某企业安全运维团队
IP威胁情报分析——AiPy 数据分析实战案例
原需30min，AiPy仅需20s完成
💬 用户提示词
共1轮# 查询 IP 85.208.96.200 威胁情报
## 任务目标
获取 IP 85.208.96.200 的完整威胁情报数据，用于日常安全监控与归档记录。
## 已确认信息
- 目标对象：IP 85.208.96.200
- 指定数据源：VirusTotal
- 报告深度：完整分析报告（需覆盖历史安全事件、关联恶意软件样本、C2 通信记录、信誉评分及厂商检测标签）
- 使用场景：日常安全监控与记录归档
## 输出规范
- 输出格式为标准 Markdown 报告，严格包含以下模块：
1. 基础信誉：IP 归属地、ISP、最后活跃时间、综合安全评分。
2. 威胁关联：历史恶意活动记录、关联恶意软件哈希、恶意域名/URL 列表。
3. 基础设施：C2 通信特征、开放端口及协议指纹。
4. 厂商判定：各安全引擎检测标签与判定结果汇总。
- 报告末尾附加数据查询时间戳与原始数据源链接。
💡 备注：使用"IP风险研判"智能体
安全运维的痛点
- 情报查询分散 — 需要登录多个威胁情报平台，操作繁琐
- 数据格式不统一 — 各平台输出格式各异，难以直接归档
- 报告撰写耗时 — 手动整理情报数据写报告，至少30分钟
- 缺乏深度关联 — 单平台查询难以获取完整威胁画像
- 响应时效要求高 — 安全事件需要快速研判，等不起
AiPy 实现过程
1
接收任务用户下发IP威胁情报查询指令
2
调用MCP工具通过知道创宇安全智脑(GAC)查询IP全量情报
3
数据清洗重组自动清洗原始数据，剔除噪声，聚焦安全指标
4
生成结构化报告按标准格式输出Markdown威胁情报报告
5
归档交付报告保存至共享目录，随时可查阅和归档
🔥 威胁情报分析结论
-
中高危
IP 85.208.96.200 威胁等级为 3级（中高危），被安全智脑系统标记为恶意
-
地理位置
归属 美国·华盛顿，ISP 为 SEMrush CY LTD，托管在IDC数据中心
-
威胁行为
存在 蜜罐捕获、恶意扫描、恶意爬虫 等行为，曾在 2023护网 行动中被标记
安全工程师的 AiPy 使用心得
- 一句话搞定查询 — 直接把IP地址和需求说清楚，AiPy自动查询并生成报告
- 数据源自动切换 — 当主数据源受限时，自动切换到备选方案，确保核心字段不缺失
- 报告即查即用 — 生成的结构化报告可直接用于安全监控和归档，无需二次整理
- 团队协作模式 — AiPy自动组建虚拟安全团队，分工明确，干活效率拉满
💬 用户真实评价
"以前做IP威胁情报分析，要登录VirusTotal、微步在线、奇安信等好几个平台，一个一个查，还要手动整理到报告里。现在用AiPy，直接丢一个IP地址过去，几分钟就拿到完整的威胁画像报告，格式规范、内容全面，直接就能归档，太省心了！"
💡 经验分享
经验一：数据源切换策略
在查询过程中，AiPy 先通过 MCP 工具调用知道创宇安全智脑(GAC)获取IP情报。当遇到数据深度不够时，自动切换到联网搜索模式补充查询，确保报告完整度。这种多数据源融合的策略，比单一平台查询更全面可靠。
经验总结：威胁情报查询不要依赖单一数据源，AiPy的多源融合策略能提供更完整的威胁画像！
经验二：结构化输出让归档更轻松
安全运维中，威胁情报的归档管理非常重要。AiPy输出的报告采用标准Markdown格式，包含基础信誉、威胁关联、基础设施、厂商判定四大模块，可直接导入SIEM平台或知识库，也支持一键导出为PDF存档。配合数据查询时间戳和原始数据源链接，方便后续追溯比对。
1
标准化输出
固定模块结构，每次查询结果格式统一，方便程序化处理
2
时间戳溯源
每条报告附带精确到秒的查询时间戳，便于时间轴追溯
3
数据源可追溯
附带原始数据源链接，需要时可一键跳转验证
核心建议：日常安全监控中，建立标准化的情报归档流程非常关键。AiPy的结构化输出让归档变得轻松高效！
效率对比
以前手动做
30min
登录多个威胁情报平台
手动复制粘贴数据
整理撰写报告
手动复制粘贴数据
整理撰写报告
现在用 AiPy
20s
一句话下发查询指令
自动多源数据融合
标准化报告直接输出
自动多源数据融合
标准化报告直接输出
🚀 效率提升超过90倍！20秒完成全量威胁情报分析