SOC 部署：MISP（恶意软件信息共享平台）

使用官方 misp-docker 项目，在任意支持 Docker 的 Linux 主机上部署 MISP 威胁情报平台。

本技能不创建虚拟机（VM）。 它要求目标主机已配置 SSH 访问权限且已安装 Docker。如需底层基础设施，请先使用 hyperv-create-vm 或 proxmox-create-vm 创建 VM。

适用场景

• “deploy misp”
• “set up misp”
• “install misp”
• “threat intel platform”
• “ioc sharing platform”

用户输入参数

前置条件检查

# 确认 SSH 可用
ssh  "echo OK"

# 确认 Docker 与 Compose v2 已安装
ssh  "docker --version && docker compose version"

# 检查可用内存（需 ≥3GB 空闲）
ssh  "free -h | grep Mem"

执行流程

单命令部署

scp scripts/setup.sh :~/
ssh  "bash ~/setup.sh 'admin@misp.local' ''"

setup.sh 执行内容

1. 从 GitHub 克隆官方 misp-docker 仓库
2. 配置 .env 文件：
   • 设置 MISP_BASEURL、MISP_ADMIN_EMAIL、MISP_ADMIN_PASSPHRASE
   • 生成随机 MySQL 密码
   • 根据宿主机内存大小设置 INNODB_BUFFER_POOL_SIZE（关键步骤）
3. 执行 docker compose up -d
4. 轮询检测 MISP 就绪状态（首次启动需 5–10 分钟完成数据库迁移）
5. 通过 cake CLI 生成 API 密钥：

   docker compose exec -T misp /var/www/MISP/app/Console/cake user change_authkey 
   

6. 调用 /servers/getVersion 接口验证 API 可用性
7. 将凭证保存至 ~/misp/api-key.txt

向用户输出的信息

MISP 部署成功！

URL: https://
管理员账号: admin@misp.local / 
API 密钥: 

MCP 连接配置：
  MISP_URL=https://
  MISP_API_KEY=
  MISP_VERIFY_SSL=false

注意：HTTPS 使用自签名证书。所有 API 调用请使用 curl -k。
凭证已保存至：~/misp/api-key.txt

InnoDB 缓冲池容量配置

这是小型虚拟机上最常见的失败原因。默认缓冲池大小为 2GB，会导致 4GB 内存主机上的 MariaDB 立即崩溃。

关键注意事项（Gotchas）

完整说明请参阅 references/gotchas.md：

1. MariaDB 因内存溢出（OOM）崩溃（致命问题）： 默认 InnoDB 缓冲池为 2GB。在仅 4GB 内存的主机上，MariaDB 会立即崩溃。必须在 .env 中显式设置 INNODB_BUFFER_POOL_SIZE
2. OOM 后恢复方法： 执行 docker compose down -v 清除失败的数据库卷，修正 .env，再重启部署
3. 首次启动耗时较长： 数据库结构初始化及初始数据加载需 5–10 分钟
4. HTTPS 为自签名证书： 所有 API 调用均需使用 curl -k
5. 高级认证密钥（authkeys）： 默认启用。cake CLI 是最可靠的密钥生成方式
6. MISP Web 界面访问地址： https://（使用 443 端口，非 80 端口）

超时策略

总耗时约 12–15 分钟（含镜像拉取、首次启动与初始化）。分阶段如下：

• 第一阶段：克隆代码、配置环境、执行 docker compose up -d（约 3 分钟 + 镜像拉取时间）
• 第二阶段：等待服务健康就绪 + 生成 API 密钥（约 5–7 分钟）

配套使用技能

• hyperv-create-vm — 创建 Hyper-V 虚拟机，随后在其上部署 MISP
• proxmox-create-vm — 创建 Proxmox LXC 或虚拟机，随后在其上部署 MISP
• soc-deploy-thehive — 同步部署 TheHive，用于事件与案件管理