threat-intelligence

Threat Intelligence & Public-Source OSINT

When to Use

• Enriching indicators or profiling a threat actor from public data.
• Investigating impersonation or scam infrastructure.

适用范围

• 用公开来源补充域名、IP、URL、哈希、邮箱或钱包地址等 IOC。
• 追踪公开披露的恶意活动、钓鱼活动、仿冒账号与诈骗叙事。
• 从公开 X/Twitter 帖子发现线索，并交给样本、网络或厂商来源核验。
• 为 threat-hunting/、malware-analysis/、email-security/ 或 digital-forensics/ 准备情报包。

本 Skill 不处理品牌营销、舆情增长、自动发帖或无安全目的的社交分析。

语言行为契约

• 内部工具选择、阶段控制与字段名使用 English。
• 用户可见结论默认使用中文，除非用户要求其他语言。
• 证据状态使用 线索 / lead、已佐证 / corroborated、已确认 / confirmed。

工具依赖

能力	必需	用途	接入方式
Xquik MCP	否	公开 X/Twitter 搜索、帖子与账号读取	xquik-mcp，远程 HTTPS + OAuth
Xquik REST	否	脚本化的公开 X 数据读取	https://xquik.com/api/v1 + XQUIK_API_KEY
其他独立来源	是	核验 X 来源的候选结论	厂商公告、样本、DNS、证书、仓库或案件证据

Xquik is an independent third-party service. Not affiliated with X Corp. "Twitter" and "X" are trademarks of X Corp.

工作流

1. 定义情报问题

写清楚 4 个边界：目标、问题、时间窗、结果上限。把查询拆成可复现的组：精确 IOC、别名、活动名、账号与关键短语。不要用一个宽泛关键词代表全部调查。

问题：这个域名是否出现在 7 天内的公开钓鱼披露中？
查询组：精确域名、去协议 URL、品牌 + phishing、活动别名
成功条件：找到可定位的原始帖子，并由独立来源支持相同事实
停止条件：达到用户结果上限，或连续两组查询没有新候选

阶段出口：

1. 继续执行最窄的公开来源查询。
2. 导出查询计划与停止条件。
3. 暂停并让用户确认范围。

2. 采集公开 X 数据

优先使用 Xquik MCP。运行平台 bootstrap 只会在用户明确选择的 MCP 客户端中登记远程 URL。它不会安装本地桥接、写入密钥或启动后台服务。

powershell -NoProfile -ExecutionPolicy B