Nota: ¿Estás creando conectores, contribuyendo a la plataforma o ejecutando OpenCTI en producción?

Únete a nuestro Community Slack para hacer preguntas, comentar un PR antes de abrirlo o intercambiar impresiones sobre integraciones.

Introducción

OpenCTI es una plataforma de código abierto que permite a las organizaciones gestionar su conocimiento e indicadores de inteligencia de amenazas cibernéticas. Ha sido creada con el fin de estructurar, almacenar, organizar y visualizar información técnica y no técnica sobre amenazas cibernéticas.

La estructuración de los datos se realiza mediante un esquema de conocimiento basado en los estándares STIX2. Ha sido diseñada como una aplicación web moderna que incluye una API GraphQL y un frontend orientado a la experiencia de usuario. Además, OpenCTI puede integrarse con otras herramientas y aplicaciones como MISP, TheHive, MITRE ATT&CK, etc.

Objetivo

El objetivo es crear una herramienta integral que permita a los usuarios capitalizar información técnica (como TTPs e indicadores) y no técnica (como atribuciones sugeridas, victimología, etc.) mientras vincula cada pieza de información con su fuente primaria (un informe, un evento de MISP, etc.), con funcionalidades como enlaces entre cada información, fechas de primera y última observación, niveles de confianza, etc. La herramienta es capaz de utilizar el framework MITRE ATT&CK (a través de un conector dedicado) para ayudar a estructurar los datos. El usuario también puede optar por implementar sus propios conjuntos de datos.

Una vez que los datos han sido capitalizados y procesados por los analistas dentro de OpenCTI, se pueden inferir nuevas relaciones a partir de las existentes para facilitar la comprensión y la representación de esta información. Esto permite al usuario extraer y aprovechar conocimiento significativo a partir de los datos brutos.

OpenCTI no solo permite importaciones sino también exportaciones de datos en diferentes formatos (CSV, bundles STIX2, etc.). Actualmente se desarrollan conectores para acelerar las interacciones entre la herramienta y otras plataformas.

Ediciones de la plataforma

La plataforma OpenCTI tiene 2 ediciones diferentes: Community (CE) y Enterprise (EE). El propósito de la Enterprise Edition es proporcionar características adicionales y potentes que requieren inversiones específicas en investigación y desarrollo. Puedes habilitar la Enterprise Edition directamente en la configuración de la plataforma.

• OpenCTI Community Edition, con licencia bajo la licencia Apache 2, Versión 2.0.
• OpenCTI Enterprise Edition, con licencia bajo la licencia Enterprise Edition.

Para entender qué aporta la OpenCTI Enterprise Edition en términos de características, solo tienes que consultar la página de Enterprise Editions en el sitio web de Filigran. También puedes probar esta edición habilitándola en la configuración de la plataforma.

Documentación y demostración

Si quieres saber más sobre OpenCTI, puedes leer la documentación sobre la herramienta. Si deseas descubrir cómo funciona la plataforma OpenCTI, hay una instancia de demostración disponible y abierta a todos. Esta instancia se reinicia cada noche y se basa en datos de referencia mantenidos por los desarrolladores de OpenCTI.

Descarga de versiones

Las versiones están disponibles en la página de releases de Github. También puedes acceder al paquete de versión continua (rolling release) generado a partir de la rama master del repositorio.

Instalación

Todo lo que necesitas para instalar la plataforma OpenCTI se encuentra en la documentación oficial. Para la instalación, puedes:

• Usar Docker
• Instalar manualmente
• Usar Terraform (comunidad)
• Usar Helm charts (comunidad)

Contribuir

Código de Conducta

OpenCTI ha adoptado un Código de Conducta que esperamos que los participantes del proyecto respeten. Por favor, lee el texto completo para que puedas entender qué acciones serán y no serán toleradas.

Guía de contribución

Lee nuestra guía de contribución para conocer nuestro proceso de desarrollo, cómo proponer correcciones de errores y mejoras, y cómo compilar y probar tus cambios en OpenCTI.

Issues para principiantes

Para ayudarte a familiarizarte con nuestro proceso de contribución, tenemos una lista de issues para principiantes que son bastante fáciles de implementar. Este es un gran lugar para empezar.

Desarrollo

Si quieres ayudar activamente a OpenCTI, hemos creado una documentación dedicada sobre el despliegue de un entorno de desarrollo y cómo comenzar la modificación del código fuente.

Comunidad

Estado y errores

Actualmente OpenCTI está en pleno desarrollo; si deseas reportar errores o solicitar nuevas características, puedes usar directamente el módulo de issues de Github.

Discusión