关于 performing-threat-intelligence-sharing-with-misp
通过 PyMISP 使用 MISP 分享威胁情报的安全技能，支持结构化 IOC 管理、ATT&CK 标记、事件搜索、馈送同步，以及 STIX 2.1 导出。
主要功能
- 01创建并发布 MISP 事件
- 02管理 IOC 属性与标签
- 03搜索现有情报
- 04配置馈送与同步
- 05将事件导出为 STIX 2.1
适用场景
- 01向协作组分享事件 IOC
- 02使用 ATT&CK 技术丰富事件信息
- 03将新指标与现有事件比对
- 04为其他平台导出情报
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/performing-threat-intelligence-sharing-with-misp确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
使用 MISP 进行威胁情报共享
概述
MISP（Malware Information Sharing Platform，恶意软件信息共享平台）是一个开源威胁情报平台，旨在收集、存储、分发和共享网络安全指标与威胁信息。PyMISP 是用于通过 REST API 与 MISP 实例交互的官方 Python 库，支持以编程方式创建事件、管理属性、分配标签、附加星系集群以及同步馈送源。本技能涵盖使用 PyMISP 创建包含结构化 IOC（IP 地址、域名、文件哈希、URL）的事件、使用 MITRE ATT&CK 标签丰富事件、管理共享组和分发级别、搜索现有情报，以及导出为 STIX 2.1 格式以实现与其他平台的互操作性。
何时使用
- 当开展涉及使用 MISP 进行威胁情报共享的安全评估时
- 当针对相关安全事件遵循事件响应流程时
- 当执行计划的安全测试或审计活动时
- 当通过动手测试验证安全控制时
前提条件
- 启用了 API 访问的 MISP 实例（v2.4+）
- Python 3.9+ 以及
pymisp（pip install pymisp） - MISP API 密钥（Settings > Auth Keys）
- 了解 MISP 数据模型（事件、属性、对象、标签、星系）
- 了解 TLP 标记和共享协议
步骤
- 安装 PyMISP：
pip install pymisp - 初始化
ExpandedPyMISP(url, key, ssl=True)连接 - 创建带有 info、分发级别、威胁级别和分析状态的
MISPEvent - 通过
event.add_attribute(type, value)为 IP、域名、哈希添加属性 - 应用 TLP 标签和 MITRE ATT&CK 技术标签
- 使用
misp.publish(event)发布事件 - 使用
misp.search(controller='events', value=..., type_attribute=...)搜索现有事件 - 启用并配置威胁馈送源以自动摄取 IOC
- 以 STIX 2.1 格式导出事件以实现跨平台共享
- 验证共享组配置和同步服务器设置
预期输出
一份 JSON 报告，汇总所创建的事件、添加的属性、应用的标签、馈送源同步状态，以及针对现有情报的任何关联命中，并包含事件 ID 和分发元数据。
评论
支持 Markdown