Установка OpenCTI в Docker

OpenCTI (Open Cyber Threat Intelligence) — это платформа с открытым исходным кодом для управления киберугрозами. Она предназначена для сбора, анализа и обмена информацией о киберугрозах. В статье покажу, как установить OpenCTI в Docker.

Еще по теме: Установка OpenVAS в Docker

Возможности OpenCTI

Фреймворк собирает данные из различных источников, таких как другие платформы CTI, системы обнаружения вторжений, блоги, форумы и так далее.
Помогает анализировать полученные данные, чтобы выявить тенденции, шаблоны и связи между различными киберугрозами.
Поддерживает обмен информацией о киберугрозах между различными организациями и сообществами, что помогает улучшить коллективную безопасность.
OpenCTI можно интегрировать с другими инструментами и платформами безопасности, такими как SIEM, SOAR, IDS/IPS и другие.
Позволяет автоматизировать некоторые процессы, такие как обновление индикаторов угроз и реагирование на инциденты.

Установка OpenCTI в Docker

Перед установкой выполните следующие команды:

apt install docker-compose

apt install -y jq

echo "vm.max_map_count=1048575" >> /etc/sysctl.conf

mkdir -p /path/to/your/app && cd /path/to/your/app

Этот код устанавливает docker-compose и jq, добавляет параметр vm.max_map_count=1048575 в конфигурацию системы для увеличения максимального числа карт памяти, и создает директорию для приложения.

Здесь yml файл для установки в Docker. Он запускает несколько сервисов в Docker для OpenCTI: Redis для кэширования, Elasticsearch для поиска и хранения данных, Minio для хранения объектов, RabbitMQ для очередей сообщений, основной сервис OpenCTI, рабочие узлы (Worker) для выполнения задач, и различные коннекторы для экспорта и импорта данных (STIX, CSV, TXT) и интеграции с внешними сервисами, такими как MISP и AlienVault, используя соответствующие Docker-образы и переменные окружения.

Здесь env-файл для настройки среды выполнения OpenCTI. Он содержит переменные окружения, необходимые для запуска и настройки OpenCTI и его компонентов.

Заключительным шагом будет следующая команда, которая пересобирает образы Docker и запускает контейнеры в фоновом режиме.