从查询到关系图：用 VoidAccess 构建可复核的威胁情报调查
为什么调查结果不能只是一串链接
安全调查常要把分散在网页、代码托管站和威胁情报源里的线索串起来。逐个搜索、复制 IOC（入侵指标）、再手工去重，不但费时，也容易丢掉实体之间的关系。VoidAccess 是一个面向安全研究人员与授权调查者的开源调查工具：输入一个问题，它并行收集资料、过滤结果、抽取实体，并将发现整理为可搜索的关系图和可导出的情报格式。
它适合用来加速公开来源调查，而不是替代分析师判断。特别是涉及暗网内容、凭据或攻击者身份时，必须遵守法律与组织授权边界；自动收集到的内容也应视为待验证线索，不能直接当作事实或用于未经授权的访问。
从采集到交付的流水线
项目 README 描述的流程是：一个查询并行发送到 12 个以上的 Tor 搜索引擎、代码托管站、安全信息源和精选种子；随后跟进发现的新 .onion 链接。采集结果经过超时、去重和安全过滤，再抽取实体并建立关联。README 列出的实体类型包括威胁组织、恶意软件家族、IP、域名、URL、文件哈希、漏洞编号，以及经遮罩处理的凭据线索。
这类图谱的价值在于把“发现了什么”和“它与哪些线索有关”放在同一工作空间中。项目还提供导出能力，README 明确列出 STIX 2.1、MISP、Sigma、YARA、Snort、Suricata，以及 CSV、JSON、Markdown 等格式，便于将结果交给后续分析或既有流程。导出并不等于完成研判；分析者仍需回到原始来源确认上下文、时间和可信度。
快速开始：先做浅层、低风险验证
项目要求 Python 3.10 或更新版本。基础安装与调查命令如下：
pip install voidaccess voidaccess configure voidaccess investigate "LockBit ransomware"
configure 用于设置 LLM 提供方、情报 enrichment 密钥和 Tor 等配置。不要把真实密钥写入文章、共享终端记录或版本库；按组织的秘密管理规范保存凭据。若当前只是验证工具是否能运行，README 也展示了无 LLM、无 Tor 的浅层 clearnet 模式：
voidaccess investigate "LockBit ransomware" --no-llm --no-tor --depth shallow
这个模式可以帮助初次体验者先理解命令行反馈与结果组织方式，但它与完整调查的采集范围不同，不能因为返回结果较少就推断目标不存在。完整 CLI 文档还列出 show 浏览实体、list 查看已保存调查、status 检查配置与引擎状态，以及 export ID --format FORMAT 导出结果等命令。实际可用性取决于所配置的数据源和环境。
自托管与输出检查
README 指向独立的自托管指南，说明完整栈可通过 Docker Compose 启动，组件包括 PostgreSQL、Tor、API 和 Web UI。这里不应把安装方式简化成一条未经文档确认的命令：部署前应先阅读项目的 self-hosting 文档，检查环境变量、密钥和网络出口策略，尤其确认哪些请求会经过 Tor、哪些会访问普通互联网。
一次调查结束后，可以先列出记录并检查状态，再针对调查 ID 导出所需格式：
voidaccess list voidaccess status voidaccess export <id> --format stix
导出前建议进行三步核验：第一，抽查关键 IOC 是否能回溯到来源；第二，排除重复、超时页面或上下文不完整的结果；第三，确认接收系统支持所选格式及其版本。对外共享时，遵守数据分级规则，避免传播未遮罩的凭据或个人信息。
适用边界
VoidAccess 的定位是把开放网络调查的采集、关联和交付流程组合起来。其 README 同时说明托管版本通过服务端发起搜索和页面抓取；自托管则让团队控制自己的运行环境。无论采用哪一种方式，都要把数据流、日志保留、第三方 enrichment 服务和模型提供方纳入安全评估。不要对未授权目标开展探测，也不要将图谱中的关联误读为因果关系。
如果团队已有 STIX/MISP 或 SIEM 流程，导出格式可能有助于减少手工整理；如果需求是高保证的归因、取证或事件响应，则还需要独立证据链、人工复核和组织批准。工具能缩短从搜索到结构化线索的路径，但不能替调查者承担判断责任。