intelowlproject/intelowl_phishing_analyzers Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

Intel Owl

镜像概述和主要用途

Intel Owl是一个开源威胁情报管理解决方案，旨在规模化管理威胁情报。它集成了多种在线分析器和前沿***软件分析工具，支持通过单个API请求从多个来源获取威胁情报数据，适用于文件及可观察对象（IP、域名、URL、哈希等）的威胁情报富集与分析。

核心功能和特性

• 威胁情报富集：支持文件及可观察对象（IP、域名、URL、哈希等）的威胁情报获取与丰富。
• REST API：基于Django和Python构建的完善REST API，便于集成和自动化。
• 易于集成：可通过官方库（pyintelowl、go-intelowl）轻松集成到现有安全工具栈，自动化SOC分析师的常见手动任务。
• 内置GUI：提供仪表板、分析数据可视化、分析请求表单等功能，操作便捷。
• 模块化插件框架：
  • 分析器（Analyzers）：从外部来源（如VirusTotal、AbuseIPDB）获取数据或通过内部工具（如Yara、Oletools）生成情报。
  • 连接器（Connectors）：将数据导出到外部平台（如MISP、OpenCTI）。
  • 枢纽（Pivots）：触发分析链执行并连接各分析流程。
  • 可视化器（Visualizers）：在GUI中创建分析结果的自定义可视化。
  • 摄入器（Ingestors）：自动摄入可观察对象或文件流到IntelOwl。
  • 剧本（Playbooks）：使分析可重复执行。
  • 数据模型：将分析器提取的不同数据映射到统一的通用schema。
• 调查起点：用户可记录发现、关联信息、协作，集中管理调查工作。

使用场景和适用范围

• SOC（安全运营中心）分析师：自动化威胁情报收集与分析，减少手动操作。
• 软件分析：集成多种工具进行静态、动态分析，获取全面软件情报。
• 安全工具集成：作为威胁情报中台，与SIEM、SOAR等工具集成，增强检测能力。
• 威胁狩猎：通过多源情报富集，发现潜在威胁和***模式。

详细使用方法和配置说明

安装与部署

Intel Owl推荐通过Docker部署，详细安装指南请参考官方文档。

Docker部署示例

使用Docker Compose进行部署的基本步骤：

1. 克隆仓库：

   bash
   git clone [***] && cd IntelOwl
   

2. 配置环境变量：复制.env.example为.env并根据需求修改配置
3. 启动服务：

   bash
   docker-compose up -d
   

API使用示例

通过REST API提交IP分析请求：

bash
curl -X POST http://localhost:8000/api/analyze/ \
  -H "Authorization: Token YOUR_API_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"observable_name": "8.8.8.8", "observable_type": "ip", "analyzers_requested": ["VirusTotal_v3", "AbuseIPDB"]}'

可用分析器

内置模块

• 静态文档分析：Office文档、RTF、PDF、PE、ELF、APK文件分析及元数据提取
• 字符串反混淆与分析：FLOSS、Stringsifter等
• ***软件检测：Yara、ClamAV（支持自定义规则）
• PE分析：Qiling和Speakeasy PE仿真、签名验证、CAPA和Blint能力提取
• JavaScript仿真：Box-js
• Android***软件分析：Quark-Engine、Androguard、Mobsfscan等
• SPF和DMARC验证
• PCAP分析：Suricata、Hfinger
• 蜜罐客户端：Thug、Selenium
• 扫描器：WAD、Nuclei等

外部服务

• Abuse.ch：MalwareBazaar、URLhaus、Threatfox、YARAify
• GreyNoise v2
• Intezer
• VirusTotal v3
• Crowdsec
• URLscan
• Shodan
• AlienVault OTX
• Intelligence_X
• MISP等

文档与资源

完整文档请访问Intel Owl官方文档，包含安装、配置、使用及贡献指南。