Incident Hub Connector for OpenCTI

Incident Hub Connector интегрирует структурированную информацию об инцидентах кибербезопасности в OpenCTI. Коннектор агрегирует данные, связанные с инцидентами, из нескольких источников, включая отчеты об инцидентах, аналитические публикации, раскрытия государственных органов, материалы поставщиков решений безопасности, исследовательских групп, профессиональных киберсообществ и отдельных исследователей. Incident Hub преобразует человекочитаемые описания инцидентов в бандлы STIX 2.1. Коннектор импортирует данные об инцидентах в OpenCTI вместе с краткими сводками, ключевыми фактами и аналитическими заметками, связанными с каждым инцидентом. Коннектор создает и импортирует основные STIX-объекты, включая Incidents, Notes и Identities, а также связи между ними. Это позволяет документировать инциденты, добавлять к ним контекст и связывать их с затронутыми или вовлеченными организациями в OpenCTI единообразно и структурированно. Благодаря интеграции Incident Hub платформа OpenCTI дополняется качественными структурированными данными об инцидентах, что позволяет CTI- и SOC-аналитикам автоматизировать загрузку инцидентов, централизовать знания о них и значительно сократить время, необходимое для анализа и контекстуализации инцидентов.

Больше не нужно вручную копировать и вставлять сведения об инцидентах из статей, извлекать информацию или нормализовать описания. Incident Hub автоматически обрабатывает материалы, связанные с инцидентами, и структурирует их перед загрузкой в OpenCTI. Если источник содержит неполную, неоднозначную или непоследовательно описанную информацию об инциденте, она загружается в контекстуализированном виде с использованием Incidents, Notes и Identities. Это сохраняет аналитическую ценность данных без принудительного назначения некорректных или чрезмерно конкретных классификаций. Дополнительные сведения, предположения или уточнения из источника сохраняются как Notes и напрямую связываются с соответствующим Incident. Организации, упомянутые в разных источниках, нормализуются и связываются единообразно, что позволяет отслеживать одну и ту же организацию в разных отчетах, регионах и вариантах именования, используемых различными авторами, странами и поставщиками решений безопасности. Это позволяет аналитикам автоматически коррелировать инциденты, связанные с одними и теми же организациями, даже если их описания различаются между источниками. Централизуя и структурируя данные об инцидентах таким образом, Incident Hub помогает аналитикам поддерживать в OpenCTI чистую, согласованную и качественную базу знаний об инцидентах, существенно снижая объем ручной работы и улучшая анализ инцидентов и историческое отслеживание.

Ключевые возможности

• Значительная экономия времени: ручной импорт и обработка статей, блогов и отчетов об угрозах занимает много времени и больше не требуется.
• Библиотека отчетов об угрозах: храните все Incidents, их описания и заметки в одном месте.
• Интеграция с OpenCTI: бесшовно интегрирует полученные данные в модель данных OpenCTI.

Этот коннектор дает пользователям более полное и глубокое понимание ландшафта инцидентов кибербезопасности за счет использования структурированной и курируемой аналитики об инцидентах, предоставляемой RST Cloud.

Требования

• OpenCTI Platform версии 6.8.5 или выше.

Рекомендуемые коннекторы

Этот коннектор согласован с данными, которые загружаются распространенными коннекторами OpenCTI. Рекомендуется установить следующие коннекторы вместе с RST Report Hub Connector:

• MITRE Datasets (https://github.com/OpenCTI-Platform/connectors/tree/master/external-import/mitre)
• OpenCTI Datasets (https://github.com/OpenCTI-Platform/connectors/tree/master/external-import/opencti)
• CISA Known Exploited Vulnerabilities (https://github.com/OpenCTI-Platform/connectors/tree/master/external-import/cisa-known-exploited-vulnerabilities)

Конфигурация

Настройка коннектора проста. Минимальная конфигурация требует указать API-ключ и параметры подключения к OpenCTI. Ниже приведен полный список настраиваемых параметров:

Совместимость с версиями OpenCTI

Коннектор выпускается двумя линиями, перекрывающими OpenCTI 6.4.0 – 6.9.x. Используйте тег образа, соответствующий вашей версии платформы:

connectors-SDK появился в OpenCTI 6.8.14. Legacy-образ (тег 6.4.0) совместим со всеми платформами ниже этой границы; для 6.8.14 и новее берите тег вашей версии OpenCTI (ближайший доступный в линии 6.9.x).