Construindo um Pipeline de Enriquecimento de IOCs com OpenCTI

Visão Geral

OpenCTI é uma plataforma de código aberto para gerenciar conhecimento de inteligência de ameaças cibernéticas, construída sobre o STIX 2.1 como seu modelo de dados nativo. Esta habilidade abrange a construção de um pipeline automatizado de enriquecimento de IOCs usando o ecossistema de conectores do OpenCTI para enriquecer indicadores com contexto de VirusTotal, Shodan, AbuseIPDB, GreyNoise e outras fontes. O pipeline enriquece automaticamente os indicadores recém-ingeridos, correlaciona-os com atores de ameaças e campanhas conhecidas e os pontua para priorização por analistas.

Quando Usar

• Ao implantar ou configurar a construção de um pipeline de enriquecimento de IOCs com capacidades do OpenCTI em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Docker e Docker Compose para implantação do OpenCTI
• Python 3.9+ com a biblioteca pycti
• Chaves de API para serviços de enriquecimento: VirusTotal, Shodan, AbuseIPDB, GreyNoise
• Compreensão do modelo de dados STIX 2.1 e seus relacionamentos
• ElasticSearch ou OpenSearch para o backend do OpenCTI
• RabbitMQ ou Redis para mensagens dos conectores

Conceitos Chave

Arquitetura do OpenCTI

O OpenCTI utiliza um frontend de API GraphQL com backend em ElasticSearch para armazenamento e Redis/RabbitMQ para comunicação dos conectores. Os dados são armazenados nativamente como objetos STIX 2.1 com relacionamentos. Os conectores são categorizados como: Importação Externa (ingestão de feeds), Importação Interna (análise de arquivos), Enriquecimento Interno (adição de contexto) e Stream (exportação em tempo real).

Modelo de Conector de Enriquecimento

Conectores de enriquecimento internos são acionados automaticamente quando novos observáveis são criados ou manualmente por analistas. Cada conector recebe objetos STIX, consulta serviços externos e retorna pacotes STIX 2.1 que aumentam o observável original com contexto adicional, rótulos e relacionamentos.

Pontuação de Confiança

O OpenCTI utiliza uma escala de confiança de 0 a 100 para indicadores. Conectores de enriquecimento podem atualizar pontuações de confiança com base em validação externa: taxas de detecção do VirusTotal, dados de exposição do Shodan, contagens de relatórios do AbuseIPDB e resultados de classificação do GreyNoise.

Fluxo de Trabalho

Passo 1: Implantar o OpenCTI com Docker Compose

# docker-compose.yml (key services)
version: '3'
services:
  opencti:
    image: opencti/platform:6.4.4
    environment:
      - APP__PORT=8080
      - APP__ADMIN__EMAIL=admin@opencti.io
      - APP__ADMIN__PASSWORD=ChangeMeNow
      - APP__ADMIN__TOKEN=your-admin-token-uuid
      - ELASTICSEARCH__URL=http://elasticsearch:9200
      - MINIO__ENDPOINT=minio
      - RABBITMQ__HOSTNAME=rabbitmq
    ports:
      - "8080:8080"
    depends_on:
      - elasticsearch
      - minio
      - rabbitmq
      - redis

  connector-virustotal:
    image: opencti/connector-virustotal:6.4.4
    environment:
      - OPENCTI_URL=http://opencti:8080
      - OPENCTI_TOKEN=your-admin-token-uuid
      - CONNECTOR_ID=connector-virustotal-id
      - CONNECTOR_NAME=VirusTotal
      - CONNECTOR_SCOPE=StixFile,Artifact,IPv4-Addr,Domain-Name,Url
      - CONNECTOR_AUTO=true
      - VIRUSTOTAL_TOKEN=your-vt-api-key
      - VIRUSTOTAL_MAX_TLP=TLP:AMBER

  connector-shodan:
    image: opencti/connector-shodan:6.4.4
    environment:
      - OPENCTI_URL=http://opencti:8080
      - OPENCTI_TOKEN=your-admin-token-uuid
      - CONNECTOR_ID=connector-shodan-id
      - CONNECTOR_NAME=Shodan
      - CONNECTOR_SCOPE=IPv4-Addr
      - CONNECTOR_AUTO=true
      - SHODAN_TOKEN=your-shodan-api-key
      - SHODAN_MAX_TLP=TLP:AMBER

  connector-abuseipdb:
    image: opencti/connector-abuseipdb:6.4.4
    environment:
      - OPENCTI_URL=http://opencti:8080
      - OPENCTI_TOKEN=your-admin-token-uuid
      - CONNECTOR_ID=connector-abuseipdb-id
      - CONNECTOR_NAME=AbuseIPDB
      - CONNECTOR_SCOPE=IPv4-Addr
      - CONNECTOR_AUTO=true
      - ABUSEIPDB_API_KEY=your-abuseipdb-key

Passo 2: Construir um Conector de Enriquecimento Personalizado

import os
from pycti import OpenCTIConnectorHelper, get_config_variable
from stix2 import (
    Bundle, Indicator, Note, Relationship,
    IPv4Address, DomainName
)
import requests


class CustomEnrichmentConnector:
    def __init__(self):
        config = {
            "opencti": {
                "url": os.environ.get("OPENCTI_URL"),
                "token": os.environ.get("OPENCTI_TOKEN"),
            },
            "connector": {

…