reninjk/soc-threat-intelligence
GitHub: reninjk/soc-threat-intelligence
为安全运营中心提供结构化的威胁情报资源，包括 feed 配置、IOC 管理、攻击者画像模板及 MISP 集成指南，帮助团队系统化地采集、分级和消费威胁情报。
Stars: 0 | Forks: 0
# SOC 威胁情报
安全运营中心（SOC）的威胁情报资源：feed 配置、IOC 监视列表、攻击者画像、TI 报告模板，以及用于 feed 摄入的自动化脚本。
## 仓库结构
```
soc-threat-intelligence/
├── feeds/ # Feed source configs and ingestion rules
│ ├── feed-config.yml # Master feed configuration
│ └── feed-sources.md # Catalogue of vetted TI sources
├── iocs/ # IOC management
│ ├── watchlist-template.md # Watchlist format and guidance
│ └── ioc-lifecycle.md # IOC confidence, ageing, and retirement policy
├── actors/ # Threat actor profiles
│ └── apt-profile-template.md
├── reports/ # TI report templates
│ ├── ti-report-template.md
│ └── flash-report-template.md
├── integrations/
│ └── misp-integration-guide.md
├── scripts/
│ └── feed-ingest.py
└── CONTRIBUTING.md
```
## 快速开始
```
cd scripts
pip install -r requirements.txt
cp ../.env.example .env # add your API keys
python feed-ingest.py --source all --output ../iocs/
```
## Feed 来源
| Feed | 类型 | 刷新频率 | 许可证 |
|------|------|---------|---------|
| MISP Community | IOC (STIX 2.1) | 实时 | 免费 |
| AlienVault OTX | IOC + Pulses | 15 分钟 | 免费 |
| Abuse.ch URLhaus | URL/域名 | 5 分钟 | 免费 |
| Abuse.ch MalwareBazaar | Hash | 实时 | 免费 |
| CISA KEV | CVE | 每日 | 免费 |
| Recorded Future | 所有类型 | 每小时 | 付费 |
## IOC 置信度等级
| 级别 | 评分 | 操作 |
|-------|-------|--------|
| 已确认 | 90-100 | 立即阻断 |
| 高 | 70-89 | 告警 + 调查 |
| 中 | 50-69 | 告警 + 上下文 |
| 低 | 30-49 | 仅监控 |
| 失效 | < 30 | 淘汰 |
## 敏感数据策略
- 永远不要提交来自真实活跃事件的 IOC 数据
- 模板仅使用占位值 —— 实际的 IOC 存放在 SIEM/TI 平台中
- API 密钥应放在 `.env` 中（已被 git 忽略）
- 攻击者画像不得包含可能泄露操作者个人身份的 OSINT 信息
## 相关仓库
- [soc-detection-rules](https://github.com/reninjk/soc-detection-rules)
- [soc-automation](https://github.com/reninjk/soc-automation)
- [soc-incident-response](https://github.com/reninjk/soc-incident-response)
标签：IOC管理, 威胁情报, 安全运营, 开发者工具, 情报收集, 扫描框架, 漏洞研究, 逆向工具