intelowlproject/intelowl_thug

Intel Owl 镜像文档

镜像概述

Intel Owl 是一个开源威胁情报管理解决方案，旨在实现威胁情报的规模化管理。它集成了众多在线分析器和前沿***分析工具，支持通过单一API请求从多源获取威胁情报数据，适用于安全团队自动化威胁分析流程、加速情报检索与协作调查。

核心功能与特性

核心能力

• 威胁情报富集：支持文件及可观察对象（IP、域名、URL、哈希等）的多源情报收集与分析。
• REST API：基于Django和Python构建的完整RESTful API，便于集成到现有安全工具栈。
• 内置GUI：提供仪表盘、分析数据可视化、分析请求表单等功能，简化操作流程。
• 模块化插件框架：
  • 分析器（Analyzers）：从外部源（如VirusTotal、AbuseIPDB）获取数据或通过内部工具（如Yara、Oletools）生成情报。
  • 连接器（Connectors）：将数据导出至外部平台（如MISP、OpenCTI）。
  • 枢轴（Pivots）：触发链式分析并实现分析间关联。
  • 可视化器（Visualizers）：在GUI中自定义分析结果可视化。
  • 摄入器（Ingestors）：自动摄入可观察对象或文件流至IntelOwl。
  • 剧本（Playbooks）：实现分析流程的可重复执行。
  • 数据模型：将不同分析器提取的数据映射至统一 schema。
  • 工件（Artifacts）：可观察对象或文件的表示，支持多次分析。
  • 用户事件：允许用户为工件添加自定义评估或附加信息。
• 调查起点：支持用户记录发现、关联信息、协作分析，整合调查流程。

使用场景与适用范围

• SOC（安全运营中心）：自动化分析师日常情报查询工作，提升响应效率。
• 分析：集成静态/动态分析工具，快速评估文件性。
• 威胁情报自动化：与SIEM、SOAR等工具集成，构建自动化威胁检测与响应流程。
• 安全事件响应：集中管理多源情报，加速事件调查与溯源。
• 研究与教育：作为开源工具，支持威胁情报相关研究与学习。

使用方法与配置说明

安装与部署

Intel Owl 推荐通过Docker Compose部署，详细步骤请参考https://intelowlproject.github.io/docs/%E3%80%82%E5%9F%BA%E6%9C%AC%E9%83%A8%E7%BD%B2%E6%B5%81%E7%A8%8B%E5%A6%82%E4%B8%8B%EF%BC%9A

1. 克隆仓库：

   bash
   git clone https://github.com/intelowlproject/IntelOwl.git
   cd IntelOwl
   

2. 配置环境变量（参考.env.example）：

   bash
   cp .env.example .env
   # 编辑.env文件设置必要参数（如API密钥、数据库配置等）
   

3. 启动服务：

   bash
   docker-compose up -d
   

配置参数

主要配置项包括：

• API密钥：用于访问外部服务（如VirusTotal、Shodan）的凭证，需在.env中配置。
• 分析器启用/禁用：通过管理界面或配置文件控制特定分析器的启用状态。
• 数据库配置：支持PostgreSQL等数据库，配置数据库连接参数。
• 存储设置：配置分析结果和文件的存储路径。

API使用示例

通过API提交分析请求（以分析IP为例）：

bash
curl -X POST http://localhost:8000/api/analyze/observable \
  -H "Authorization: Token YOUR_API_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "observable_name": "8.8.8.8",
    "observable_type": "ip",
    "analyzers_requested": ["VirusTotal_v3", "AbuseIPDB"]
  }'

可用分析器

内置模块

• 静态文件分析：Office文档、RTF、PDF、PE、ELF、APK的元数据提取与分析。
• 字符串处理：FLOSS（字符串解混淆）、Stringsifter（字符串评分）等。
• ***检测：Yara、ClamAV（支持自定义规则）。
• PE分析：Qiling/Speakeasy仿真、签名验证、CAPA/Blint能力提取。
• JavaScript仿真：Box-js。
• 安卓分析：Quark-Engine、Androguard、Mobsfscan等。
• 网络分析：SPF/DMARC验证、Suricata/Hfinger PCAP分析。
• 蜜罐客户端：Thug、Selenium。
• 扫描工具：WAD、Nuclei等。

外部服务

• Abuse.ch（MalwareBazaar、URLhaus、Threatfox、YARAify）
• GreyNoise v2、Intezer、VirusTotal v3
• Crowdsec、URLscan、Shodan、AlienVault OTX
• Intelligence_X、MISP等。

合作伙伴与赞助商

• Certego：意大利MDR和威胁情报提供商，IntelOwl的诞生地及主要维护方。
• The Honeynet Project：开源网络安全组织，提供IntelOwl公开演示实例（[***]
• Google Summer of Code：IntelOwl长期参与该计划，推动项目发展。
• Docker：通过Docker开源计划支持镜像管理。
• DigitalOcean：通过开源计划提供基础设施支持。

参考资源

• 官方文档：https://intelowlproject.github.io/docs/
• GitHub仓库：https://github.com/intelowlproject/IntelOwl
• Docker镜像：https://hub.docker.com/repository/docker/intelowlproject/intelowl