行列のできる脅威インテリジェンス基盤「OpenCTI」完全解剖：Dockerで始める知の統合
みなさーん！聞こえますか！？今私は、サイロ化された脅威情報の荒野に突如現れた、超絶怒涛の聖地「OpenCTI」の行列の先頭に来ています！見てください、このエンジニアたちの眼差し！「構造化されていないデータはもう嫌だ！」という叫びがコードになって聞こえてくるようです！
それでは、ソフトウェアエンジニアの視点から、この「OpenCTI」がなぜこれほどまでに行列を作る（人気な）のか、実況解説していきますよ！
エンジニアの皆さん、散らばったセキュリティログや怪しいIPリストをExcelで管理して、発狂しそうになったことはありませんか？OpenCTIは、そんなカオスを鎮める「脅威情報の司令塔」なんです。
知識グラフ（Knowledge Graph）がエグい！ ただのデータベースじゃないんです。攻撃者（Intrusion Set）、マルウェア、脆弱性、そして標的となっている業界を「点と線」で結びつけます。
STIX 2.1準拠で会話がスムーズ！ 共通言語であるSTIXフォーマットをネイティブにサポート。API連携がめちゃくちゃ楽なんです。
自動化の鬼！ 「このIPが見つかったらSlackに飛ばして、SIEMに登録して…」といったワークフローをコネクタで繋ぎまくれます。
「よし、並ぶぞ（導入するぞ）！」と決めたあなた。OpenCTIはマイクロサービス構成なので、Docker Composeを使うのが一番の近道です。
OpenCTI本体を動かすには、以下の強力な助っ人たちが必要です
Redis
高速なメッセージング用
Elasticsearch (OpenSearch)
爆速検索用
MinIO
ファイルストレージ
RabbitMQ
内部のタスク処理用
公式のDockerリポジトリをクローンします。
.env ファイルを作って、UUIDや管理者パスワードを設定。
docker-compose up -d を叩く！
これだけで、ブラウザから美麗なダッシュボードが拝めます。エンジニアなら、この時点で「おぉ…」と声が漏れるはず！
「画面で見るだけじゃ満足できない！コードで操りたい！」という職人気質なあなたのために、Pythonクライアント（pycti）を使ったサンプルをご用意しました。
例えば、「新しい悪意のあるIPアドレス（Indicator）」を登録するコードはこんな感じです。
from pycti import OpenCTIApiClient
# 接続設定（あなたの秘密の鍵を添えて）
api_url = "http://localhost:8080"
api_token = "YOUR_API_TOKEN"
# クライアント初期化
client = OpenCTIApiClient(api_url, api_token)
# 脅威情報の作成！
indicator = client.indicator.create(
name="192.168.100.50",
description="怪しい通信を行っているC2サーバーの疑い",
pattern_type="stix",
pattern="[ipv4-addr:value = '192.168.100.50']",
main_observable_type="IPv4-Addr",
x_opencti_main_observable_type="IPv4-Addr"
)
print(f"登録完了！ ID: {indicator['id']}")
これで、あなたの自作ツールから自動で脅威インテリジェンスを放り込めます。まさに、行列をショートカットする裏技ですね！
OpenCTIは、単なるツールではなく、エンジニアが「敵（攻撃者）を知る」ための最強の武器庫です。散らばった情報を統合し、可視化し、次のアクションに繋げる。この一連の流れがこれほど美しく整理されているプラットフォームは他にありません！
現場からは以上です！スタジオのあなた、まずは手元のDockerで一軒、建てて（立ち上げて）みませんか！？
