mcpField
E
evaluating-threat-intelligence-platforms

evaluating-threat-intelligence-platforms

github.com/mukul975安全35.2k43 次安装8 周前更新
代码仓库

关于 evaluating-threat-intelligence-platforms

此技能帮助 CTI 团队按需求评估威胁情报平台（TIP），用于正式采购、现有平台扩展或替换决策。它提供候选平台对比、概念验证测试、加权评分及实施规划流程。

主要功能

  1. 01整理必选与期望标准
  2. 02比较多种 TIP 方案
  3. 03设计概念验证测试
  4. 04通过加权矩阵评分
  5. 05规划实施与上线

适用场景

  1. 01开展 TIP 采购评估
  2. 02判断是否扩展或替换现有平台
  3. 03为 CTI 团队制定选型标准
  4. 04规划平台迁移与部署

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill evaluating-threat-intelligence-platforms

安装后在 Claude Code 中输入/evaluating-threat-intelligence-platforms确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

评估威胁情报平台

何时使用

在以下情况下使用此技能：

  • 为 TIP 解决方案开展正式 RFP 或供应商评估
  • 评估随着 CTI 项目扩展，当前 TIP（例如 MISP）是否需要替换或增强
  • 建立与组织成熟度和预算相符的评估标准

请勿使用此技能来独立于 TIP 评估情报源质量——情报源评估是单独的工作流，关注数据质量而非平台能力。

前置条件

  • 已记录的 CTI 项目需求：团队规模、情报源、集成目标、用例
  • 预算范围和采购时间表
  • 将管理该平台的技术人员（针对开源 TIP 的 Python/API 经验）
  • 当前和计划中的集成列表（SIEM、SOAR、EDR、防火墙）

工作流

步骤 1：定义评估标准

将需求组织为强制（M）和期望（D）类别：

核心 TIP 功能：

  • M：通过 TAXII 2.1 服务进行 STIX 2.1 导入/导出
  • M：用于自动化 IOC 摄取和导出的 REST API
  • M：指标去重和 TTL 管理
  • M：TLP 分类强制执行
  • D：内置 MITRE ATT&CK 集成和技术标签
  • D：指标关系的图可视化
  • D：用于分析师分诊的工作流自动化

集成：

  • M：通过 syslog、API 或原生连接器实现 SIEM 集成（Splunk、Sentinel、QRadar）
  • M：用于 IOC 推送的 EDR 集成（CrowdStrike、Defender、SentinelOne）
  • D：用于 playbook 触发的 SOAR 集成（XSOAR、Splunk SOAR）
  • D：用于情报任务跟踪的工单系统（ServiceNow、Jira）

运营：

  • M：基于角色的访问控制，并具备 TLP 感知的数据隔离
  • M：对所有分析师操作的审计日志记录
  • D：面向 MSSP 用例的多租户
步骤 2：评估主要 TIP 选项

MISP（开源）：

  • 成本：免费（仅自托管基础设施成本）
  • 优势：最大的社区、250+ 模块、广泛的 ISAC 使用、原生 STIX 2.0
  • 劣势：需要专职管理员、可视化能力有限、UI 过时
  • 最适合：预算受限且拥有技术人员的团队；政府/ISAC 共享项目

OpenCTI（开源）：

  • 成本：免费（自托管）；付费 SaaS 约为每年 $3,000–$15,000
  • 优势：原生 STIX 2.1、图可视化、ATT&CK 集成、现代 API
  • 劣势：部署资源消耗高（需要 Elasticsearch、MinIO）
  • 最适合：希望获得开源且现代化 UX 的团队；以 SOC/CTI 集成为重点

ThreatConnect（商业）：

  • 成本：根据规模每年 $50,000–$500,000
  • 优势：端到端 CTI 生命周期、playbook 自动化、TC Exchange 市场、分析师工作流
  • 劣势：成本高；实施复杂；在更大规模下价值最佳
  • 最适合：成熟的企业 CTI 项目；MSSP；红队/蓝队集成

Anomali ThreatStream（商业）：

  • 成本：每年 $30,000–$200,000
  • 优势：强大的情报源聚合、Splunk 原生集成、大量预构建连接器
  • 劣势：图可视化弱于 OpenCTI；UI 更新滞后
  • 最适合：重度使用 Splunk 的环境；优先考虑情报源数量而非分析工作流的团队

EclecticIQ Platform（商业）：

  • 成本：每年 $40,000–$300,000
  • 优势：原生 STIX 2.1、协作式情报工作台、强大的欧洲客户群
  • 劣势：合作伙伴生态小于 ThreatConnect
  • 最适合：以 MITRE ATT&CK 为中心开展工作流的团队；聚焦 EMEA 的组织
步骤 3：开展概念验证

向入围者索取 30 天 PoC。测试：

  1. 情报源接入：你的前 5 个情报源能否在 4 小时内完成摄取？
  2. SIEM 集成：增强后的 IOC 能否在 <5 分钟内推送到你的 SIEM？
  3. ATT&CK 映射：分析师能否高效地用 ATT&CK 技术为指标打标签？
  4. 报告生成：平台能否一键生成战术 IOC 公告？
  5. API 性能：REST API 能否每天处理 10,000 次指标查询？
第 4 步：评分与选择

使用加权评分矩阵（按组织优先级为每个标准赋予权重）：

Criterion                 Weight   Vendor A   Vendor B
STIX 2.1 compliance       20%      95         85
SIEM integration          25%      90         70
ATT&CK mapping            15%      85         95
Cost (inverse)            20%      60         90
UI/analyst experience     10%      80         75
Vendor support quality    10%      85         80
TOTAL                     100%     82.0       81.5
第 5 步：实施与上线规划

规划 90 天实施计划：

  • 第 1–2 周：基础设施部署（云端或本地）
  • 第 3–4 周：数据源接入与去重调优
  • 第 5–6 周：SIEM/SOAR 集成与测试
  • 第 7–8 周：分析师工作流配置与培训
  • 第 9–12 周：运行验证与正式上线

关键概念

术语定义
TIP威胁情报平台（Threat Intelligence Platform）——用于收集、处理、分析和分发网络威胁情报的软件
TAXII ServerTIP 的组件，按请求向消费系统提供 STIX 数据包
TC ExchangeThreatConnect 的商业市场，提供预构建的数据源集成和应用连接器
多租户TIP 以隔离的数据环境为多个组织单元或客户提供服务的能力
去重在 TIP 中识别并合并重复指标以减少分析师噪声的过程

工具与系统

  • MISP：开源 TIP，被 6,000+ 个组织使用；在 ISAC/政府社区集成方面最强
  • OpenCTI：现代开源 TIP，原生支持 STIX 2.1 和基于图的分析
  • ThreatConnect：企业级商业 TIP，具备生命周期管理和 SOAR playbook 集成
  • Anomali ThreatStream：商业 TIP，与 Splunk 生态集成能力强
  • EclecticIQ：商业 TIP，采用以 ATT&CK 为中心的工作流设计

常见陷阱

  • 在定义需求之前选择 TIP：在定义用例之前进行技术选型会导致代价高昂的错配。
  • 低估管理负担：MISP 和 OpenCTI 需要专门的管理时间（至少 0.25 FTE）；请据此做好预算。
  • 忽视数据迁移成本：将历史情报从一个 TIP 迁移到另一个 TIP 成本高昂，且对遗留系统往往不切实际。
  • 未在 PoC 中测试 SIEM 集成：TIP 的价值在很大程度上取决于下游集成质量；在评估期间务必测试 SIEM/SOAR 连接性。

评论

支持 Markdown