Seminar OpenCTI Grundlagen für Analysten: STIX, Wissensgraph und Workflows

Dieses Grundlagenseminar vermittelt den fachlichen Einstieg in OpenCTI für Analysten und operative Security-Teams. Im Mittelpunkt stehen STIX-orientiertes Denken, der Wissensgraph, Entitäten, Beziehungen, Observables, Indicators, Reports und grundlegende Analyseworkflows. Ziel ist ein belastbares Arbeitsverständnis, bevor Spezialisierung in Administration, Integration oder Automatisierung beginnt.

Zielgruppe

Das Seminar richtet sich an CTI-Analysten, SOC-Analysten, CSIRT-Mitglieder, Threat Hunter und Security Engineers, die OpenCTI in der täglichen Analyse und Informationsstrukturierung verwenden.

Voraussetzungen

Grundlagen in IT-Sicherheit und Cyber Threat Intelligence werden empfohlen. Erfahrung mit OpenCTI ist nicht erforderlich.

Inhalte

• OpenCTI-Grundidee: strukturierte Speicherung, Organisation und Visualisierung von Cyber Threat Intelligence
• STIX-2.1-orientiertes Datenmodell mit Entitäten, Beziehungen und Cyber-Observables
• Wissensgraph: Navigation, Pivoting, Kontextaufbau und Vermeidung isolierter Einzelinformationen
• Zentrale Objekttypen: Threat Actors, Intrusion Sets, Campaigns, Malware, Tools, Vulnerabilities, Reports und Indicators
• Observables, Indicators, Sightings und die fachliche Trennung zwischen Beobachtung und Bewertung
• Reports und Groupings als Container für strukturierte Analyseergebnisse
• MITRE-ATT&CK-Bezug, TTPs und Verknüpfung mit technischen Artefakten
• Markierungen, Confidence, Labels und Datenpflege aus Analystensicht
• Basisworkflows für Aufnahme, Analyse, Bewertung, Recherche und Weitergabe von Intelligence

Praxisübungen

• Navigation durch einen vorbereiteten Wissensgraphen und Ableitung relevanter Beziehungen
• Modellierung eines einfachen Bedrohungsfalls mit Akteur, Malware, TTPs und Indicators
• Erstellung eines Reports mit strukturierten Entitäten und Observables
• Bewertung von Confidence, Labels und Markierungen in einem Beispielbestand
• Durchführung einer einfachen Pivot-Analyse von einem Observable zu einer Kampagne

Methodik

Die Schulung kombiniert kurze Modellblöcke mit vielen geführten Übungen. Alte Schule hilft hier: zuerst sauber modellieren, dann automatisieren. Umgekehrt entsteht nur schnelleres Durcheinander.