Intezer Service 镜像文档

镜像概述和主要用途

Intezer Service 是一个 Assemblyline 服务镜像，用于根据提交文件的 SHA256 哈希获取 Intezer Analyze 分析报告。若目标哈希在 Intezer Analyze 实例中未找到，服务可选择提交该文件进行分析。

该服务由 NVISO 的 x1mus、Sorakurai 和 reynas 开发，目前由加拿大网络安全中心（CCCS）维护。使用前需自行获取 Intezer API 密钥（付费或免费版），默认安装中不包含此服务。若部署本地 Intezer Analyze 实例，需进行额外的前置配置。

核心功能和特性

哈希查询分析报告：通过文件 SHA256 哈希查询 Intezer Analyze 现有分析结果
文件提交能力：当哈希未找到时，可配置自动提交文件至 Intezer Analyze
多环境支持：兼容公共 Intezer 云实例（[***]
灵活配置：支持调整分析超时时间、结果判定规则（基因计数/Intezer 算法）、子文件下载策略等
外部交互提示：若查询外部 API，会提示用户文件或元数据将离开 Assemblyline 系统

使用场景和适用范围

适用环境：已部署 Assemblyline 框架，需集成 Intezer ***软件分析能力的场景
实例类型：支持公共 Intezer Analyze 云服务或本地部署的 Intezer Analyze 实例
用户要求：需拥有有效的 Intezer API 密钥，本地部署实例需额外配置网络和权限

详细配置说明

核心配置参数（Configuration Values）

参数名	描述	示例值
`base_url`	Intezer Analyze 实例的基础 URL，需包含 `/api/` 后缀	公共实例：`[*]`；本地实例：`[*]`
`api_version`	API 版本，仅测试过 `v2-0`	`v2-0`
`api_key`	用户的 Intezer API 密钥（36 字符），需自行申请	`your-intezer-api-key-here`
`private_only`	是否仅返回私有提交的分析结果	`true` 或 `false`
`is_on_premise`	是否为本地部署的 Intezer Analyze 实例（非云服务）	`true`（本地）或 `false`（云服务）
`retry_forever`	是否持续轮询分析结果直至完成（`false` 时立即抛出异常）	`true` 或 `false`
`allow_dynamic_submit`	是否允许动态提交未找到的文件至 Intezer	`true`（允许）或 `false`（禁止）
`polling_period_in_seconds`	分析状态轮询间隔（秒）	`10`（默认建议）
`analysis_timeout_in_seconds`	分析超时时间（秒），动态分析建议 300，仅反病毒建议 60	`300`（动态分析）或 `60`（反病毒）
`try_to_download_every_file`	是否尝试下载所有可用文件（即使之前下载失败）	`true` 或 `false`
`download_subfiles`	是否下载子文件（子文件下载会消耗 Intezer 配额）	`true` 或 `false`（建议配额紧张时设为 `false`）
`min_malware_genes`	判定文件为*的最小“*基因”数量（来自“家族详情”）	`3`（默认建议）
`score_administration_tools`	是否将“管理工具”类文件标记为可疑	`true`（标记）或 `false`（不标记）
`use_black_box_verdicts`	是否使用 Intezer 自有算法生成的判定结果（否则基于基因计数）	`true`（使用算法）或 `false`（使用基因计数）

提交参数（Submission Parameters）

参数名	描述	使用条件
`analysis_id`	已存在的分析任务 ID，用于绕过按哈希查询（按哈希查询会消耗 Intezer 配额）	需已知目标分析 ID，将忽略提交的文件
`dynamic_submit`	指示服务在未找到文件分析结果时提交文件	需提前将 `allow_dynamic_submit` 设为 `true`

镜像变体和标签

该镜像基于 cccs/assemblyline-v4-service-base（Debian 11 + Python 3.11）构建，标签规则如下：

标签类型	描述	示例标签
`latest`	最新构建版本（可能不稳定）	`latest`
`build_type`	构建类型：`dev`（最新不稳定版）、`stable`（最新稳定版）	`dev` 或 `stable`
`series`	完整版本信息，格式为 `version.buildType`	`4.5.stable`、`4.5.1.dev3`

使用方法

本地测试（Docker 直接运行）

适用于快速验证服务功能，需替换 SERVICE_API_HOST 为实际的 Assemblyline API 地址：

bash
docker run \
    --name Intezer \
    --env SERVICE_API_HOST=[***] addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"):5003 \
    --network=host \
    cccs/assemblyline-service-intezer:latest

集成到 Assemblyline 部署

准备 API 密钥和 base_url 等配置参数；
若为本地部署的 Intezer 实例，修改 service_manifest.yml 中的 category：
- 使用动态执行模块：设为 Dynamic Analysis，超时时间 300 秒；
- 仅使用反病毒功能：设为 Antivirus，超时时间 60 秒；
参考 Assemblyline 服务部署指南添加服务至部署。

故障排除

错误提示："server returns The request is not valid, details: {'should_get_only_private_analysis': ['unknown field']}"
解决方法：将配置参数 is_on_premise 设为 true（适用于本地部署的 Intezer Analyze 实例）。