IntelOwl Docker镜像文档

镜像概述和主要用途

IntelOwl是一个开源威胁情报管理解决方案，旨在大规模收集、分析和管理威胁情报数据。该Docker镜像提供了一个便捷的部署方式，使安全分析师能够通过单一API请求从多个来源获取关于恶意软件、IP地址或域名的威胁情报数据。

IntelOwl集成了多种在线分析工具和先进的恶意软件分析工具，为安全团队提供集中化的威胁情报分析平台，可显著提高安全事件响应效率和威胁检测能力。

核心功能和特性

主要功能

• 威胁情报富集：支持文件和可观察对象(IP、域名、URL、哈希等)的情报富集
• REST API：基于Django和Python构建的完整REST API接口
• 易于集成：可轻松集成到现有安全工具栈中，自动化SOC分析师的常见工作
• 内置GUI：提供仪表板、分析数据可视化、便捷的分析请求表单等功能
• 模块化插件框架：
  • 分析器(analyzers)：从外部来源获取数据或使用内部工具生成情报
  • 连接器(connectors)：将数据导出到外部平台
  • 枢纽(pivots)：触发分析链的执行并将其相互连接
  • 可视化器(visualizers)：在GUI中创建分析结果的自定义可视化
  • 摄入器(ingestors)：自动摄入可观察对象或文件流
  • 剧本(playbooks)：使分析易于重复执行
  • 数据模型：将从分析器提取的不同数据映射到单一通用模式
• 调查起点：用户可以记录调查结果、关联发现的信息并进行协作

技术特点

• 可扩展性：专为横向扩展设计，可根据需求增加分析能力
• 高效性：加速威胁情报检索过程，提高分析效率
• 灵活性：支持自定义规则和分析器集成
• 安全性：遵循安全最佳实践，定期更新和安全审查

使用场景和适用范围

IntelOwl适用于以下场景和用户群体：

主要使用场景

• 恶意软件分析：自动化分析可疑文件，提取IOCs和行为特征
• 威胁狩猎：主动搜索和识别潜在威胁
• 事件响应：加速安全事件的调查和响应过程
• 威胁情报管理：集中管理和整合来自多个来源的威胁情报
• 安全运营中心(SOC)：作为SOC的核心威胁情报平台

适用用户群体

• 安全分析师：提高日常分析工作效率
• 安全研究人员：快速获取和验证威胁情报
• 企业安全团队：构建内部威胁情报能力
• 学术机构：恶意软件和网络安全研究
• 政府机构：网络安全防御和响应

详细的使用方法和配置说明

Docker部署方案

使用docker run部署

# 拉取镜像
docker pull intelowlproject/intelowl

# 运行容器
docker run -d \
  --name intelowl \
  -p 80:80 \
  -p 443:443 \
  -v intelowl_data:/app/data \
  -e DJANGO_SECRET_KEY="your_secret_key" \
  -e POSTGRES_PASSWORD="your_db_password" \
  intelowlproject/intelowl

使用docker-compose部署

创建docker-compose.yml文件：

version: '3'

services:
  web:
    image: intelowlproject/intelowl
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - intelowl_data:/app/data
    environment:
      - DJANGO_SECRET_KEY=your_secret_key
      - POSTGRES_PASSWORD=your_db_password
      - POSTGRES_USER=intelowl
      - POSTGRES_DB=intelowl_db
      - POSTGRES_HOST=db
    depends_on:
      - db
      - redis

  db:
    image: postgres:13
    volumes:
      - postgres_data:/var/lib/postgresql/data/
    environment:
      - POSTGRES_PASSWORD=your_db_password
      - POSTGRES_USER=intelowl
      - POSTGRES_DB=intelowl_db

  redis:
    image: redis:6
    volumes:
      - redis_data:/data

volumes:
  intelowl_data:
  postgres_data:
  redis_data:

启动服务：

docker-compose up -d

配置参数和环境变量

核心环境变量

分析器配置

IntelOwl支持多种分析器，每个分析器可能需要特定的API密钥或配置。这些配置可以通过环境变量或配置文件进行设置，例如：

可用分析器类型

内置模块分析器

• 静态Office文档、RTF、PDF、PE、ELF、APK文件分析和元数据提取
• 字符串反混淆和分析(FLOSS、Stringsifter等)
• Yara、ClamAV恶意软件扫描(支持自定义规则)
• 使用Qiling和Speakeasy进行PE仿真
• PE签名验证
• PE能力提取(CAPA和Blint)
• Javascript仿真(Box-js)
• Android恶意软件分析(Quark-Engine、Androguard、Mobsf等)
• SPF和DMARC验证器
• PCAP分析(Suricata和Hfinger)
• Honeyclients(Thug、Selenium)
• 扫描器(WAD、Nuclei等)

外部服务分析器

• Abuse.ch (MalwareBazaar、URLhaus、Threatfox、YARAify)
• GreyNoise v2
• Intezer
• VirusTotal v3
• Crowdsec
• URLscan
• Shodan
• AlienVault OTX
• Intelligence_X
• MISP
• 以及更多第三方威胁情报服务

相关资源

• 官方文档：[***]
• GitHub仓库：[***]
• 官方网站：[***]
• 在线演示：[***]
• Python客户端库：pyintelowl
• Go客户端库：go-intelowl

维护者信息

• Matteo Lodi：作者、顾问和管理员
• Daniele Rosetti：管理员和前端维护者
• Simone Berni：后端维护者
• Federico Gibertoni：维护者和社区助理
• Eshaan Bansal：主要贡献者