OpenCTI-Platform/opencti

OpenCTI 是一个开源的网络威胁情报与可观测对象管理平台，面向需要在组织内维护一份可共享、可追溯来源的威胁知识库的团队，而不是把它当作一次性的情报订阅阅读器：分析人员把技术类与非技术类信息存入平台，并把每条信息关联回其原始来源（报告、MISP 事件等）。

它做什么

平台的核心机制是一套基于 STIX2 的知识模式，让威胁指标、TTP、关系等对象有统一结构。在此之上，OpenCTI 会把每条信息链接到主要来源，并记录首次/最后出现时间和置信度。分析人员处理完数据后，还可以从已有关系中推断出新的关系，项目称之为从原始数据中提取有意义的知识。前端提供可视化，GraphQL API 则把平台开放给其他工具 README。

与其他工具的协作

集成是文档中工作流的重要部分。OpenCTI 可对接 MISP 和 TheHive，并通过专用 connector 使用 MITRE ATT&CK 框架来辅助结构化数据，也支持用户自己的数据集。文档覆盖了数据导入，以及 CSV、STIX2 bundle 等格式的导出；此外还有 connector 生态用于更多平台集成 README，具体用法见官方文档 OpenCTI 文档。

试用与部署

公开演示实例每晚重置，使用参考数据，适合在正式部署前先体验平台 演示实例。实际使用时，项目记录了四条安装路径：Docker、手动安装、社区维护的 Terraform 以及社区 Helm charts，细节在部署文档中 安装方式。平台发布版本单独提供，另有从 master 分支生成的滚动包 README。

版本与其他条件

平台有两个版本：Community Edition 使用 Apache 2.0 许可；Enterprise Edition 使用单独的许可，提供额外功能（详见 Filigran 的订阅页面），可在平台设置中启用 README。由于仓库登记的许可证为 NOASSERTION，计划再分发或基于代码构建产品的使用者应分别阅读两份许可文件，而不是假定单一许可覆盖全部代码。平台还会采集匿名的使用与健康遥测数据，采集范围和用途有单独文档 遥测文档。README 说明项目仍在密集开发中，因此应预期持续变化，而非固定的功能集合。