基于 MISP 的威胁情报源聚合实战PyMISP API、源配置与 SIEM 集成全指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills本指南以 Anthropic-Cybersecurity-Skills 仓库中skills/building-threat-feed-aggregation-with-misp技能为核心围绕其 API 参考文档系统讲解如何通过 PyMISP 与 MISP REST API 完成威胁情报源的增删改查、抓取缓存、事件检索与 STIX/TAXII 导出并结合仓库自带的自动化聚合脚本给出从 Docker 部署到 Splunk/Elasticsearch 落地的完整闭环方案。读完本文你将掌握一套可直接复制运行的 MISP 源聚合与 SIEM 对接能力。技能背景与适用场景MISPMalware Information Sharing Platform是开源社区主流的威胁情报平台用于收集、存储、分发和共享网络安全指标IOC与威胁情报。本技能属于仓库threat-intelligence子域用于搭建集中式 IOC 管理或将多源威胁情报接入 SIEM的场景。技能元数据中声明了与主流框架的对应关系见 SKILL.mdNIST CSF 2.0ID.RA-01、ID.RA-05风险评估、DE.CM-01持续监控、DE.AE-02不良事件分析其映射方法论可参考 NIST CSF 映射MITRE ATTCKT1071应用层协议、T1105工具传输、T1588.001获取能力-恶意软件即聚合外部源本质上是在对抗方资源开发/命令与控制阶段进行指标落地。PyMISP 客户端安装与初始化PyMISP 是 MISP 官方维护的 Python 客户端封装了 REST API。API 参考文档给出的安装方式为pip install pymisp客户端初始化需要实例 URL 与 API Keyfrom pymisp import PyMISP import os misp PyMISP( urlhttps://misp.example.org, keyos.environ.get(MISP_API_KEY, ), sslTrue )参数说明参数说明urlMISP 实例的基础 URL如https://misp.organization.comkey在 MISP 网页端API access页面生成的 API Key建议通过环境变量注入避免硬编码ssl是否校验 TLS 证书自建测试环境若使用自签名证书可置为False生产环境务必保持True实践提示仓库 agent.py 展示了不依赖 PyMISP 的原生 REST 封装方式——它构造Authorization头直接请求feeds/index、attributes/restSearch等端点并支持通过环境变量SKIP_TLS_VERIFYtrue在实验室环境跳过证书校验。两种方式可互为补充PyMISP 适合交互式脚本原生 REST 适合轻量级工具链。源管理Feed Management核心 API 一览API 参考文档将源管理归纳为 5 个核心调用这是整个聚合体系的操作基石# 1. 列出所有源 feeds misp.feeds() # 2. 启用某个源 misp.enable_feed(feed_id1) # 3. 抓取源数据 misp.fetch_feed(feed_id1) # 4. 本地缓存源 misp.cache_feeds() # 5. 新增源 feed misp.add_feed( nameAbuse.ch URLhaus, providerabuse.ch, urlhttps://urlhaus.abuse.ch/downloads/csv_recent/, input_sourcenetwork, source_formatcsv )对上述调用逐项展开说明feeds()返回实例上已配置的全部源列表。仓库 agent.py 中的list_feeds()通过feeds/index端点实现并把结果规整为id / name / provider / url / enabled / source_format / caching_enabled字段清单便于后续做健康度评估。enable_feed(feed_id)启用指定源。MISP 默认附带 80 个 OSINT 源如 abuse.ch URLhaus、Botvrij、CIRCL OSINT 等多数默认处于禁用状态需要按需启用。仓库 SKILL.md 的enable_default_feeds()会按白名单批量启用CIRCL OSINT Feed、Botvrij.eu - Indicators of Compromise、abuse.ch URLhaus Host file、abuse.ch Feodo Tracker、abuse.ch SSL Blacklist等推荐源并同步调用enable_feed_cache()打开缓存。fetch_feed(feed_id)触发单源抓取。在 agent.py 中对应feeds/cacheFeeds/{feed_id}端点。cache_feeds()将远端源内容缓存到本地后续检索直接命中本地数据避免反复外联。注意fetch_feed与cacheFeeds在语义上等价——抓取即缓存。add_feed(...)注册自定义源。input_source决定数据来源network走 URLlocal指向本地上传文件source_format决定解析器。仓库 SKILL.md 中的 MISPFeedManager 给出了更完整的工程化写法——使用MISPFeed数据模型构造源对象可额外指定caching_enabledTrue、publishFalse不主动发布到同步伙伴、distribution3允许全社区分发再通过add_feed()注册并回读feed_idfrom pymisp import PyMISP, MISPFeed feed MISPFeed() feed.name Abuse.ch MalwareBazaar Recent feed.provider abuse.ch feed.url https://bazaar.abuse.ch/export/csv/recent/ feed.source_format csv feed.input_source network feed.enabled True feed.caching_enabled True feed.publish False feed.distribution 3 # All communities result misp.add_feed(feed) feed_id result[Feed][id]常见威胁情报源清单API 参考文档整理了 5 个开箱即用的公共源覆盖 CSV、MISP、JSON 三种格式可作为首次搭建的首选组合源URL格式Abuse.ch URLhaushttps://urlhaus.abuse.ch/downloads/csv_recent/CSVAbuse.ch Feodohttps://feodotracker.abuse.ch/downloads/ipblocklist.csvCSVCIRCL OSINThttps://www.circl.lu/doc/misp/feed-osint/MISPBotvrij.euhttps://www.botvrij.eu/data/feed-osint/MISPPhishTankhttps://data.phishtank.com/data/online-valid.jsonJSON选择建议CSV 源URLhaus、Feodo解析快、字段规整适合高吞吐抓取典型用途是 IP 黑名单MISP 原生源CIRCL、Botvrij自带事件结构、标签与关联关系聚合价值最高JSON 源PhishTank结构灵活适合钓鱼 URL 类指标。MISPFeedManager.add_custom_feed()还示范了如何将任意公开 CSV 端点如 MalwareBazaar 的 recent 导出注册为自定义源扩展能力不受默认清单限制。源配置字段详解API 参考文档给出了源对象的完整字段语义这是理解 MISP 源行为的关键字段说明name人类可读的源名称用于界面与日志识别provider提供该源的组织/项目名称如abuse.churl源 URL 或本地路径input_sourcelocal时生效input_sourcenetwork远程抓取或local本地文件source_format源数据格式misp、csv、freetext、stixenabled布尔值是否激活该源distribution分发范围0Org本组织、1Community本社区、2Connected互联社区、3All全社区delta_merge仅导入新增/变更数据避免重复入库结合仓库源码补充三点工程细节source_format与解析器SKILL.md 明确指出 MISP 支持 MISP 原生 JSON、CSV、以及 freetext自由文本依赖自动 IOC 抽取三类解析路径API 参考进一步将stix纳入可选格式。新增源前务必确认源输出与所选解析器匹配否则抓取会返回格式错误。distribution的合规含义3All意味着该源产生的数据可向全部互联社区分发。SKILL.md 的自定义源示例主动将distribution设为3以最大化共享价值但在企业私有实例中应结合数据敏感度收窄为0或1。enabled与caching_enabled是独立开关启用源不等于缓存数据仓库enable_default_feeds()会成对调用enable_feed()与enable_feed_cache()agent.py 的assess_feed_health()也分别统计enabled与caching_enabled用于计算源健康分。事件操作搜索、关联与属性写入源数据抓取入库后形成 Event事件→ Attribute属性/IOC两级结构。API 参考文档给出了三类事件操作# 按标签搜索事件 events misp.search(tags[tlp:white, type:OSINT]) # 获取事件属性 event misp.get_event(event_id42) for attr in event.Attribute: print(f{attr.type}: {attr.value}) # 向事件追加属性 misp.add_attribute(event_id42, typeip-dst, value198.51.100.1)仓库 SKILL.md 的 search_indicators() 将其扩展为带关联聚合的检索函数支持valueIOC 值、type_attribute属性类型如ip-dst、tags如tlp:white、type:OSINT三类过滤条件并自动附加date_from默认近 30 天、publishedTrue、enforceWarninglistTrue强制命中预警名单的数据不返回降低误报。返回结果按event_id分组把每个事件下的属性与标签聚合成上下文方便分析师判断 IOC 出处。底层调用链在 agent.py 中同样清晰attributes/restSearch端点接收{returnFormat:json,limit:1000,last:30d}请求体支持type与value过滤服务端以response.Attribute数组返回。跨源关联是 MISP 的核心价值之一。仓库correlate_across_feeds()以某个 IOC 值发起attributes/restSearch再对命中结果的event_id去重输出该 IOC 出现在哪些事件中agent.pydata misp_request(url, key, attributes/restSearch, methodPOST, data{returnFormat: json, value: ioc_value, limit: 100}) attributes data.get(response, {}).get(Attribute, [])例如用203.0.113.1做关联搜索可立即看到该 IP 是否同时在 URLhaus、Feodo、CIRCL 多个源的事件中出现——多源同报即显著提升指标可信度。STIX/TAXII 导出与 SIEM 集成REST 层面的 STIX/TAXII 导出API 参考文档给出两条纯 REST 的导出通道# STIX 导出v2 格式 curl -H Authorization: $MISP_KEY \ https://misp.example.org/events/restSearch/stix2 # TAXII 集合列表 curl https://misp.example.org/taxii2/collectionsevents/restSearch/stix2把 MISP 事件流序列化为 STIX 2 对象供支持 STIX 的消费端如 SOAR、情报分析平台直接消化taxii2/collectionsMISP 内置 TAXII 2 服务端模块向 STIX/TAXII 消费者提供标准化的集合发现与拉取能力。推送式集成Splunk HEC 与防火墙黑名单仓库 SKILL.md 的 MISPSIEMExporter 提供了两种更贴近日常运营的导出方案方案一Splunk HEC 事件推送对近 N 天默认 7 天的已发布属性执行misp.search(attributes, ...)逐条封装为 Splunk HEC 事件写入threat_intel索引event { event: { ioc_type: attr.get(type, ), ioc_value: attr.get(value, ), category: attr.get(category, ), event_id: attr.get(event_id, ), timestamp: attr.get(timestamp, ), tags: [t.get(name, ) for t in attr.get(Tag, [])], }, sourcetype: misp:attribute, source: misp, index: threat_intel, } resp requests.post( f{splunk_url}/services/collector/event, headers{Authorization: fSplunk {hec_token}}, jsonevent, )Elasticsearch 侧可直接以相同数据模型投递到相应索引或经由 Logstash 的 REST input 消费 STIX 流。方案二扁平 IOC 黑名单导出export_ioc_list()按ip-dst / domain / hostname / url等类型分别查询近 N 天指标去重排序后写入纯文本文件供防火墙、代理或 DNS 层直接加载exporter.export_ioc_list(blocklist_ips.txt, ioc_types[ip-dst], days7)这两类方案互补HEC 推送支撑实时告警关联扁平清单支撑基础网络设备的阻断执行。端到端落地Docker 部署与自动化聚合报告Step 1Docker Compose 部署 MISPSKILL.md 提供了完整的三容器编排MISP 主应用coolacid/misp-docker:core-latest、MySQL 8.0数据持久化与 Redis 7缓存/任务队列# docker-compose.yml version: 3.8 services: misp: image: coolacid/misp-docker:core-latest container_name: misp restart: unless-stopped ports: - 443:443 - 80:80 environment: - MYSQL_HOSTmisp-db - MYSQL_DATABASEmisp - MYSQL_USERmisp - MYSQL_PASSWORDmisp_db_password_change_me - MISP_ADMIN_EMAILadminorganization.com - MISP_ADMIN_PASSPHRASEadmin_password_change_me - MISP_BASEURLhttps://misp.organization.com - POSTFIX_RELAY_HOSTsmtp.organization.com - TIMEZONEUTC volumes: - misp-data:/var/www/MISP/app/files - misp-config:/var/www/MISP/app/Config depends_on: - misp-db - misp-redis misp-db: image: mysql:8.0 container_name: misp-db restart: unless-stopped environment: - MYSQL_DATABASEmisp - MYSQL_USERmisp - MYSQL_PASSWORDmisp_db_password_change_me - MYSQL_ROOT_PASSWORDroot_password_change_me volumes: - misp-db-data:/var/lib/mysql misp-redis: image: redis:7 container_name: misp-redis restart: unless-stopped volumes: misp-data: misp-config: misp-db-data:生产部署要求Linux 服务器 8GB 内存、Docker 与 Docker Compose、Python 3.9PyMISP 客户端、以及对各源 URL 的出站网络访问。部署后通过MISP_BASEURL对应的域名访问 Web 界面并在 API access 页面生成 API Key。Step 2一键聚合报告agent.py仓库提供的 agent.py 是一个不依赖 PyMISP 的独立聚合器串起完整的数据流——源清单 → 抓取缓存 → 聚合统计 → 健康评估 → 关联搜索 → JSON 报告python skills/building-threat-feed-aggregation-with-misp/scripts/agent.py \ --url https://misp.organization.com \ --key YOUR_MISP_API_KEY \ --days 30 \ --correlate 203.0.113.1 \ --output feed_aggregation_report.json其内部实现要点聚合统计agent.py对近 N 天事件调用events/restSearch按威胁等级1High、2Medium、3Low、4Undefined、来源组织、标签、属性类型四个维度做defaultdict计数回答全网威胁态势如何分布源健康度agent.py统计总源数/启用数/缓存启用数并给出health_score enabled/total × 100快速定位哪些源配了但没用上报告输出最终将源清单、健康度、聚合统计与可选关联结果序列化为带缩进的 JSON 文件。配合 SKILL.md 的MISPFeedManager启用默认源、添加自定义源、批量抓取即可完成部署 → 配源 → 抓取 → 检索 → 导出的完整闭环。验证标准SKILL.md 定义的验收标准可直接作为自动化巡检断言MISP 已部署Web 界面与 API 均可访问默认 OSINT 源已启用并成功抓取数据自定义源已添加并正常入库指标指标可检索且能在跨事件关联中命中IOC 成功导出至 SIEMSplunk/Elasticsearch已生成防火墙/代理可用的黑名单文件。结语从 PyMISP 客户端的 5 个核心源管理调用到 STIX/TAXII 导出与 Splunk HEC 推送本技能覆盖了威胁情报聚合的完整生命周期。本文所有命令与代码均直接取自仓库 api-reference.md、SKILL.md 与 agent.py可在自己的 MISP 实例上按序复制执行如需验证技能元数据格式可运行仓库自带的校验脚本 tools/validate-skill.py整个技能库的框架覆盖情况则可通过 attack-navigator-layer.json 在 MITRE ATTCK Navigator 中可视化查看。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 基于 MISP 的威胁情报源聚合实战：PyMISP API、源配置与 SIEM 集成全指南
基于 MISP 的威胁情报源聚合实战PyMISP API、源配置与 SIEM 集成全指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills本指南以 Anthropic-Cybersecurity-Skills 仓库中skills/building-threat-feed-aggregation-with-misp技能为核心围绕其 API 参考文档系统讲解如何通过 PyMISP 与 MISP REST API 完成威胁情报源的增删改查、抓取缓存、事件检索与 STIX/TAXII 导出并结合仓库自带的自动化聚合脚本给出从 Docker 部署到 Splunk/Elasticsearch 落地的完整闭环方案。读完本文你将掌握一套可直接复制运行的 MISP 源聚合与 SIEM 对接能力。技能背景与适用场景MISPMalware Information Sharing Platform是开源社区主流的威胁情报平台用于收集、存储、分发和共享网络安全指标IOC与威胁情报。本技能属于仓库threat-intelligence子域用于搭建集中式 IOC 管理或将多源威胁情报接入 SIEM的场景。技能元数据中声明了与主流框架的对应关系见 SKILL.mdNIST CSF 2.0ID.RA-01、ID.RA-05风险评估、DE.CM-01持续监控、DE.AE-02不良事件分析其映射方法论可参考 NIST CSF 映射MITRE ATTCKT1071应用层协议、T1105工具传输、T1588.001获取能力-恶意软件即聚合外部源本质上是在对抗方资源开发/命令与控制阶段进行指标落地。PyMISP 客户端安装与初始化PyMISP 是 MISP 官方维护的 Python 客户端封装了 REST API。API 参考文档给出的安装方式为pip install pymisp客户端初始化需要实例 URL 与 API Keyfrom pymisp import PyMISP import os misp PyMISP( urlhttps://misp.example.org, keyos.environ.get(MISP_API_KEY, ), sslTrue )参数说明参数说明urlMISP 实例的基础 URL如https://misp.organization.comkey在 MISP 网页端API access页面生成的 API Key建议通过环境变量注入避免硬编码ssl是否校验 TLS 证书自建测试环境若使用自签名证书可置为False生产环境务必保持True实践提示仓库 agent.py 展示了不依赖 PyMISP 的原生 REST 封装方式——它构造Authorization头直接请求feeds/index、attributes/restSearch等端点并支持通过环境变量SKIP_TLS_VERIFYtrue在实验室环境跳过证书校验。两种方式可互为补充PyMISP 适合交互式脚本原生 REST 适合轻量级工具链。源管理Feed Management核心 API 一览API 参考文档将源管理归纳为 5 个核心调用这是整个聚合体系的操作基石# 1. 列出所有源 feeds misp.feeds() # 2. 启用某个源 misp.enable_feed(feed_id1) # 3. 抓取源数据 misp.fetch_feed(feed_id1) # 4. 本地缓存源 misp.cache_feeds() # 5. 新增源 feed misp.add_feed( nameAbuse.ch URLhaus, providerabuse.ch, urlhttps://urlhaus.abuse.ch/downloads/csv_recent/, input_sourcenetwork, source_formatcsv )对上述调用逐项展开说明feeds()返回实例上已配置的全部源列表。仓库 agent.py 中的list_feeds()通过feeds/index端点实现并把结果规整为id / name / provider / url / enabled / source_format / caching_enabled字段清单便于后续做健康度评估。enable_feed(feed_id)启用指定源。MISP 默认附带 80 个 OSINT 源如 abuse.ch URLhaus、Botvrij、CIRCL OSINT 等多数默认处于禁用状态需要按需启用。仓库 SKILL.md 的enable_default_feeds()会按白名单批量启用CIRCL OSINT Feed、Botvrij.eu - Indicators of Compromise、abuse.ch URLhaus Host file、abuse.ch Feodo Tracker、abuse.ch SSL Blacklist等推荐源并同步调用enable_feed_cache()打开缓存。fetch_feed(feed_id)触发单源抓取。在 agent.py 中对应feeds/cacheFeeds/{feed_id}端点。cache_feeds()将远端源内容缓存到本地后续检索直接命中本地数据避免反复外联。注意fetch_feed与cacheFeeds在语义上等价——抓取即缓存。add_feed(...)注册自定义源。input_source决定数据来源network走 URLlocal指向本地上传文件source_format决定解析器。仓库 SKILL.md 中的 MISPFeedManager 给出了更完整的工程化写法——使用MISPFeed数据模型构造源对象可额外指定caching_enabledTrue、publishFalse不主动发布到同步伙伴、distribution3允许全社区分发再通过add_feed()注册并回读feed_idfrom pymisp import PyMISP, MISPFeed feed MISPFeed() feed.name Abuse.ch MalwareBazaar Recent feed.provider abuse.ch feed.url https://bazaar.abuse.ch/export/csv/recent/ feed.source_format csv feed.input_source network feed.enabled True feed.caching_enabled True feed.publish False feed.distribution 3 # All communities result misp.add_feed(feed) feed_id result[Feed][id]常见威胁情报源清单API 参考文档整理了 5 个开箱即用的公共源覆盖 CSV、MISP、JSON 三种格式可作为首次搭建的首选组合源URL格式Abuse.ch URLhaushttps://urlhaus.abuse.ch/downloads/csv_recent/CSVAbuse.ch Feodohttps://feodotracker.abuse.ch/downloads/ipblocklist.csvCSVCIRCL OSINThttps://www.circl.lu/doc/misp/feed-osint/MISPBotvrij.euhttps://www.botvrij.eu/data/feed-osint/MISPPhishTankhttps://data.phishtank.com/data/online-valid.jsonJSON选择建议CSV 源URLhaus、Feodo解析快、字段规整适合高吞吐抓取典型用途是 IP 黑名单MISP 原生源CIRCL、Botvrij自带事件结构、标签与关联关系聚合价值最高JSON 源PhishTank结构灵活适合钓鱼 URL 类指标。MISPFeedManager.add_custom_feed()还示范了如何将任意公开 CSV 端点如 MalwareBazaar 的 recent 导出注册为自定义源扩展能力不受默认清单限制。源配置字段详解API 参考文档给出了源对象的完整字段语义这是理解 MISP 源行为的关键字段说明name人类可读的源名称用于界面与日志识别provider提供该源的组织/项目名称如abuse.churl源 URL 或本地路径input_sourcelocal时生效input_sourcenetwork远程抓取或local本地文件source_format源数据格式misp、csv、freetext、stixenabled布尔值是否激活该源distribution分发范围0Org本组织、1Community本社区、2Connected互联社区、3All全社区delta_merge仅导入新增/变更数据避免重复入库结合仓库源码补充三点工程细节source_format与解析器SKILL.md 明确指出 MISP 支持 MISP 原生 JSON、CSV、以及 freetext自由文本依赖自动 IOC 抽取三类解析路径API 参考进一步将stix纳入可选格式。新增源前务必确认源输出与所选解析器匹配否则抓取会返回格式错误。distribution的合规含义3All意味着该源产生的数据可向全部互联社区分发。SKILL.md 的自定义源示例主动将distribution设为3以最大化共享价值但在企业私有实例中应结合数据敏感度收窄为0或1。enabled与caching_enabled是独立开关启用源不等于缓存数据仓库enable_default_feeds()会成对调用enable_feed()与enable_feed_cache()agent.py 的assess_feed_health()也分别统计enabled与caching_enabled用于计算源健康分。事件操作搜索、关联与属性写入源数据抓取入库后形成 Event事件→ Attribute属性/IOC两级结构。API 参考文档给出了三类事件操作# 按标签搜索事件 events misp.search(tags[tlp:white, type:OSINT]) # 获取事件属性 event misp.get_event(event_id42) for attr in event.Attribute: print(f{attr.type}: {attr.value}) # 向事件追加属性 misp.add_attribute(event_id42, typeip-dst, value198.51.100.1)仓库 SKILL.md 的 search_indicators() 将其扩展为带关联聚合的检索函数支持valueIOC 值、type_attribute属性类型如ip-dst、tags如tlp:white、type:OSINT三类过滤条件并自动附加date_from默认近 30 天、publishedTrue、enforceWarninglistTrue强制命中预警名单的数据不返回降低误报。返回结果按event_id分组把每个事件下的属性与标签聚合成上下文方便分析师判断 IOC 出处。底层调用链在 agent.py 中同样清晰attributes/restSearch端点接收{returnFormat:json,limit:1000,last:30d}请求体支持type与value过滤服务端以response.Attribute数组返回。跨源关联是 MISP 的核心价值之一。仓库correlate_across_feeds()以某个 IOC 值发起attributes/restSearch再对命中结果的event_id去重输出该 IOC 出现在哪些事件中agent.pydata misp_request(url, key, attributes/restSearch, methodPOST, data{returnFormat: json, value: ioc_value, limit: 100}) attributes data.get(response, {}).get(Attribute, [])例如用203.0.113.1做关联搜索可立即看到该 IP 是否同时在 URLhaus、Feodo、CIRCL 多个源的事件中出现——多源同报即显著提升指标可信度。STIX/TAXII 导出与 SIEM 集成REST 层面的 STIX/TAXII 导出API 参考文档给出两条纯 REST 的导出通道# STIX 导出v2 格式 curl -H Authorization: $MISP_KEY \ https://misp.example.org/events/restSearch/stix2 # TAXII 集合列表 curl https://misp.example.org/taxii2/collectionsevents/restSearch/stix2把 MISP 事件流序列化为 STIX 2 对象供支持 STIX 的消费端如 SOAR、情报分析平台直接消化taxii2/collectionsMISP 内置 TAXII 2 服务端模块向 STIX/TAXII 消费者提供标准化的集合发现与拉取能力。推送式集成Splunk HEC 与防火墙黑名单仓库 SKILL.md 的 MISPSIEMExporter 提供了两种更贴近日常运营的导出方案方案一Splunk HEC 事件推送对近 N 天默认 7 天的已发布属性执行misp.search(attributes, ...)逐条封装为 Splunk HEC 事件写入threat_intel索引event { event: { ioc_type: attr.get(type, ), ioc_value: attr.get(value, ), category: attr.get(category, ), event_id: attr.get(event_id, ), timestamp: attr.get(timestamp, ), tags: [t.get(name, ) for t in attr.get(Tag, [])], }, sourcetype: misp:attribute, source: misp, index: threat_intel, } resp requests.post( f{splunk_url}/services/collector/event, headers{Authorization: fSplunk {hec_token}}, jsonevent, )Elasticsearch 侧可直接以相同数据模型投递到相应索引或经由 Logstash 的 REST input 消费 STIX 流。方案二扁平 IOC 黑名单导出export_ioc_list()按ip-dst / domain / hostname / url等类型分别查询近 N 天指标去重排序后写入纯文本文件供防火墙、代理或 DNS 层直接加载exporter.export_ioc_list(blocklist_ips.txt, ioc_types[ip-dst], days7)这两类方案互补HEC 推送支撑实时告警关联扁平清单支撑基础网络设备的阻断执行。端到端落地Docker 部署与自动化聚合报告Step 1Docker Compose 部署 MISPSKILL.md 提供了完整的三容器编排MISP 主应用coolacid/misp-docker:core-latest、MySQL 8.0数据持久化与 Redis 7缓存/任务队列# docker-compose.yml version: 3.8 services: misp: image: coolacid/misp-docker:core-latest container_name: misp restart: unless-stopped ports: - 443:443 - 80:80 environment: - MYSQL_HOSTmisp-db - MYSQL_DATABASEmisp - MYSQL_USERmisp - MYSQL_PASSWORDmisp_db_password_change_me - MISP_ADMIN_EMAILadminorganization.com - MISP_ADMIN_PASSPHRASEadmin_password_change_me - MISP_BASEURLhttps://misp.organization.com - POSTFIX_RELAY_HOSTsmtp.organization.com - TIMEZONEUTC volumes: - misp-data:/var/www/MISP/app/files - misp-config:/var/www/MISP/app/Config depends_on: - misp-db - misp-redis misp-db: image: mysql:8.0 container_name: misp-db restart: unless-stopped environment: - MYSQL_DATABASEmisp - MYSQL_USERmisp - MYSQL_PASSWORDmisp_db_password_change_me - MYSQL_ROOT_PASSWORDroot_password_change_me volumes: - misp-db-data:/var/lib/mysql misp-redis: image: redis:7 container_name: misp-redis restart: unless-stopped volumes: misp-data: misp-config: misp-db-data:生产部署要求Linux 服务器 8GB 内存、Docker 与 Docker Compose、Python 3.9PyMISP 客户端、以及对各源 URL 的出站网络访问。部署后通过MISP_BASEURL对应的域名访问 Web 界面并在 API access 页面生成 API Key。Step 2一键聚合报告agent.py仓库提供的 agent.py 是一个不依赖 PyMISP 的独立聚合器串起完整的数据流——源清单 → 抓取缓存 → 聚合统计 → 健康评估 → 关联搜索 → JSON 报告python skills/building-threat-feed-aggregation-with-misp/scripts/agent.py \ --url https://misp.organization.com \ --key YOUR_MISP_API_KEY \ --days 30 \ --correlate 203.0.113.1 \ --output feed_aggregation_report.json其内部实现要点聚合统计agent.py对近 N 天事件调用events/restSearch按威胁等级1High、2Medium、3Low、4Undefined、来源组织、标签、属性类型四个维度做defaultdict计数回答全网威胁态势如何分布源健康度agent.py统计总源数/启用数/缓存启用数并给出health_score enabled/total × 100快速定位哪些源配了但没用上报告输出最终将源清单、健康度、聚合统计与可选关联结果序列化为带缩进的 JSON 文件。配合 SKILL.md 的MISPFeedManager启用默认源、添加自定义源、批量抓取即可完成部署 → 配源 → 抓取 → 检索 → 导出的完整闭环。验证标准SKILL.md 定义的验收标准可直接作为自动化巡检断言MISP 已部署Web 界面与 API 均可访问默认 OSINT 源已启用并成功抓取数据自定义源已添加并正常入库指标指标可检索且能在跨事件关联中命中IOC 成功导出至 SIEMSplunk/Elasticsearch已生成防火墙/代理可用的黑名单文件。结语从 PyMISP 客户端的 5 个核心源管理调用到 STIX/TAXII 导出与 Splunk HEC 推送本技能覆盖了威胁情报聚合的完整生命周期。本文所有命令与代码均直接取自仓库 api-reference.md、SKILL.md 与 agent.py可在自己的 MISP 实例上按序复制执行如需验证技能元数据格式可运行仓库自带的校验脚本 tools/validate-skill.py整个技能库的框架覆盖情况则可通过 attack-navigator-layer.json 在 MITRE ATTCK Navigator 中可视化查看。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考