Коннектор OpenCTI Cyber Threat Tech IoC Lookup

Содержание

• Коннектор OpenCTI Cyber Threat Tech IoC Lookup
  • Содержание
  • Введение
  • Установка
    • Требования
  • Конфигурация
    • Конфигурация OpenCTI
    • Базовая конфигурация коннектора
    • Конфигурация Cyber Threat Tech IoC Lookup
  • Развёртывание
    • Развёртывание через Docker
    • Ручное развёртывание
  • Использование
  • Поведение
    • Поток данных
    • Сопоставление обогащения
    • Типы оценок
    • Создаваемые объекты STIX
  • Отладка
  • Дополнительная информация

Введение

CTT IoC Lookup предоставляет доступ к комплексному обогащению отдельных индикаторов компрометации через единый API Cyber Threat Tech. Сервис проверяет IP-адреса, домены, URL-адреса и хеш-значения, дополняя их историческими и контекстными данными: связью с угрозами и APT-группами, категориями вредоносной активности, TTP, CVE, связанными индикаторами, ASN, геолокацией, WHOIS и внешними источниками. Для каждого IoC рассчитывается индивидуальная оценка риска, а механизмы нормализации и фильтрации помогают снижать количество ложных срабатываний и быстрее принимать решение о необходимости детектирования.

Ключевые возможности:

• Обогащение IP-адресов, доменов, URL и хеш-значений через единый API
• Предоставление контекста по IoC: угрозы, APT-группы, TTP, CVE, связанные индикаторы и категории вредоносной активности
• Индивидуальная оценка риска для каждого IoC по модели 0-100 с учётом источников, тегов и частоты наблюдений
• Нормализация индикаторов, названий угроз и APT-групп для единообразного представления данных
• Фильтрация известных легитимных объектов и ложных срабатываний
• Обогащение сетевыми и регистрационными данными: ASN, геолокация, DNS, WHOIS и HTTP-статус
• Поддержка исторических данных по индикаторам, включая время первого и последнего обнаружения
• Быстрая интеграция с TIP, SOAR, SIEM, EDR, XDR, NGFW и WAF-решениями

Установка

Требования

• Платформа OpenCTI >= 6.0.0
• API-ключ Cyber Threat Tech (получить можно или написав на info@cyberthreattech.ru)
• Сетевой доступ к API Cyber Threat Tech

Конфигурация

Конфигурация OpenCTI

Базовая конфигурация коннектора

Конфигурация Cyber Threat Tech IoC Lookup

Развёртывание

Развёртывание через Docker

Соберите Docker-образ, используя предоставленный Dockerfile.

docker build -t connector-ctt-ioc-lookup:latest .

Пример docker-compose.yml:

version: '3'
services:
  connector-ctt-ioc-lookup:
    image: connector-ctt-ioc-lookup:latest
    environment:
      - OPENCTI_URL=http://localhost
      - OPENCTI_TOKEN=ChangeMe
      - CONNECTOR_ID=ChangeMe
      - CONNECTOR_NAME=CTT IoC Lookup
      - CONNECTOR_SCOPE=IPv4-Addr,Domain-Name,Url,StixFile,indicator
      - CONNECTOR_AUTO=false
      - CONNECTOR_LOG_LEVEL=info
      - CTT_IOC_LOOKUP_BASE_URL=https://api.cyberthreattech.ru/v1
      - CTT_IOC_LOOKUP_API_KEY=ChangeMe
      - CTT_IOC_LOOKUP_MAX_TLP=TLP:AMBER+STRICT
      - CTT_IOC_LOOKUP_UPDATE_CONFIDENCE=true
      - CTT_IOC_LOOKUP_UPDATE_SCORE=true
      - CTT_IOC_LOOKUP_UPDATE_VALID_FROM=true
      - CTT_IOC_LOOKUP_LABEL_FORMAT=short
      - CTT_IOC_LOOKUP_SCORE_TYPE=last
      - CTT_IOC_LOOKUP_UPDATE_DESCRIPTION_ACTION=overwrite
      - CTT_IOC_LOOKUP_DETECTION_FLAG_THRESHOLD=45
      - CTT_IOC_LOOKUP_TIMEOUT=10
    restart: always

Ручное развёртывание

1. Клонируйте репозиторий
2. Скопируйте config.yml.sample в config.yml и выполните настройку
3. Установите зависимости: pip install -r requirements.txt
4. Запустите коннектор

Использование

Коннектор обогащает наблюдаемые объекты и индикаторы следующим образом:

1. Проверяет вредоносность через API CTT Cloud
2. Добавляет связанный threat intelligence контекст
3. Корректирует оценки и уровень доверия
4. Устанавливает флаги детектирования на основе порога

Запуск обогащения:

• Вручную через интерфейс OpenCTI
• Автоматически, если CONNECTOR_AUTO=true
• Через playbooks

Поведение

Поток данных

flowchart LR
    A[Наблюдаемый объект/Индикатор] --> B[CTT IoC Lookup]
    B --> C{CTT API}
    C --> D[Данные об угрозах]
    D --> E[Вредоносное ПО/Субъекты]
    D --> F[TTP/CVE]
    D --> G[Оценка/Доверие]
    E --> H[OpenCTI]
    F --> H
    G --> H

Сопоставление обогащения

Типы оценок

Создаваемые объекты STIX

Отладка

Включите логирование отладки, установив CONNECTOR_LOG_LEVEL=debug, чтобы видеть:

• Подробности запросов и ответов API
• Расчёты оценок
• Обработку обогащения

Дополнительная информация

• Cyber Threat Tech
• Контакты: mailto:info@cyberthreattech.ru