Cyberbro：粘贴即查的IOC威胁情报分析神器

Cyberbro 是一款开源威胁情报分析工具，能从任意杂乱的日志文本中自动提取 IP、域名、哈希、URL 等 IOC，并批量调用 VirusTotal 等多家威胁情报服务查询信誉，支持自动化关联分析、报告导出与 LLM 集成，以极简部署替代重型平台，是蓝队与应急响应人员的得力助手。

适用人群：1. 蓝队分析师与 SOC 安全运营人员：日常需要处理海量告警日志并快速核实 IOC 信誉；2. DFIR 应急响应与数字取证人员：需要从杂乱的取证材料中快速提取威胁指标并溯源；3. 威胁情报爱好者与独立安全研究者：希望低成本自托管一套个人情报查询平台。

适用场景：1. 告警研判：将 EDR、SIEM 或邮件网关导出的原始告警日志直接粘贴进 Cyberbro，自动提取 IOC 并批量查询多家情报源信誉，快速判断真实威胁；2. 钓鱼邮件分析：从邮件头、正文与附件哈希中提取域名、URL 和哈希值，结合 RDAP/Whois 注册信息与滥用联系人检索进行溯源；3. 威胁狩猎与报告产出：利用反向 DNS 自动发现关联基础设施，结果导出 CSV/Excel，或通过 MCP 接入大模型生成定制化分析报告。

推荐理由：相比 IntelOwl 等重型平台，Cyberbro 以粘贴即查的极简理念大幅降低使用门槛，多引擎并发、自动 pivot 与 MCP 接入 LLM 的设计颇为超前，Docker 一键部署且数据可留在内网，值得每位蓝队人员收入工具箱。

项目定位与背景

在威胁情报分析领域，IntelOwl、MISP 等平台功能强大，但部署配置复杂，对个人分析师和中小团队并不友好。Cyberbro 由开发者 stanfrbd 打造，灵感正是来自 CyberGordon 与 IntelOwl，定位是简单高效：让分析师无需搭建复杂系统，即可完成从 IOC 提取到多源信誉查询的完整流程。项目基于 Python 3.13 开发，支持 Docker 部署，目前已在 GitHub 收获 689 Star 与 76 Fork，并提供了在线 Demo 供用户体验，文档站点 docs.cyberbro.net 也相当完善。

核心功能与技术架构

Cyberbro 的工作流分为解析与查询两步。用户只需把原始日志、告警记录甚至格式混乱的垃圾输入直接粘贴到界面，程序会自动识别并提取 IP、域名、URL、文件哈希乃至 Chrome 扩展 ID 等各类观测指标。随后通过多线程并发调用 VirusTotal、IPinfo 等多家威胁情报服务进行信誉查询，显著缩短批量分析耗时。结果以结构化报告呈现，支持高级搜索、过滤以及 CSV 和 Excel 导出。工具还集成了反向 DNS 与 RDAP/Whois 查询，可自动发现关联的域名、URL 和 IP，并提供注册信息与滥用联系人检索，辅助溯源分析。

创新点与亮点

最值得关注的是其 LLM 集成能力：官方配套的 mcp-cyberbro 项目通过 MCP 协议将 Cyberbro 接入 Claude、OpenAI 等大模型，分析师可以用自然语言驱动情报查询并生成定制报告，这在同类开源工具中相当超前。其次，垃圾输入也能用的设计哲学极大降低了使用门槛，不必预先清洗数据格式，粘贴即查。对 Chrome 扩展 ID 的支持则体现了对真实分析场景的细致洞察，恶意扩展排查不再需要手动转换格式。

与同类项目对比

与功能全面的 IntelOwl 相比，Cyberbro 精简了企业级特性，换来极低的部署与使用成本，更适合个人与中小团队；与 CyberGordon 这类在线服务相比，它开源可自托管，数据不出内网，满足合规要求。客观来说，它也有短板：各情报源需要用户自行申请 API Key，免费额度受限时查询能力会打折扣，且缺乏大型平台的任务编排与团队协作能力。

上手指南或快速开始

项目提供 Docker 镜像，克隆仓库后通过 docker-compose 即可一键启动。首次使用建议先在配置中填入 VirusTotal、IPinfo 等服务的 API Key，然后直接粘贴一段日志体验自动解析效果。想快速尝鲜的用户，可先访问官方在线 Demo 感受完整流程，再决定是否私有化部署。

总结与展望

Cyberbro 以简单为刀，精准切中了威胁情报查询流程中最繁琐的痛点，是蓝队工具箱中极具性价比的新选择。随着 MCP 生态的成熟，若能持续扩展情报源、增强 API 与自动化编排能力，它有望成为轻量级 CTI 平台的事实标准。对于每天与海量告警搏斗的分析师而言，非常值得一试。