CTI / Threat Intel Connectors — szkielet wymiany (spec / MVP)

Specyfikacja i szkielet wymiany Cyber Threat Intelligence dla ipIII: import wskaźników (IoC) i feedów oraz eksport incydentu jako STIX bundle. Docelowe standardy: MISP, OpenCTI, STIX 2.1, TAXII 2.1. To dokument projektowy — konektory są na etapie ROADMAP, a warstwa mapowania jako MVP/PoC. Nic tu nie jest oznaczone jako LIVE, dopóki nie ma dowodu (kod + test + endpoint).

Zakres i standardy

Kierunki wymiany

Legenda: ROADMAP = zaplanowane, brak działającego konektora · MVP mapping / PoC = szkielet mapowania na danych syntetycznych, bez integracji produkcyjnej.

Przykład: syntetyczny STIX 2.1 bundle (export incydentu)

Poniżej syntetyczny przykład tego, jak incydent ipIII mógłby zostać wyeksportowany jako STIX 2.1 bundle. Wartości (IP, hash, id) są zmyślone i służą wyłącznie ilustracji struktury. To nie są realne wskaźniki i nie opisują żadnego rzeczywistego zdarzenia.

{
  "type": "bundle",
  "id": "bundle--00000000-0000-4000-8000-000000000001",
  "objects": [
    {
      "type": "identity",
      "spec_version": "2.1",
      "id": "identity--00000000-0000-4000-8000-0000000000a1",
      "created": "2026-07-05T00:00:00.000Z",
      "modified": "2026-07-05T00:00:00.000Z",
      "name": "K0NSULT ipIII (syntetyczny nadawca)",
      "identity_class": "organization"
    },
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--00000000-0000-4000-8000-0000000000b2",
      "created": "2026-07-05T00:00:00.000Z",
      "modified": "2026-07-05T00:00:00.000Z",
      "name": "Syntetyczny IoC: adres C2 (przyklad)",
      "description": "Dane syntetyczne — wylacznie ilustracja struktury STIX.",
      "indicator_types": ["malicious-activity"],
      "pattern": "[ipv4-addr:value = '203.0.113.10']",
      "pattern_type": "stix",
      "valid_from": "2026-07-05T00:00:00.000Z"
    },
    {
      "type": "observed-data",
      "spec_version": "2.1",
      "id": "observed-data--00000000-0000-4000-8000-0000000000c3",
      "created": "2026-07-05T00:00:00.000Z",
      "modified": "2026-07-05T00:00:00.000Z",
      "first_observed": "2026-07-05T00:00:00.000Z",
      "last_observed": "2026-07-05T00:00:00.000Z",
      "number_observed": 1,
      "object_refs": ["file--00000000-0000-4000-8000-0000000000d4"]
    },
    {
      "type": "file",
      "spec_version": "2.1",
      "id": "file--00000000-0000-4000-8000-0000000000d4",
      "hashes": {
        "SHA-256": "0000000000000000000000000000000000000000000000000000000000000000"
      },
      "name": "sample-artifact.bin (syntetyczny)"
    },
    {
      "type": "relationship",
      "spec_version": "2.1",
      "id": "relationship--00000000-0000-4000-8000-0000000000e5",
      "created": "2026-07-05T00:00:00.000Z",
      "modified": "2026-07-05T00:00:00.000Z",
      "relationship_type": "based-on",
      "source_ref": "indicator--00000000-0000-4000-8000-0000000000b2",
      "target_ref": "observed-data--00000000-0000-4000-8000-0000000000c3"
    }
  ]
}

Import IoC / feed — model docelowy

Wszystkie kroki na etapie ROADMAP; dziś istnieje jedynie szkielet mapowania (przykład powyżej) jako PoC.

Architektura referencyjna węzła CTI (spec, ROADMAP)

Poniżej architektura referencyjna zaprojektowana dla federacyjnego węzła CTI ipIII — dokument projektowy z fali IP3-W6-R5-T04, nieuruchomiony. Pokazuje docelowy przepływ i minimalny stos technologiczny, nie działający system.

[MISP]
  |  REST / PyMISP
  v
[CTI Normalizer]
  |  STIX 2.1 bundles
  v
[TAXII Server] <----> [Federacja / partnerzy]
  |
  v
[OpenCTI Connector]
  |
  v
[OpenCTI Platform]

Elementy pomocnicze w projekcie: PostgreSQL (storage OpenCTI), Elastic (indeksacja), Redis/RabbitMQ (kolejka importu, etap 2). Żaden z elementów tego stosu nie jest dziś uruchomiony w ipIII — to specyfikacja docelowa, nie inwentarz działającej infrastruktury.

Mapowanie pól MISP → STIX 2.1 (spec projektowa)

Tabela mapowania pól źródłowych MISP na obiekty STIX 2.1 jako podstawa przyszłego normalizera. Status ROADMAP — mapowanie opisane w dokumencie projektowym, konektor niewdrożony.

Przykład pipeline'u importu (spec kodu, nieuruchomiony)

Poniższy fragment Pythona to przykład projektowy z dokumentu specyfikacji — ilustruje zamierzony kształt normalizera MISP→STIX. Kod nie jest uruchomiony w ipIII, nie ma testu integracyjnego ani endpointu; status ROADMAP.

from pymisp import PyMISP
from stix2 import Indicator, Bundle
from datetime import datetime, timezone

misp = PyMISP(url="https://misp.local", key="MISP_API_KEY", ssl=True)
events = misp.search(controller="events", timestamp="24h", pythonify=True)

objects = []
for event in events:
    for attr in event.attributes:
        if attr.type == "domain":
            indicator = Indicator(
                name=f"MISP domain {attr.value}",
                pattern=f"[domain-name:value = '{attr.value}']",
                pattern_type="stix",
                valid_from=datetime.now(timezone.utc)
            )
            objects.append(indicator)

bundle = Bundle(objects)
print(bundle.serialize(pretty=True))

TAXII 2.1 — kolekcje i uprawnienia (spec)

Rekomendacja projektowa: osobne kolekcje per TLP lub domena operacyjna, token per partner, immutable append dla bundle, deduplikacja po id i modified. Status ROADMAP — brak wdrożonego serwera TAXII w ipIII.

/api/taxii2/
  discovery
  collections/
    tlp-clear/
    tlp-amber/
    malware/
    phishing/

Reguły TLP i deduplikacja (spec)

Filtr eksportu (przykład projektowy, nieuruchomiony):

def export_allowed(tags):
    if "tlp:red" in [t.lower() for t in tags]:
        return False
    return True

Deduplikacja: klucz stix_id + modified; dla IoC bez stabilnego STIX ID — sha256(type + value + source + first_seen). Oba warianty to specyfikacja, nie działający kod.

Walidacja i testy akceptacyjne (spec — nieuruchomione)

Warunki akceptacji zaprojektowane dla przyszłego pipeline'u — dziś bez działającego harnessu w ipIII. Status ROADMAP.

Wymogi bezpieczeństwa pipeline'u (spec)

• TLS 1.2+, mTLS dla partnerów wysokiego zaufania
• API token per partner, rotacja tokenów
• audit log POST/GET, rate limiting
• kolekcje per TLP, brak automatycznego eksportu TLP:RED

Bez eksportu (zasada projektowa): danych osobowych, wewnętrznych komentarzy analityków, źródeł HUMINT, tagów operacyjnych, atrybutów o ograniczonej dystrybucji wg polityki źródła.

Etapy wdrożenia (ROADMAP)

Podsumowanie statusu

Powiązane: rejestr konektorów → /connectors · warstwa threat intel → /threat-intel · znane ograniczenia (uczciwie) → /known-limitations.