emalderson/thephish

ThePhish Docker镜像文档

概述

ThePhish是一款基于TheHive、Cortex和MISP的自动化钓鱼邮件分析工具。它是一个使用Python 3和Flask框架开发的Web应用，能够自动化完成钓鱼邮件的整个分析流程——从提取邮件头和正文中的可观察对象，到生成最终分析结论（多数情况下结论可直接作为最终判断）。此外，该工具允许分析师在分析过程中进行干预，必要时获取被分析邮件的更多详细信息。为实现与TheHive和Cortex的交互，ThePhish使用TheHive4py和Cortex4py这两个Python API客户端，分别调用TheHive和Cortex提供的REST API。

核心功能和特性

• 自动化分析流程：自动提取邮件头、正文的可观察对象（如URL、IP、域名、附件哈希等），并完成分析及结论生成
• Web应用界面：基于Flask构建的直观Web界面，方便用户操作和查看分析结果
• 多平台集成：与TheHive（安全事件响应平台）、Cortex（分析引擎）和MISP（威胁情报平台）深度集成
• 分析师干预机制：支持分析师在自动化分析流程中介入，手动获取更多细节或调整分析参数
• Python API客户端：通过TheHive4py和Cortex4py实现与TheHive、Cortex的高效API交互

使用场景和适用范围

• 企业安全团队：用于日常钓鱼邮件检测与分析，提升安全响应效率
• SOC（安全运营中心）：作为自动化分析工具，减轻分析师手动处理钓鱼邮件的工作量
• 安全研究人员：辅助分析钓鱼邮件样本，快速提取IOC（指标）并关联威胁情报
• 教育机构：用于网络安全培训，演示钓鱼邮件分析流程

使用方法和配置说明

前置条件

使用ThePhish镜像前，需确保已部署以下服务并获取相应的API访问凭证：

• TheHive服务器（提供API URL和访问密钥）
• Cortex服务器（提供API URL和访问密钥）
• MISP服务器（可选，提供API URL和访问密钥）

Docker部署示例

基本运行命令

bash
docker run -d \
  --name thephish \
  -p 5000:5000 \
  -e THEHIVE_URL="https://your-thehive-instance:9000" \
  -e THEHIVE_API_KEY="your-thehive-api-key" \
  -e CORTEX_URL="https://your-cortex-instance:9001" \
  -e CORTEX_API_KEY="your-cortex-api-key" \
  -e MISP_URL="https://your-misp-instance" \  # 可选
  -e MISP_API_KEY="your-misp-api-key" \      # 可选
  emalderson/thephish:latest

Docker Compose配置（示例）

yaml
version: '3'
services:
  thephish:
    image: docker.xuanyuan.run/emalderson/thephish:latest
    container_name: thephish
    ports:
      - "5000:5000"
    environment:
      - THEHIVE_URL=https://your-thehive-instance:9000
      - THEHIVE_API_KEY=your-thehive-api-key
      - CORTEX_URL=https://your-cortex-instance:9001
      - CORTEX_API_KEY=your-cortex-api-key
      - MISP_URL=https://your-misp-instance  # 可选
      - MISP_API_KEY=your-misp-api-key      # 可选
    restart: unless-stopped

配置参数说明

访问应用

容器启动后，通过浏览器访问 http://<宿主机IP>:5000 即可打开ThePhish的Web界面，开始使用钓鱼邮件分析功能。

更多信息

详细使用说明和更新日志，请参考https://github.com/emalderson/ThePhish%E3%80%82