SOC Deploy: MISP (Malware Information Sharing Platform)
Deploy MISP threat intelligence platform on any Docker-ready Linux host using the official misp-docker project.
This skill does NOT create VMs. It expects an SSH target with Docker installed. Use hyperv-create-vm or proxmox-create-vm first if you need infrastructure.
When to Use
- - "deploy misp"
- "set up misp"
- "install misp"
- "threat intel platform"
- "ioc sharing platform"
User Inputs
| Parameter | Default | Required |
|---|
| SSH target | - | Yes (user@host) |
| Admin email |
admin@misp.local | No |
| Admin password | ChangeMe123! | No |
| Host RAM (for buffer pool) | 4GB | No |
Prerequisites Check
CODEBLOCK0
Execution
Single command deployment
CODEBLOCK1
What setup.sh does
- 1. Clone official misp-docker from GitHub
- Configure .env:
-
MISP_BASEURL,
MISP_ADMIN_EMAIL,
MISP_ADMIN_PASSPHRASE
- Generate random MySQL passwords
- Set
INNODB_BUFFER_POOL_SIZE based on host RAM (CRITICAL)
- 3.
docker compose up -d - Poll for MISP readiness (5-10 min on first boot for DB migrations)
- Generate API key via cake CLI:
docker compose exec -T misp /var/www/MISP/app/Console/cake user change_authkey <email>
- 6. Verify API with INLINECODE7
- Save credentials to INLINECODE8
Output to User
CODEBLOCK3
InnoDB Buffer Pool Sizing
The #1 failure on small VMs. Default buffer pool is 2GB, which kills MariaDB on 4GB hosts.
| Host RAM | INNODBBUFFERPOOL_SIZE |
|---|
| 4 GB | 512M |
| 8 GB |
2048M |
| 16 GB | 4096M |
Critical Gotchas
See references/gotchas.md for full details:
- 1. MariaDB OOM (showstopper): Default InnoDB buffer pool is 2GB. On 4GB hosts, MariaDB crashes instantly. MUST set
INNODB_BUFFER_POOL_SIZE in INLINECODE11 - Recovery from OOM:
docker compose down -v to wipe failed DB volume, fix .env, restart - First boot is slow: 5-10 min for DB schema creation and initial data load
- Self-signed HTTPS: Use
curl -k for all API calls - Advanced authkeys: Enabled by default.
cake CLI is the most reliable key generation method - MISP web UI:
https://<ip> (port 443, not 80)
Timeout Strategy
Total: ~12-15 min (docker pull + first boot + setup). Split:
- - Turn 1: Clone, configure,
docker compose up -d (~3 min + pull time) - Turn 2: Wait for health + generate API key (~5-7 min)
Pairs With
- -
hyperv-create-vm - create a Hyper-V VM, then deploy MISP on it - INLINECODE19 - create a Proxmox LXC/VM, then deploy MISP on it
- INLINECODE20 - deploy TheHive alongside for case management
SOC 部署：MISP（恶意软件信息共享平台）
在任何安装了 Docker 的 Linux 主机上，使用官方 misp-docker 项目部署 MISP 威胁情报平台。
此技能不会创建虚拟机。 它需要一个已安装 Docker 的 SSH 目标。如果需要基础设施，请先使用 hyperv-create-vm 或 proxmox-create-vm。
使用场景
- - 部署 misp
- 设置 misp
- 安装 misp
- 威胁情报平台
- IOC 共享平台
用户输入
| 参数 | 默认值 | 必填 |
|---|
| SSH 目标 | - | 是 (user@host) |
| 管理员邮箱 |
admin@misp.local | 否 |
| 管理员密码 | ChangeMe123! | 否 |
| 主机内存（用于缓冲池） | 4GB | 否 |
前置条件检查
bash
SSH 连接正常
ssh
echo OK
Docker + Compose v2
ssh docker --version && docker compose version
内存检查（需要 3GB+ 可用空间）
ssh free -h | grep Mem
执行步骤
单命令部署
bash
scp scripts/setup.sh :~/
ssh bash ~/setup.sh admin@misp.local
setup.sh 执行内容
- 1. 从 GitHub 克隆官方 misp-docker
- 配置 .env 文件：
- MISPBASEURL、MISPADMINEMAIL、MISPADMIN_PASSPHRASE
- 生成随机 MySQL 密码
- 根据主机内存设置 INNODBBUFFERPOOL_SIZE（关键）
- 3. docker compose up -d
- 轮询 MISP 就绪状态（首次启动需 5-10 分钟进行数据库迁移）
- 通过 cake CLI 生成 API 密钥：
bash
docker compose exec -T misp /var/www/MISP/app/Console/cake user change_authkey
- 6. 使用 /servers/getVersion 验证 API
- 将凭据保存到 ~/misp/api-key.txt
输出给用户
MISP 部署完成！
URL: https://
管理员: admin@misp.local /
API 密钥:
MCP 连接：
MISP_URL=https://
MISPAPIKEY=
MISPVERIFYSSL=false
注意：使用自签名 HTTPS。API 调用请使用 curl -k。
凭据已保存至：~/misp/api-key.txt
InnoDB 缓冲池大小设置
小型虚拟机最常见的故障原因。默认缓冲池为 2GB，这会导致 4GB 主机上的 MariaDB 崩溃。
| 主机内存 | INNODBBUFFERPOOL_SIZE |
|---|
| 4 GB | 512M |
| 8 GB |
2048M |
| 16 GB | 4096M |
关键注意事项
详见 references/gotchas.md：
- 1. MariaDB 内存溢出（致命问题）： 默认 InnoDB 缓冲池为 2GB。在 4GB 主机上，MariaDB 会立即崩溃。必须在 .env 中设置 INNODBBUFFERPOOL_SIZE
- 从内存溢出恢复： 执行 docker compose down -v 清除失败的数据库卷，修复 .env，重新启动
- 首次启动缓慢： 数据库模式创建和初始数据加载需要 5-10 分钟
- 自签名 HTTPS： 所有 API 调用请使用 curl -k
- 高级认证密钥： 默认启用。cake CLI 是最可靠的密钥生成方法
- MISP Web 界面： https://（端口 443，非 80）
超时策略
总计：约 12-15 分钟（Docker 拉取 + 首次启动 + 设置）。分配：
- - 第 1 轮：克隆、配置、docker compose up -d（约 3 分钟 + 拉取时间）
- 第 2 轮：等待健康检查 + 生成 API 密钥（约 5-7 分钟）
配合使用
- - hyperv-create-vm - 创建 Hyper-V 虚拟机，然后在其上部署 MISP
- proxmox-create-vm - 创建 Proxmox LXC/虚拟机，然后在其上部署 MISP
- soc-deploy-thehive - 同时部署 TheHive 用于案件管理
