OpenCTI

Définition

OpenCTI est une plateforme open-source de gestion et de structuration de renseignement sur les menaces (Cyber Threat Intelligence), développée initialement par l'ANSSI et le CERT-EU puis maintenue par la société Filigran, conçue pour centraliser, corréler et visualiser les connaissances relatives aux menaces cyber au sein d'une organisation ou d'une communauté d'échange. La plateforme structure ses données selon le standard STIX 2.1 (Structured Threat Information Expression), langage normalisé permettant de représenter de manière cohérente les objets de threat intelligence — acteurs de la menace, campagnes d'attaque, malwares, indicateurs de compromission (IoC), tactiques et techniques MITRE ATT&CK — ainsi que les relations les reliant entre eux, formant un graphe de connaissances exploitable et interrogeable. L'interface de visualisation graphique permet aux analystes d'explorer visuellement ces relations, par exemple en identifiant rapidement quels indicateurs techniques sont associés à un acteur de menace connu ou quelles campagnes partagent une infrastructure commune. OpenCTI s'intègre avec le protocole d'échange TAXII pour l'importation et l'exportation automatisée de flux de threat intelligence externes (MISP, flux commerciaux, CERT nationaux), ainsi qu'avec des outils SOAR pour l'enrichissement automatique des alertes de sécurité. Largement adoptée par les CERT, CSIRT et équipes de threat intelligence, la plateforme constitue une alternative souveraine et open-source aux solutions commerciales propriétaires de gestion de renseignement sur les menaces.