Combine：一站式威胁情报收集工具，快速获取公开源威胁指标

【免费下载链接】combineTool to gather Threat Intelligence indicators from publicly available sources项目地址: https://gitcode.com/gh_mirrors/comb/combine

Combine 是一款强大的威胁情报收集工具，能够从公开可用的来源自动获取威胁指标。无论是安全分析师、研究人员还是企业安全团队，都可以通过这款工具轻松汇聚分散的威胁数据，提升威胁检测与响应效率。

🌟 核心功能：四大模块协同工作

Combine 通过四个核心组件实现完整的威胁情报处理流程，每个模块专注于特定任务，形成高效的流水线作业：

1. 数据采集（Reaper）

reaper.py 模块负责从预设的公开源（如 inbound_urls.txt 中配置的数据源）采集原始威胁数据。支持多种数据格式和协议，确保全面覆盖各类威胁情报来源。

2. 数据清洗（Thresher）

thresher.py 对采集到的数据进行标准化处理，去除冗余信息并验证指标有效性。通过内置规则过滤掉误报和低价值数据，确保后续分析的准确性。

3. 数据整合（Baler）

baler.py 将清洗后的威胁指标整合为统一格式，支持 CSV、JSON 等多种输出类型（通过-t参数指定）。生成的结构化数据可直接用于威胁情报平台或安全设备。

4. 数据 enrichment（Winnower）

启用-e参数后，winnower.py 会对威胁指标进行 enrichment，结合 data/GeoIP.dat 等数据库补充地理位置、ASN 等关键信息，提升威胁情报的深度和可用性。

🚀 快速上手：3 步完成威胁情报收集

1. 环境准备

确保系统安装 Python 及依赖包：

git clone https://gitcode.com/gh_mirrors/comb/combine cd combine pip install -r requirements.txt

2. 配置数据源

编辑 inbound_urls.txt 添加所需的威胁情报源，每行一个 URL。项目已预置部分常用公开源，可直接使用。

3. 运行工具

执行基础采集命令，生成 CSV 格式的威胁情报文件：

python combine.py -t csv -f threat_indicators.csv

⚙️ 高级用法：释放工具全部潜力

数据 enrichment

添加-e参数获取 enriched 情报：

python combine.py -e -t json -f enriched_threats.json

生成的 enrich.json 包含地理位置、网络归属等增强信息。

清理临时文件

使用-d参数自动删除处理过程中的中间文件：

python combine.py -d -t csv -f clean_harvest.csv

TIQ 测试格式输出

通过--tiq-test参数生成符合 TIQ 测试标准的输出：

python combine.py --tiq-test -f tiq_test_results.csv

📊 应用场景：威胁情报的多元价值

• 安全监控：定期运行 Combine 生成最新威胁指标，导入 SIEM 系统增强检测能力
• 威胁狩猎：利用 enrichment 后的数据识别潜在攻击源和攻击路径
• 研究分析：通过 outbound_urls.txt 配置输出目标，与其他威胁情报平台联动分析

🛠️ 技术架构：轻量高效的设计理念

Combine 采用模块化设计，核心逻辑集中在 combine.py，各功能组件通过清晰接口交互。依赖的第三方库在 requirements.txt 中明确声明，确保环境一致性和部署便捷性。

🔄 数据更新：保持情报时效性

定期运行 data/update_maxmind.sh 脚本更新 GeoIP 数据库，确保地理位置信息的准确性：

bash data/update_maxmind.sh

通过 Combine，安全团队可以告别繁琐的手动情报收集，将更多精力投入到威胁分析与响应中。这款开源工具的灵活性和可扩展性，使其成为威胁情报工作流中不可或缺的一环。

【免费下载链接】combineTool to gather Threat Intelligence indicators from publicly available sources项目地址: https://gitcode.com/gh_mirrors/comb/combine