MSTICpy实战：利用Mordor数据集进行威胁分析

MSTICpy实战：利用Mordor数据集进行威胁分析

msticpy Microsoft Threat Intelligence Security Tools 项目地址: https://gitcode.com/gh_mirrors/ms/msticpy

概述

MSTICpy是微软开源的威胁情报和安全分析工具包，其中集成了对Mordor数据集的支持。Mordor是由Open Threat Research Forge社区维护的开源威胁模拟数据集，包含了大量模拟真实攻击场景的数据记录。本文将详细介绍如何在MSTICpy中使用Mordor数据提供者和浏览器功能。

环境准备

要使用Mordor数据功能，首先需要确保安装了最新版本的MSTICpy：

%pip install --upgrade msticpy

建议使用MSTICpy 0.8.5或更高版本以获得完整功能支持。

Mordor数据提供者基础

Mordor数据提供者是MSTICpy中专门用于访问和处理Mordor数据集的组件。它提供了以下核心功能：

1. 数据集查询和下载
2. 数据转换为Pandas DataFrame
3. 本地缓存管理
4. 数据集浏览和搜索

初始化数据提供者

from msticpy.data import QueryProvider

# 指定缓存目录
CACHE_FOLDER = "~/.msticpy/mordor"
mdr_data = QueryProvider("Mordor", save_folder=CACHE_FOLDER)
mdr_data.connect()

初始化时会自动下载Mordor和MITRE ATT&CK的元数据，用于后续查询。

数据集查询操作

列出可用查询

Mordor数据集按攻击技术分类组织，每个数据集可能有多个查询：

mdr_data.list_queries()[:15]  # 显示前15个查询

输出示例：

['atomic.aws.collection.ec2_proxy_s3_exfiltration',
 'atomic.linux.defense_evasion.host.sh_binary_padding_dd',
 'atomic.linux.discovery.host.sh_arp_cache',
 ...]

执行查询获取数据

df = mdr_data.atomic.windows.credential_access.host.covenant_dcsync_dcerpc_drsuapi_DsGetNCChanges()
df.head(3)  # 显示前3行数据

查询结果会以Pandas DataFrame形式返回，包含完整的日志事件数据。

重要注意事项

1. 数据类型限制：

   • Mordor包含主机事件数据和网络捕获数据
   • 目前仅主机事件数据可以转换为DataFrame
   • 网络捕获数据(pcap等)可以下载但无法直接分析

2. 缓存管理：

   • 默认会使用本地缓存加速后续访问
   • 可通过参数控制缓存行为

高级配置选项

数据提供者和查询函数支持多个配置参数：

| 参数 | 类型 | 说明 | 默认值 | |------|------|------|--------| | use_cached | bool | 是否使用本地缓存 | True | | save_folder | str | 文件保存路径 | "." | | silent | bool | 是否抑制输出信息 | False |

这些参数可以在初始化时全局设置：

mdr_data = QueryProvider("Mordor", save_folder="./mordor")
mdr_data.connect()

也可以在单个查询中覆盖：

df = mdr_data.atomic.windows.credential_access.host.query_name(
    use_cached=False, 
    silent=True
)

实际应用建议

1. 研究特定攻击技术：通过Mordor数据集可以获取模拟特定ATT&CK技术的真实日志数据

2. 检测规则开发：基于这些数据开发和完善SIEM检测规则

3. 分析演练：用于安全团队的分析能力培训和演练

4. 工具验证：验证安全分析工具对特定攻击场景的检测能力

总结

MSTICpy的Mordor数据集成功能为安全研究人员和分析师提供了便捷的途径访问高质量的威胁模拟数据。通过本文介绍的方法，您可以轻松地将这些数据集成到自己的分析工作流中，提升威胁检测和分析能力。

msticpy Microsoft Threat Intelligence Security Tools 项目地址: https://gitcode.com/gh_mirrors/ms/msticpy