Threat Intelligence & CTI

威胁情报与 CTI

目的

让 Claude 能够将原始观察转化为成品情报——让防御者能够据此采取行动、让决策者能够信赖的评估。本技能涵盖整个情报周期：明确需求、收集并规范化指标、应用结构化分析模型、评估来源与置信度、跟踪威胁行为者与行动，以及以机器可读（STIX/MISP）和人类可读（报告）形式进行传播。

这不同于技能 06（威胁狩猎）：狩猎使用情报来搜索环境中的对手活动；本技能则生成和管理情报本身。这也不同于技能 05（恶意软件分析），后者会产出本技能用于提供背景并进行传播的技术事实。

---

激活条件

用户提出以下请求时，将激活本技能：

• 从报告、电子邮件或信息源中提取、去武装/复武装、规范化或去重 IOC
• 生成 STIX 2.1 包、MISP 事件或可通过 TAXII 提供的指标集
• 评估来源的可靠性或评估的置信度（Admiralty/NATO 代码、概率估计用语）
• 使用 Diamond Model、Cyber Kill Chain 或 MITRE ATT&CK 来构建入侵事件
• 跟踪或聚类威胁行为者/行动，或推理归因
• 撰写战术、作战或战略威胁情报报告，或情报评估
• 设置优先情报需求（PIR）或制定收集计划
• TLP 标记、情报传播，或信息源老化/衰减与误报抑制
• 丰富指标信息（WHOIS/被动 DNS/信誉），或从一个指标关联到相关基础设施

---

前置条件

python3 --version          # 3.10+; standard library only for the core script
pip install requests       # optional — only for --enrich (live reputation/WHOIS lookups)

可选增强工具：

• misp / PyMISP — 在 MISP 实例上创建和共享事件
• stix2 / taxii2-client (OASIS) — 更丰富的 STIX 对象建模以及 TAXII 推送/拉取
• opencti — 用于管理威胁行为者/行动知识图谱的 CTI 平台
• 被动 DNS/信誉服务提供商（VirusTotal、Shodan、GreyNoise、urlscan），用于丰富指标信息

处理实时恶意软件和指标： 将样本哈希、实时 C2 域名和载荷 URL 视为恶意内容。在行文中始终对其进行去武装处理（hxxp://、evil[.]com），切勿从生产主机解析或获取这些内容，并在传播前使用 TLP 标记共享范围。

---

核心能力

1. 情报周期与需求

将每项任务与其所处的周期阶段对应起来，绝不跳过需求界定：

1. 指导 — 明确优先情报需求（PIR）。好的 PIR 是与决策相关、有明确受众和截止时间的问题（例如，“本季度哪些勒索软件组织会积极攻击我们行业的 ERP 技术栈？”），而不是“告诉我威胁情况”。
2. 收集 — 将每项 PIR 对应到具体来源（内部遥测、OSINT、商业信息源、ISAC/共享社区），并明确记录收集缺口。
3. 处理 — 规范化、去武装、去重、翻译并结构化原始数据（见 §2）。
4. 分析 — 应用结构化模型（§3）和概率估计用语（§4）；区分观察与评估。
5. 传播 — 以受众可用的形式交付（§5）：供机器处理的 STIX、供管理人员阅读的简报、供 SOC 使用的检测内容。
6. 反馈 — 记录产品是否回答了 PIR，并据此进行改进。

在生成输出之前，说明请求涉及哪个阶段，以及适用的 PIR 是什么。

2. IOC 提取、规范化与丰富

当用户提供报告、电子邮件或一段文本并询问其中的指标时：

1. 提取 IPv4/IPv6、域名、URL、电子邮件地址、文件哈希（MD5/SHA1/SHA256）、CVE ID、ASN、注册表项、互斥体以及 Bitcoin/加密货币地址。
2. 先还原混淆，再统一重新混淆——接受 hxxp、[.]、(dot)、[at]、\.；在内部规范化；在正文中始终输出混淆后的形式，仅在结构化字段或引用字段中输出原始值。
3. 规范化——将域名转为小写；在无关紧要时移除 URL 片段和默认端口；按算法验证哈希长度；除非用户要求保留，否则剔除明显的噪声（RFC 1918/环回地址/example.com/文档专用地址段）。
4. 去重并分类每个指标，并附上上下文：首次/最后出现时间、来源报告、对应的攻击链阶段以及置信度。
5. 丰富信息（可选）——WHOIS/注册商、被动 DNS、ASN/地理位置、信誉以及关联关系（此域名解析到该 IP、该 IP 托管这些其他域名），以便进行关联分析。
6. 使用 scripts/cti_processor.py 执行可自动化的提取/混淆处理/规范化/去重/STIX 导出步骤；在将任何内容作为已确认指标发布前，先进行人工判断。

3. 结构化分析模型

选择适合问题的模型；应分层使用，而非将它们视为相互替代的方案：

• Diamond Model——用于分析单次入侵事件，填充四个顶点（对手、能力、基础设施、受害者）以及元特征（时间戳、阶段、结果、方向、方法）。跨顶点进行关联分析以扩展知识（例如，从某项能力追溯到交付该能力的基础设施）。
• 网络杀伤链（Lockheed Martin）——按顺序排列观察到的活动：侦察 → 武器化 → 投递 → 利用 → 安装 → C2 → 目标行动。越早发现，成本越低；请注明最早存在检测机会的阶段。
• MITRE ATT&CK——将每种观察到的行为映射到一个技术/子技术 ID 和战术。这是与 Skills 06、12、15 和 22 衔接的通用语言。
• 竞争性假设分析（ACH）——当归因或意图存在争议时，列出各种假设和证据，并根据证据对各假设的反证能力（诊断性证据）进行评分，而不是根据证据对你偏好的假设的支持程度评分。

4. 来源与置信度评分

将对来源的信任程度与对主张的信任程度区分开，并明确说明两者：

• Admiralty / NATO 来源可靠性代码——来源可靠性 A–F（可靠 → 无法判断）× 信息可信度 1–6（已确认 → 无法判断）。报告格式示例：B2。
• 估计概率用语——使用经过校准的措辞（“几乎可以肯定”“很可能”“大约各占一半”“不太可能”），并在适用时明确给出百分比范围；绝不能让“可能”听起来像“将会”。
• 对每项评估标注置信度（低/中/高），并说明影响因素（来源数量、相互印证情况、分析假设）。
• 在文中标明假设和信息缺口——未明确说明的假设是 CTI 中最常见的失误原因。

5. 行为者与战役跟踪 + 归因准则

1. 先按 TTP 聚类，再命名。 根据共享的基础设施、工具和行为，将活动归入未命名的活动集群（UNC 风格），之后再考虑使用公开的行为者名称。
2. 归因是一个光谱，而非定论。 区分技术归因（该集群实施了这些活动）、行为者归因（某个具名组织）和国家／资助方归因（难度最大、影响最重大的归因）。说明每个层级的置信度和证据类别。
3. 谨防重叠和伪旗行动——共享工具、通用恶意软件和蓄意伪旗都会导致单一指标归因不可靠。相比可替换的基础设施，应更重视持久的行为 TTP。
4. 使用一致的内部架构跟踪战役（集群 ID、别名、相关恶意软件、目标行业／地理区域、首次／最近活动时间），并映射不同供应商使用的别名（MISP 星系会有所帮助）。

6. 生产、传播与情报源卫生

• 让产品匹配受众——战术层（面向 SOC 的 IOC／检测）、行动层（面向防御人员和 IR 的 TTP／战役）、战略层（面向领导层的趋势／风险）。一项输入通常可以产生三种不同的产品。
• 在每项产品上标注 TLP 2.0（TLP:RED / AMBER+STRICT / AMBER / GREEN / CLEAR）——标记即共享协议；分发前先明确标注。
• 以机器可读格式传播——生成 STIX 2.1 捆绑包（指标、关系、标记定义），用于自动摄取；生成 MISP 事件，用于社区共享；使用 TAXII 进行拉取／推送。
• 情报源卫生——指标会随时间失效。应用老化／评分机制，使过时指标失效；通过允许列表抑制已知的误报基础设施（CDN、沉洞、共享主机）；切勿将未经分流的情报源直接推送到拦截系统。

---

输出模板

# Threat Intelligence Product
**Title:** [Short descriptive title]
**Date:** [YYYY-MM-DD]  |  **TLP:** [RED / AMBER+STRICT / AMBER / GREEN / CLEAR]
**Product type:** [Tactical / Operational / Strategic]
**PIR addressed:** [the requirement this answers]

---

## Bottom Line Up Front (BLUF)
[2–3 sentences of assessment, with an estimative-language judgment and an overall confidence level.]

## Key Assessments
- [Assessment 1] — *Confidence: [Low/Med/High]* — *Source: [Admiralty e.g. B2]*
- [Assessment 2] — ...

## Diamond / Kill Chain Summary
| Vertex / Phase | Observed |
|----------------|----------|
| Adversary | [cluster/actor + attribution confidence] |
| Capability | [malware/tooling + ATT&CK techniques] |
| Infrastructure | [C2/staging + defanged] |
| Victim | [sector/geo/asset] |
| Earliest detection opportunity | [kill-chain phase] |

## Indicators of Compromise
| Indicator (defanged) | Type | Kill-chain phase | Confidence | First seen | Source |
|----------------------|------|------------------|------------|-----------|--------|

## ATT&CK Techniques Observed
| Tactic | Technique (ID) | Evidence |
|--------|----------------|----------|

## Assumptions & Intelligence Gaps
- [Assumption / gap and how it affects confidence]

## Recommended Actions
- [Detection to deploy → Skill 12 / 15] · [Hunt to run → Skill 06] · [Emulation to validate → Skill 22]

---

脚本参考

cti_processor.py

# Extract, defang, normalize, dedup IOCs from a report and print a summary
python scripts/cti_processor.py --input report.txt

# Emit a STIX 2.1 bundle and a MISP-style event
python scripts/cti_processor.py --input report.txt --stix iocs_stix.json --misp event.json

# Tag every indicator with a TLP marking and an Admiralty source score
python scripts/cti_processor.py --input report.txt --tlp AMBER --source-score B2 --output iocs.json

# Optional live enrichment (adds network calls; requires `requests`)
python scripts/cti_processor.py --input report.txt --enrich --output iocs.json

# Self-contained demonstration on a bundled sample report
python scripts/cti_processor.py --demo

提取 IPv4／IPv6、域名、URL、电子邮件、MD5／SHA1／SHA256 哈希、CVE、ASN 和加密货币地址；还原混合去武器化格式，将内容规范化并验证，剔除私有地址／文档示例等噪声，去重，并导出带有 TLP 和 Admiralty 评分的 STIX 2.1／MISP 风格 JSON。提取和置信度均基于启发式规则——发布确认指标前请先核实。

---

技能集成

条件	后续技能
指标已准备好用于搜索环境	→ Skill 06（威胁狩猎）
报告中提到的恶意软件样本是关键依据	→ Skill 05（恶意软件分析），获取技术事实
需要确定被引用 CVE 的优先级	→ Skill 02（漏洞扫描器），获取 CVSS／EPSS／KEV
需要将指标／TTP 转化为检测规则	→ Skill 12（日志分析／Sigma）和 Skill 15（蓝队）
需要根据评估结果开展仿真	→ Skill 22（紫队），验证对该行为者 TTP 的检测能力
CTI 为攻击行动的威胁模型提供依据	→ Skill 14（红队行动）
为领导层／合规工作制定战略风险框架	→ Skill 19（GRC 与合规）
在实时 IR 期间产出情报	← Skill 07（事件响应）

---

参考资料

• STIX 2.1（OASIS） · TAXII 2.1（OASIS）
• MITRE ATT&CK
• 入侵分析的钻石模型（Caltagirone、Pendergast、Betz）
• Lockheed Martin 网络杀伤链
• MISP — 开源威胁情报平台
• FIRST 交通灯协议（TLP）2.0
• Admiralty / NATO 信息来源可靠性评级
• CIA — 概率估计用语（Sherman Kent）
• 情报分析心理学 / ACH（Richards Heuer）