OpenCTI

Relatórios de ameaça chegam de feeds, do MISP, de fornecedores e de alertas internos. O OpenCTI reúne esse material e o estrutura num modelo de conhecimento baseado no padrão STIX2, com ligações entre atores, campanhas, técnicas e indicadores. A Filigran desenvolve a plataforma, que tem API GraphQL e uma interface web voltada para análise.

Para que serve

• Importar dados do MISP, do TheHive e do MITRE ATT&CK por conectores.
• Registrar a primeira e a última vez que cada informação foi vista, com o nível de confiança.
• Inferir relações novas a partir das que já existem no grafo.
• Trocar inteligência com parceiros em CSV ou em pacotes STIX2.

Como começar

A documentação oficial usa Docker Compose:

git clone https://github.com/OpenCTI-Platform/docker.git
cd docker
sudo sysctl -w vm.max_map_count=1048575
sudo docker compose up -d

Antes de subir, crie o .env a partir do .env.sample. O OPENCTI_ADMIN_TOKEN tem de ser um UUID gerado com uuidgen, ou o contêiner não inicia. A pilha inclui Elasticsearch ou OpenSearch, Redis, RabbitMQ e armazenamento de objetos, e a interface abre em localhost:8080. Reserve memória: o exemplo dá 4 GB ao Elasticsearch, e o Redis chega a cerca de 8 GB com o tamanho padrão do fluxo. Há uma demonstração pública, zerada toda noite.

Licença e custo

São duas licenças no mesmo repositório, e o cabeçalho de cada arquivo diz qual vale. Arquivos sem cabeçalho ou marcados como Community Edition seguem a Apache 2.0. Os marcados como Enterprise Edition usam licença comercial da Filigran: você pode copiá-los e alterá-los só para desenvolvimento e teste, e em produção precisa de contrato e licença para o número de instâncias. Nesses arquivos, as mudanças que você fizer passam a pertencer à Filigran.

A Community Edition é gratuita. A Enterprise soma IA, playbooks e SSO, com preço sob consulta e teste de 30 dias. A Filigran também oferece a plataforma hospedada.

Quando vale a pena

Num SOC ou num time de CTI que já consome vários feeds, o OpenCTI cruza tudo com as técnicas do MITRE ATT&CK. Empresa pequena, sem analista dedicado, sente o peso da infraestrutura. O MISP, que ele importa por conector, pode bastar para quem só precisa compartilhar indicadores.