向 CTI（网络威胁情报）调查流程，核心目的是让分析人员在开始 case 之前，先明确当前环境具备哪些 API 能力、缺少哪些 key、以及缺 key 会损失什么能力，而不是在调查中途才发现工具不可用。同时它把两类成本分开记录，避免混淆。

主要能力

  1. 能力自检：运行 python3 scripts/backend/intel.py capabilities 可输出各 API 的可用状态。无 key 时仍可运行，模式显示为 KEYLESS，并列出 [absent] 的 key 及其影响。例如 FOFA_KEY 缺失时，favicon hash 或 GA4 ID 可以 EXTRACT 但无法 REVERSE，因此无法发现共享这些特征的兄弟域名；keyless 模式下 cluster 为空并不代表 operator 规模小。替代方案包括 crt.sh、Shodan CTL、匿名 urlscan，以及输出 Censys/PublicWWW/Shodan 查询串供分析师手动粘贴到 Web UI。
  2. 明确能力损失：LOST: 行说明在缺少某 key 时报告必须声明“因缺少工具而无法查找”，以区分“已查找且未发现”与“没有工具可查”。
  3. 配置 key：在 ~/.claude/skills/cti-expert 下复制 .env.example 为 .env 并编辑。.env 位于仓库根目录（与 SKILL.md 同级），已 gitignore。.env.example 包含 23 个 key 及 INTEL_HOME，分组如下：
    • Internet-scan：SHODAN_API_KEY、CENSYS_API_KEY / CENSYS_ORG_ID / CENSYS_API_ID、FOFA_KEY + FOFA_EMAIL、QUAKE_API_KEY、ZOOMEYE_API_KEY、URLSCAN_API_KEY
    • DNS / cert / WHOIS：SECURITYTRAILS_API_KEY（+ _FALLBACK）、WHOISXML_API_KEY、CERTSPOTTER_API_KEY、ZONECRUNCHER_API_KEY、DNSLYTICS_API_KEY
    • Leak / scam feed：HUDSONROCK_API_KEY、CHONGLUADAO_API_KEY、INTELX_API_KEY
    • On-chain：BLOCKCHAIR_API_KEY、SUBSCAN_API_KEY
    • 其他：GITHUB_TOKEN、SERPAPI_KEY、BRIGHTDATA_SERP_KEY
    • 路径覆盖：INTEL_HOME（仅当想使用仓库外的共享 KB） 填写后重新运行 capabilities，模式应不再是 KEYLESS，对应的 [absent] 行消失。
  4. WhoisXML 陷阱诊断：Whois History 和 Reverse WHOIS 扣的是 Domain Research Suite 钱包，而非 WHOIS API 钱包。若 key 有 WHOIS credit 但 DRS 为 0，当前 WHOIS 返回 200，而上述两项返回 403。whois_enrich._explain_403 会直接说明这一点，不应误判为 key 损坏（见 CLAUDE.md 的 Cost visibility 部分）。
  5. 两套成本账本：
    • Anthropic 模型成本：由 agent 推理循环产生，在 Claude Code 交互模式用 /cost 查看；SDK harness 每个 phase 写入 total_cost_usd。
    • 第三方 API credit：由 pivot_extract、whois_enrich、FOFA/urlscan/Shodan/IPinfo 等产生，不调用 Anthropic。用 python3 scripts/backend/intel.py api-usage 查看，记录写入 intel_engine/MEMORY/api_usage.jsonl（可用 $API_USAGE_LOG 改路径）。报告成本时须说明两部分，total_cost_usd 不包含 API credit。
  6. 预算检查：python3 scripts/backend/intel.py censys 有 keycheck/budget 子命令；python3 scripts/backend/intel.py api-usage 查看已花费及位置。Censys 免费计划每次 UI 搜索扣 100 个月度 credit 中的 5，因此 CenQL 查询构建器离线运行，只输出查询串和链接，让点击成为有意识的决定而非默认行为。

使用方式

推荐顺序：

  1. 运行 capabilities，了解盲区。
  2. 只为真正阻塞当前 case 的盲区购买/填写 key（参考 [critical]/[high] 列）。
  3. 再次运行 capabilities 确认。
  4. case 结束后运行 api-usage，了解消耗。

适用场景

适用于使用 CTI 技能进行威胁情报调查、需要管理多个第三方 API key 与预算的分析工作流。

限制

无 key 时部分能力不可用，具体损失由 capabilities 输出中的 LOST 行说明。Censys 免费计划有 credit 限制。WhoisXML 的 DRS 与 WHOIS 钱包独立。其他未在资料中说明的限制暂未提供。