intelowlproject/intelowl_nuclei_analyzer

IntelOwl 镜像文档

镜像概述和主要用途

IntelOwl是一个开源的威胁情报管理解决方案，旨在规模化管理威胁情报。它集成了多种在线分析器和前沿***软件分析工具，支持通过单一API请求从多个来源获取威胁情报数据，适用于安全运营中心（SOC）分析师、威胁情报团队等，可自动化常见的威胁分析任务。

核心功能和特性

• 威胁情报富集：支持文件及可观察对象（IP、域名、URL、哈希等）的威胁情报富集。
• REST API：基于Django和Python构建的完善REST API，便于集成到现有安全工具栈，官方提供pyintelowl和go-intelowl库支持。
• 内置GUI：提供仪表板、分析数据可视化、分析请求表单等功能，简化操作流程。
• 模块化插件框架：
  • 分析器（Analyzers）：从外部源（如VirusTotal、AbuseIPDB）获取数据或通过内部工具（如Yara、Oletools、Nuclei）生成情报。
  • 连接器（Connectors）：将数据导出到外部平台（如MISP、OpenCTI）。
  • 关联器（Pivots）：触发分析链执行并实现分析间的相互连接。
  • 可视化器（Visualizers）：在GUI中创建自定义分析结果可视化。
  • 摄入器（Ingestors）：自动摄入可观察对象或文件流至系统。
  • 剧本（Playbooks）：使分析流程可重复执行。
  • 数据模型：将分析器提取的不同数据映射到统一模式。
• 调查协作平台：支持分析师记录发现、关联信息和团队协作。

使用场景和适用范围

• SOC分析师日常威胁分析与情报收集工作自动化。
• ***软件、IP地址、域名等威胁实体的多源数据聚合分析。
• 安全工具栈集成，构建自动化威胁情报工作流。
• 威胁情报团队的协作分析与信息共享。

使用方法和配置说明

Docker部署示例

Docker Compose配置（推荐）

创建docker-compose.yml文件：

yaml
version: '3'
services:
  intelowl:
    image: intelowlproject/intelowl
    ports:
      - "8000:8000"
    environment:
      - DJANGO_SETTINGS_MODULE=intel_owl.settings.production
      - SECRET_KEY=your_secure_secret_key
      - DATABASE_URL=postgres://user:password@db:5432/intelowl
    depends_on:
      - db
  db:
    image: postgres:13
    environment:
      - POSTGRES_USER=user
      - POSTGRES_PASSWORD=password
      - POSTGRES_DB=intelowl
    volumes:
      - postgres_data:/var/lib/postgresql/data

volumes:
  postgres_data:

启动服务：

bash
docker-compose up -d

简化Docker Run命令

bash
docker run -d -p 8000:8000 -e SECRET_KEY=your_secret_key intelowlproject/intelowl

核心配置参数

环境变量

• DJANGO_SETTINGS_MODULE：Django配置模块，生产环境建议使用intel_owl.settings.production
• SECRET_KEY：应用密钥，需自定义高强度字符串
• DATABASE_URL：数据库连接地址，格式为postgres://user:password@host:port/dbname
• REDIS_URL：Redis连接地址（如需分布式任务处理）

访问与使用

• GUI访问：部署后通过http://localhost:8000访问Web界面，进行分析任务提交和结果查看
• API访问：通过http://localhost:8000/api/使用REST API，详细文档见官方API指南
• 分析器配置：在GUI或通过API配置分析器参数（如API密钥、超时时间等）

可用分析器类型

IntelOwl集成了丰富的分析器，主要分为两类：

内置模块

• 文件分析：静态Office文档、PDF、PE、ELF、APK分析及元数据提取
• 字符串分析：FLOSS、Stringsifter等工具的字符串反混淆与分析
• ***软件检测：Yara、ClamAV（支持自定义规则）
• 动态分析：Qiling、Speakeasy PE仿真，Box-js Javascript仿真
• 漏洞扫描：Nuclei、WAD等扫描器
• 网络分析：Suricata、Hfinger PCAP分析，Thug、Selenium蜜罐客户端

外部服务

• 威胁情报平台：VirusTotal v3、Abuse.ch（MalwareBazaar/URLhaus/Threatfox/YARAify）、GreyNoise、Shodan、AlienVault OTX
• 沙箱服务：Intezer、Crowdsec
• 威胁数据共享：MISP、Intelligence_X

完整分析器列表可查阅官方文档。