Construindo uma Plataforma de Inteligência de Ameaças

Visão Geral

Construir uma Plataforma de Inteligência de Ameaças (TIP) envolve implantar e integrar várias ferramentas de CTI em um sistema unificado para coletar, analisar, enriquecer e disseminar inteligência de ameaças. Esta habilidade abrange o design da arquitetura de TIP usando ferramentas de código aberto (MISP, OpenCTI, TheHive, Cortex), a configuração de pipelines de ingestão de feeds, o estabelecimento de fluxos de trabalho de enriquecimento, a implementação da interoperabilidade STIX/TAXII e a construção de dashboards para analistas em operações de CTI.

Quando Usar

• Ao implantar ou configurar capacidades de construção de plataforma de inteligência de ameaças em seu ambiente
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Docker e Docker Compose para implantar componentes da plataforma
• Python 3.9+ com pymisp, pycti, thehive4py bibliotecas
• Cluster Elasticsearch/OpenSearch para armazenamento de dados
• Redis e RabbitMQ para filas de mensagens
• Compreensão do modelo de dados STIX 2.1 e do transporte TAXII 2.1
• Chaves de API para serviços de enriquecimento (VirusTotal, Shodan, AbuseIPDB)

Conceitos Chave

Componentes da Arquitetura TIP

1. Camada de Coleta: Ingestão de feeds de fontes OSINT, comerciais e internas
2. Camada de Armazenamento: Elasticsearch/OpenSearch para dados CTI indexados com esquema STIX 2.1
3. Camada de Análise: OpenCTI para análise de grafo de conhecimento e MISP para correlação de IOCs
4. Camada de Enriquecimento: Analisadores Cortex para enriquecimento automatizado de IOCs
5. Camada de Resposta: TheHive para gerenciamento de casos e integração de resposta a incidentes
6. Camada de Compartilhamento: Servidor TAXII para compartilhamento de inteligência de saída

Pontos de Integração da Plataforma

• MISP <-> OpenCTI: Sincronização bidirecional via conector MISP do OpenCTI
• OpenCTI <-> TheHive: Criação de alertas/casos a partir de indicadores de alta confiança
• TheHive <-> Cortex: Análise e enriquecimento automatizados de observáveis de casos
• Todos <-> SIEM: Envio de IOCs em tempo real para Splunk/Elastic via API ou Kafka

Fluxo de Trabalho

Etapa 1: Implantar a Plataforma com Docker Compose

version: '3.8'
services:
  # --- Storage Layer ---
  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:8.12.0
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=false
      - "ES_JAVA_OPTS=-Xms2g -Xmx2g"
    ports:
      - "9200:9200"
    volumes:
      - es-data:/usr/share/elasticsearch/data

  redis:
    image: redis:7
    ports:
      - "6379:6379"

  rabbitmq:
    image: rabbitmq:3-management
    ports:
      - "5672:5672"
      - "15672:15672"

  minio:
    image: minio/minio
    command: server /data --console-address ":9001"
    ports:
      - "9000:9000"
      - "9001:9001"

  # --- MISP ---
  misp:
    image: ghcr.io/misp/misp-docker/misp-core:latest
    ports:
      - "8443:443"
    environment:
      - MISP_ADMIN_EMAIL=admin@tip.local
      - MISP_BASEURL=https://localhost:8443
    volumes:
      - misp-data:/var/www/MISP/app/files

  # --- OpenCTI ---
  opencti:
    image: opencti/platform:6.4.4
    environment:
      - APP__PORT=8080
      - APP__ADMIN__EMAIL=admin@tip.local
      - APP__ADMIN__PASSWORD=TIPAdminPassword
      - APP__ADMIN__TOKEN=tip-opencti-token-uuid
      - ELASTICSEARCH__URL=http://elasticsearch:9200
      - MINIO__ENDPOINT=minio
      - RABBITMQ__HOSTNAME=rabbitmq
      - REDIS__HOSTNAME=redis
    ports:
      - "8080:8080"
    depends_on:
      - elasticsearch
      - redis
      - rabbitmq
      - minio

  # --- TheHive ---
  thehive:
    image: strangebee/thehive:5.3
    environment:
      - TH_CORTEX_URL=http://cortex:9001
    ports:
      - "9000:9000"
    depends_on:
      - elasticsearch

  # --- Cortex ---
  cortex:
    image: thehiveproject/cortex:3.1.8
    ports:
      - "9001:9001"
    depends_on:
      - elasticsearch

volumes:
  es-data:
  misp-data:

Etapa 2: Configurar o Pipeline de Ingestão de Feeds

from pymisp import PyMISP
from pycti import OpenCTIApiClient
import json

class TIPFeedManager:
    """Gerencia a ingestão de feeds de inteligência de ameaças entre os componentes da plataforma."""

    def __init__(self, misp_url, misp_key, opencti_url, opencti_token):
        self.misp = PyMISP(misp_url, misp_key, ssl=False)
        self.opencti = OpenCTIApiClient(opencti_url, opencti_token)

    def configure_osint_feeds(self):
        """Habilita feeds OSINT padrão no MISP."""
        osint_feeds = [

…