Примечание: Создаёте коннекторы, вносите вклад в платформу или запускаете OpenCTI в продакшене?

Присоединяйтесь к нам в Community Slack, чтобы задать вопросы, обсудить PR перед его открытием или обменяться опытом по интеграциям.

Введение

OpenCTI — это открытая платформа, позволяющая организациям управлять своими знаниями о киберугрозах и наблюдаемыми объектами. Она была создана для структурирования, хранения, организации и визуализации технической и нетехнической информации о киберугрозах.

Структурирование данных выполняется с помощью схемы знаний, основанной на стандартах STIX2. Платформа спроектирована как современное веб-приложение, включающее GraphQL API и фронтенд, ориентированный на удобство пользователя. Кроме того, OpenCTI может интегрироваться с другими инструментами и приложениями, такими как MISP, TheHive, MITRE ATT&CK и др.

Цель

Цель — создать комплексный инструмент, позволяющий пользователям накапливать техническую (например, TTP и наблюдаемые объекты) и нетехническую информацию (например, предполагаемую атрибуцию, виктимологию и т. д.), связывая каждый фрагмент информации с его первоисточником (отчётом, событием MISP и т. д.), с такими возможностями, как связи между каждой информацией, даты первого и последнего наблюдения, уровни достоверности и т. д. Инструмент способен использовать фреймворк MITRE ATT&CK (через специальный коннектор) для помощи в структурировании данных. Пользователь также может реализовать собственные наборы данных.

После того как данные накоплены и обработаны аналитиками в OpenCTI, из существующих связей могут быть выведены новые отношения, что облегчает понимание и представление этой информации. Это позволяет пользователю извлекать и использовать значимые знания из необработанных данных.

OpenCTI позволяет не только импортировать, но и экспортировать данные в различных форматах (CSV, пакеты STIX2 и т. д.). В настоящее время разрабатываются коннекторы для ускорения взаимодействия между инструментом и другими платформами.

Редакции платформы

Платформа OpenCTI имеет 2 различные редакции: Community (CE) и Enterprise (EE). Назначение Enterprise Edition — предоставить дополнительные и мощные возможности, требующие особых инвестиций в исследования и разработку. Вы можете включить Enterprise Edition непосредственно в настройках платформы.

• OpenCTI Community Edition, лицензируется по лицензии Apache 2, версия 2.0.
• OpenCTI Enterprise Edition, лицензируется по лицензии Enterprise Edition.

Чтобы понять, какие возможности предоставляет OpenCTI Enterprise Edition, просто ознакомьтесь со страницей Enterprise Editions на сайте Filigran. Вы также можете опробовать эту редакцию, включив её в настройках платформы.

Документация и демонстрация

Если вы хотите узнать больше об OpenCTI, вы можете прочитать документацию по инструменту. Если вы желаете узнать, как работает платформа OpenCTI, доступен демонстрационный экземпляр, открытый для всех. Этот экземпляр сбрасывается каждую ночь и основан на эталонных данных, поддерживаемых разработчиками OpenCTI.

Загрузка релизов

Релизы доступны на странице релизов Github. Вы также можете получить доступ к пакету rolling release, сгенерированному из ветки master репозитория.

Установка

Всё необходимое для установки платформы OpenCTI можно найти в официальной документации. Для установки вы можете:

• Использовать Docker
• Установить вручную
• Использовать Terraform (сообщество)
• Использовать Helm charts (сообщество)

Участие в разработке

Кодекс поведения

OpenCTI принял Кодекс поведения, которого, как мы ожидаем, будут придерживаться участники проекта. Пожалуйста, прочитайте полный текст, чтобы понять, какие действия будут и не будут допускаться.

Руководство по участию

Прочитайте наше руководство по участию, чтобы узнать о нашем процессе разработки, о том, как предлагать исправления ошибок и улучшения, а также о том, как собирать и тестировать ваши изменения в OpenCTI.

Задачи для начинающих

Чтобы помочь вам освоиться с нашим процессом участия, у нас есть список задач для начинающих, которые довольно легко реализовать. Это отличное место для начала.

Разработка

Если вы хотите активно помогать OpenCTI, мы создали специальную документацию о развёртывании среды разработки и о том, как начать модификацию исходного кода.

Сообщество

Статус и ошибки

В настоящее время OpenCTI активно разрабатывается; если вы хотите сообщить об ошибках или запросить новые функции, вы можете напрямую использовать модуль Github issues.

Обсуждение

Если вам нужна поддержка или вы хотите начать обсуждение платформы OpenCTI, присоединяйтесь к нам в нашем канале Slack. Вы также можете отправить нам письмо на [email protected].

О проекте

Авторы