OffsecPierogi/TI-Rex

# TI-Rex — 威胁情报平台 TI-Rex 是一个基于 Next.js 16、PostgreSQL 和 Prisma 构建的自托管威胁情报平台。它聚合了来自十几个公开及可选数据源的数据——包括 MITRE ATT&CK、CISA KEV、NVD、EPSS、AlienVault OTX、abuse.ch（ThreatFox、Feodo Tracker、URLhaus）、SigmaHQ、YARA-Rules、Atomic Red Team、Malpedia、RTFM 以及 17 个 RSS/Atom 威胁订阅——并将其整合到一个统一的可搜索界面中。它追踪了 190 多个具有国家归属和 CVE 利用链接的 APT 组织，850 多个带有 C2 框架特征的恶意软件家族，1,800 多个可执行的攻击模拟，3,000 多条 Sigma 检测规则，以及一个实时的 IOC 数据库，并支持通过 VirusTotal、AbuseIPDB、Shodan 和 Hybrid Analysis 沙箱进行可选的富化分析。 该平台内置了 30 多个模块，包括带有 EPSS 利用概率和 CVSS 评分的 CVE 追踪器、ATT&CK 检测覆盖率热力图、带有 Webhook 告警的 IOC 观察列表、STIX 2.1 导出、ATT&CK Navigator 层级生成、Sigma 规则自动生成器、勒索软件组织情报、地缘政治威胁地图、紫队覆盖范围分析、威胁建模工作区，以及涵盖所有实体的全文搜索。所有内容均相互交叉链接——点击某个 APT 即可查看其使用的技术、利用的 CVE、恶意软件和 IOC；点击某个 CVE 即可查看哪些威胁行为者利用了它及其 EPSS/CVSS 评分。 数据摄取通过内置的调度程序自动运行（默认 6 小时，可在设置页面中配置），该调度程序会克隆仓库、调用 API、评估 CVE、匹配观察列表中的 IOC，并清理过期记录——无需 cron job 或任何外部设置。这 30 步的 pipeline 也可以通过 UI、API（`POST /api/update`）或使用 `npx tsx scripts/update-all.ts` 从 CLI 手动触发。VirusTotal、OTX、AbuseIPDB、Shodan、Hybrid Analysis 和 NVD 的 API key 是可选的，但可以解锁额外的数据富化和更快的摄取速度。有关所有配置选项，请参阅 `.env.example`。 ## 安装 ``` git clone https://github.com/YOUR_USERNAME/threat-intel-dashboard.git cd threat-intel-dashboard chmod +x install.sh ./install.sh ``` 第一个在 `http://localhost:3000/register` 注册的用户将成为 Admin。 ## 重要提示 - **数据库凭证**：默认的 PostgreSQL 凭证（`tirex:tirex`）仅供本地开发使用。在任何生产环境或暴露于网络部署的环境中，请更改 `.env` 中的 `DATABASE_URL`。 - **AUTH_SECRET**：必须设置为 32 个字符以上的随机字符串，否则注册/登录将失败。安装脚本会自动生成此项——如果手动设置，请运行 `openssl rand -base64 32` 并将结果粘贴到 `.env` 中。 - **NVD API key**：CVE 摄取在没有 key 的情况下也可以工作，但受到严格的速率限制（每 30 秒 5 次请求）。从 [NVD](https://nvd.nist.gov/developers/request-an-api-key) 获取的免费 API key 可以使摄取速度提升 10 倍。请在 `.env` 中设置 `NVD_API_KEY`。 ## 参考与数据来源 TI-Rex 聚合并规范化了来自以下公开项目和 API 的数据。所有荣誉均归属于原始维护者。 | 来源 | 描述 | 许可证 / 条款 | |--------|-------------|-----------------| | [MITRE ATT&CK](https://attack.mitre.org/) | 企业级对抗战术、技术和程序 (STIX 2.1) | [Apache 2.0](https://github.com/mitre/cti/blob/master/LICENSE) | | [Atomic Red Team](https://github.com/redcanaryco/atomic-red-team) | 映射到 ATT&CK 的可执行攻击模拟库 | [MIT](https://github.com/redcanaryco/atomic-red-team/blob/master/LICENSE.txt) | | [SigmaHQ](https://github.com/SigmaHQ/sigma) | Sigma 格式的社区检测规则 | [LGPL 2.1](https://github.com/SigmaHQ/sigma/blob/master/LICENSE) | | [CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) | 已知被利用漏洞目录（包含已确认的积极利用） | [Public domain](https://www.cisa.gov/terms) | | [NVD](https://nvd.nist.gov/) | 国家漏洞数据库 — CVE 详情、CVSS 评分、CPE 数据 | [Public domain](https://nvd.nist.gov/developers/terms-of-use) | | [EPSS](https://www.first.org/epss/) | 利用预测评分系统 — 每日利用概率评分 | [FIRST](https://www.first.org/epss/data_stats) | | [ThreatFox (abuse.ch)](https://threatfox.abuse.ch/) | 按恶意软件家族标记的 IOC — IP、域名、URL、哈希值 | [CC0 1.0](https://threatfox.abuse.ch/faq/) | | [Feodo Tracker (abuse.ch)](https://feodotracker.abuse.ch/) | 活跃的僵尸网络 C2 服务器追踪 | [CC0 1.0](https://feodotracker.abuse.ch/faq/) | | [URLhaus (abuse.ch)](https://urlhaus.abuse.ch/) | 用于恶意软件分发的恶意 URL 集合 | [CC0 1.0](https://urlhaus.abuse.ch/faq/) | | [Malpedia](https://malpedia.caad.fkie.fraunhofer.de/) | 恶意软件描述、行为者归属和 YARA 规则 | [CC BY-NC-SA 3.0](https://malpedia.caad.fkie.fraunhofer.de/terms_of_service) | | [AlienVault OTX](https://otx.alienvault.com/) | 开放威胁交换 — 社区 IOC 脉冲 | [OTX 条款](https://otx.alienvault.com/terms-of-service) | | [RTFM](https://github.com/leostat/rtfm) | 红队实战手册 — 带有技术映射的攻击命令 | [GPL 3.0](https://github.com/leostat/rtfm/blob/master/LICENSE) | | [YARA-Rules](https://github.com/Yara-Rules/rules) | 用于恶意软件检测的社区 YARA 规则 | [GPL 2.0](https://github.com/Yara-Rules/rules/blob/master/LICENSE) | | [Neo23x0 signature-base](https://github.com/Neo23x0/signature-base) | 来自 Florian Roth 的 YARA 和 Sigma 签名 | [CC BY-NC 4.0](https://github.com/Neo23x0/signature-base/blob/master/LICENSE) | | [ReversingLabs YARA Rules](https://github.com/reversinglabs/reversinglabs-yara-rules) | 来自 ReversingLabs 威胁研究的 YARA 规则 | [MIT](https://github.com/reversinglabs/reversinglabs-yara-rules/blob/develop/LICENSE) | | [VirusTotal](https://www.virustotal.com/) | 文件、IP 和域名信誉查询（可选，需要免费 API key） | [VT 条款](https://www.virustotal.com/gui/terms-of-service) | | [Hybrid Analysis](https://www.hybrid-analysis.com/) | 沙箱引爆和行为分析（可选，需要免费 API key） | [HA 条款](https://www.hybrid-analysis.com/terms) | | [AbuseIPDB](https://www.abuseipdb.com/) | IP 信誉和滥用报告（可选，需要免费 API key） | [AbuseIPDB 条款](https://www.abuseipdb.com/legal) | | [Shodan](https://www.shodan.io/) | 全网主机和端口情报（可选，需要免费 API key） | [Shodan 条款](https://www.shodan.io/terms-of-service) | 威胁订阅文章聚合自：CrowdStrike、BleepingComputer、The Hacker News、Cisco Talos、Unit 42 (Palo Alto)、SentinelOne Labs、Microsoft Security、Recorded Future、Proofpoint、Krebs on Security、Red Canary、Volexity、Elastic Security Labs、WeLiveSecurity (ESET)、GuidePoint Security、Huntress 以及 Google Threat Intelligence。

标签：ATT&CK框架, MITM代理, PostgreSQL, 威胁情报, 安全运营, 开发者工具, 扫描框架, 测试用例, 漏洞跟踪, 自动化攻击