mcpField
I
ioc-analysis

ioc-analysis

github.com/alphaonedev安全43 次安装
代码仓库

关于 ioc-analysis

ioc-analysis 是面向安全团队的 OpenClaw 技能，可分析失陷指标并生成威胁结果，用于事件响应和威胁狩猎。

主要功能

  1. 01丰富 IP、域名、哈希和 URL 信息
  2. 02将指标与情报源及规则比对
  3. 03报告严重性、威胁和缓解建议
  4. 04批量分析多个指标
  5. 05将结果接入告警工作流

适用场景

  1. 01在事件响应中核查可疑 IP
  2. 02为威胁狩猎检查域名列表
  3. 03自动监控外部情报源

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/alphaonedev/openclaw-graph --skill ioc-analysis

安装后在 Claude Code 中输入/ioc-analysis确认已加载。

详细介绍

ioc-analysis

用途

此技能可分析 IP 地址、域名、文件哈希和 URL 等入侵指标（IOC），以识别潜在威胁，将其与已知攻击模式关联，并生成可用于网络安全防御的行动建议。

适用场景

  • 在事件响应期间，如果需要立即核查可疑制品（例如日志中的 IP），可使用此技能。
  • 在主动威胁狩猎中，可用于扫描网络流量或端点数据中的 IOC。
  • 可集成到自动化工作流中，用于每日安全监控外部数据源。

核心能力

  • 使用威胁情报数据库解析并丰富 IOC，包括 IP 地理位置、域名信誉和哈希匹配。
  • 通过将 IOC 与预定义的威胁数据源或自定义规则集交叉比对来检测异常。
  • 生成包含严重性评分、相关威胁和建议缓解措施的报告。
  • 支持批量分析，可在单次操作中处理多个 IOC。
  • 与日志系统集成，根据分析结果自动触发警报。

使用模式

始终通过 $OPENCLAW_API_KEY 环境变量进行身份验证，以初始化此技能。快速查询请使用 CLI，程序化集成请使用 API。使用 CLI 时，可通过管道传入文件中的输入；使用 API 时，可在循环中处理批量请求。提交前请验证 IOC 格式（例如，IPv4 应采用点分十进制格式）。设计工作流时，应在每次调用后检查错误，并重试临时性故障。

常用命令/API

  • CLI 命令：运行 openclaw ioc-analysis --ioc 192.168.1.1 --type ip --output json 分析 IP；添加 --feed custom 可指定威胁数据源。
  • CLI 标志详情：使用 --timeout 30 设置请求超时时间（秒）；使用 --verbose 输出详细日志。
  • API 端点：向 https://api.openclaw.com/v1/ioc-analysis 发送 POST 请求，并附上类似 {"ioc": "example.com", "type": "domain"} 的 JSON 请求体。
  • API 身份验证：包含请求头 Authorization: Bearer $OPENCLAW_API_KEY。
  • 配置格式：配置使用 JSON 格式，例如，在通过 --config path/to/config.json 传入的文件中使用 {"feeds": ["virustotal", "alienvault"], "threshold": 0.7}。
  • 代码片段（Python）： 
    import os
import requests
api_key = os.environ.get('OPENCLAW_API_KEY')
response = requests.post('https://api.openclaw.com/v1/ioc-analysis', headers={'Authorization': f'Bearer {api_key}'}, json={'ioc': '8.8.8.8', 'type': 'ip'})
print(response.json()['threats'])
  • 另一个代码片段（Shell）： 
    export OPENCLAW_API_KEY=your_key_here
curl -H "Authorization: Bearer $OPENCLAW_API_KEY" -X POST https://api.openclaw.com/v1/ioc-analysis -d '{"ioc": "badfile.exe", "type": "hash"}'

集成说明

在应用中导入 OpenClaw SDK 进行集成；例如，在 Python 中使用 from openclaw import IOCAnalyzer。在 API 请求体中配置 {"webhook_url": "https://your.endpoint.com/alerts"}，即可设置 Webhook 以接收实时通知。可与其他蓝队技能组合使用，例如将 IOC 结果通过管道传给 threat-detection 技能。请确保 API 版本兼容（例如 v1），并使用指数退避处理速率限制。在容器化环境中，将配置文件挂载为卷，并通过密钥注入 $OPENCLAW_API_KEY。

错误处理

API 调用后请检查 HTTP 状态码；如果状态码为 401，请提示用户重新进行身份验证。对于 429（速率限制），请实现带延迟的重试循环：等待 5 秒，然后最多重试 3 次。解析 JSON 错误以了解具体原因；例如，如果 "error": "Invalid IOC format"，请先使用正则表达式验证输入（例如，IP 地址的正则表达式：r'^\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}$'）。在 CLI 中捕获 stderr 和退出代码；在代码片段中使用 try-except 记录异常并回退到默认操作。

具体使用示例

  1. 示例 1：分析可疑 IP
    在事件处置期间，查询防火墙日志中的 IP：运行 openclaw ioc-analysis --ioc 192.168.1.100 --type ip --feed virustotal。此命令会返回 JSON，其中包含诸如“与恶意软件 C2 相关联”的威胁信息。在代码中：使用上面的代码片段，然后如果 response['score'] > 0.5，就触发一条阻止命令。

  2. 示例 2：批量检查域名
    在威胁搜寻中，处理 CSV 中的域名列表：首先，使用 {"ioc_list": ["example.com", "malicious.site"], "type": "domain"} 创建配置文件，然后运行 openclaw ioc-analysis --config domains.json --output report.csv。在脚本中，通过 API 调用遍历列表，并汇总结果以生成报告。

图关系

  • 相关：threat-detection（共享 IOC 数据，以增强告警）
  • 通过以下方式连接：blue-team 集群（协作处理事件响应工作流）
  • 链接至：red-team 技能（用于 IOC 检测的模拟和测试）
  • 依赖项：需要访问 VirusTotal 或 AlienVault 等外部数据源以丰富信息

评论

支持 Markdown