Modelando Ameaças com OpenCTI

Visão Geral

OpenCTI (Open Cyber Threat Intelligence) é uma plataforma de inteligência de ameaças de código aberto desenvolvida pela Filigran que permite aos analistas armazenar, organizar, visualizar e compartilhar inteligência estruturada de ameaças cibernéticas como um grafo de conhecimento. Cada objeto — Atores de Ameaça, Conjuntos de Intrusão, Campanhas, Padrões de Ataque, Malware, Indicadores, Observáveis, Vulnerabilidades — é modelado no padrão STIX 2.1, e os relacionamentos entre eles (uses, attributed-to, targets, indicates) formam um grafo que revela como os adversários operam de ponta a ponta.

Arquiteturalmente, o OpenCTI é construído a partir de uma API GraphQL suportada por Elasticsearch/OpenSearch e um banco de dados de grafo, um stream Redis, um broker de mensagens RabbitMQ, workers de importação/exportação e conectores. Conectores recuperam informações de fontes externas (MITRE ATT&CK, MISP, AlienVault OTX, CISA, abuse.ch, etc.), convertem-nas em pacotes STIX 2.1 e submetem esses pacotes à plataforma; os workers então ingerem os pacotes no grafo. O cliente Python oficial, pycti (OpenCTIApiClient), é a interface programática que os analistas usam para criar entidades, construir relacionamentos e enviar pacotes STIX.

Esta habilidade segue a documentação oficial do OpenCTI (docs.opencti.io) e o repositório OpenCTI-Platform/client-python (pycti). Ela se mapeia para o MITRE ATT&CK T1589 (Coleta de Informações de Identidade da Vítima) como parte do ciclo de vida mais amplo da análise CTI — o OpenCTI é onde a reconhecimento e o tradecraft do adversário observados em relatórios são consolidados, deduplicados e modelados para que as equipes de detecção e resposta possam agir sobre eles. O contexto da ameaça é o volume e a fragmentação da CTI moderna: centenas de relatórios de fornecedores, feeds de IOCs e atualizações do ATT&CK que são inúteis até serem correlacionados em uma única imagem de adversário consultável.

Quando Usar

• Construir uma base de conhecimento centralizada e nativa em STIX de atores de ameaça, campanhas e TTPs
• Correlacionar IOCs e relatórios de múltiplos feeds em um único grafo de adversário
• Mapear atividades observadas para técnicas do MITRE ATT&CK para análise de cobertura e lacunas
• Produzir inteligência estruturada (pacotes STIX) para engenharia de detecção downstream
• Rastrear atribuição: quais conjuntos de intrusão são atribuídos a quais atores de ameaça e campanhas
• Automatizar a ingestão de CTI via conectores e a API pycti

Pré-requisitos

• Docker e Docker Compose (OpenCTI é implantado como um conjunto de contêineres)
• Python 3.8+ para o cliente pycti:

  pip install pycti stix2
  

• Uma instância OpenCTI e um token de API (Perfil > Acesso à API na UI)
• Familiaridade com o modelo de dados STIX 2.1 (SDOs, SROs, observáveis)
• RabbitMQ, Redis e Elasticsearch/OpenSearch acessíveis pela plataforma (tratado pelo compose de referência)

Objetivos

• Implantar uma plataforma OpenCTI com workers via Docker Compose
• Autenticar na API GraphQL com pycti usando um token de API
• Criar objetos de domínio STIX principais: Atores de Ameaça, Conjuntos de Intrusão, Campanhas, Padrões de Ataque, Malware
• Construir relacionamentos (uses, attributed-to, targets) para formar o grafo de adversário
• Habilitar conectores (MITRE ATT&CK, MISP) para auto-ingestão de inteligência
• Enviar pacotes STIX 2.1 via send_stix2_bundle
• Consultar o grafo e exportar o perfil completo de TTP de um ator

Mapeamento MITRE ATT&CK

| ID | Nome | Relevância