【安全运营】OpenCTI 平台基础与规则体系

一、OpenCTI 核心认知

1. 什么是 OpenCTI？

OpenCTI（Open Cyber Threat Intelligence）是目前最主流的开源威胁情报管理平台，专为安全团队设计，能将零散的威胁情报（如恶意软件、攻击团伙、漏洞利用等）进行结构化整合、可视化展示和自动化关联，帮助小白也能快速掌握威胁态势。它完全遵循 STIX 2.1（结构化威胁信息表达）和 TAXII 2.1（威胁情报交换协议）国际标准，确保情报的通用性和互操作性。

简单来说，OpenCTI 是用来“管理和使用威胁情报”的工具。比如你从安全厂商、漏洞平台获取到“某恶意软件会通过钓鱼邮件传播”的信息，这些信息可能是杂乱的文本，OpenCTI 能把它转化为标准化的数据（如“恶意软件”“攻击技术”“传播载体”等关联关系），并用图表直观展示，还能对接其他安全工具（如 Wazuh、Suricata）实现威胁检测。

2. 为什么要用 OpenCTI？

情报零散难整合：手动整理多个来源的情报（如 CVE 漏洞库、APT 报告）效率低，OpenCTI 自动标准化并关联，形成“攻击链全景图”。

技术术语看不懂：内置 MITRE ATT&CK、CVE 等权威数据库，鼠标悬停即可查看术语解释，小白也能快速理解威胁本质。