Ну и на митапе мы презентуем наше первого исследование по киберугрозам за 2025 год.

Наш репозиторий коннекторов для OpenCTI на gitflic
https://gitflic.ru/company/ctt

- CTT Threat Feed
- CTT Report Hub
- CTT Noise Control
- CTT IoC Lookup
- CTT WHOIS API
- CTT ThreatKB
- CTT Incident Hub

Собранные docker-образа, так же в registry.gitflic.ru

Потихоньку начинаем продвигать нашу концепцию "Озеро знаний", или "Озеро CTI". В прошлую пятницу рассказали тех. партнёрам, скоро расскажем в паблик :)

Провели еще 23 мая вместе с INSECA уже 5тый митап!

Всем привет!

23 мая состоялся CTI meetup №5, который организовали Инсека и Технологии киберугроз.


🎥 Презентации и запись выступлений CTI meetup №5 можно посмотреть на странице митапа.

📸 Фотоотчет с митапа здесь.

Спасибо всем, кто был с нами на митапе.


Когда будет следующая встреча? - по мере формирования программы митапа.
Присылайте информацию о себе и свою тему доклада на @insecatech, мы с вами обязательно свяжемся!

#release #stix #incidenthub

Release Notes 2026-06

CTT Incident Hub

Добавлен механизм отслеживания цепочек инцидентов. Логика работы:
- Мы отслеживаем новости, связанные с атакой на компанию.
- Каждая новая новость об этой атаке линкуется с агрегирующей новостью с префиксом [Chain] и STIX лейблом chain.
- При появлении новой новости об инциденте описание агрегирующей новости автоматически обновляется, перестраивается severity, перестраивается извлеченная информация о последствиях инцидента.

#release #opencti

Release Notes 2026-06

Обновление коннекторов CTT для OpenCTI

Раскатили большой пакет улучшений по коннекторам ThreatKB, Incident Hub, Report Hub и Threat Feed.

Репозитории:
ctt_threat_feed_connector
ctt_report_hub_connector
ctt_noise_control_connector
ctt_ioc_lookup_connector
ctt_whois_api_connector
ctt_threatkb_connector
ctt_incidenthub_connector

Реестр образов:
registry.gitflic.ru

Главное:

Incident Hub

• Связанные инциденты — коннектор строит цепочки инцидентов (incident chain), а не одиночные объекты
• Поддержка first_seen / last_seen на объектах — корректные временные рамки активности
• Корректная обработка кодов ответа — ошибки, не связанные с недоступностью сервиса не приводят к бесконечным обращениям

Управление метками (ThreatKB, Incident Hub, Report Hub)

• Настраиваемый префикс меток для улучшения их структурирования для поиска и отображения.

Защита правок аналитика (ThreatKB)

• THREATKB_PREVENT_USER_DATA_OVERWRITE — коннектор не перетирает данные в OpenCTI которые не добавлял сам. Защита от нежелательного изменения собственных объектов и ручных правок аналитиков.
• Объекты помечаются специальной меткой (THREATKB_OWNERSHIP_MARKER_LABEL) в API — повторный импорт обновляет только «свои» сущности

Прозрачность по API

• Все коннекторы (ThreatKB, Incident Hub, Report Hub, Threat Feed, IOC Lookup, Noise Control, Whois) логируют лимиты обращений к API: суточные сводки, прогрессивные пороги, предупреждение при достижении 80% и отдельное событие на 429.

Развёртывание
ctt_opencti_full_setup

• Мастер первичной настройки (setup.sh / setup.ps1) — интерактивная генерация конфигурации
• Индивидуальная дата старта импорта для каждого коннектора (с откатом на общую)
• Профили docker-compose — включайте только нужные коннекторы

Рекомендуем обновиться!

#release #api #limits

Release Notes 2026-06

Сброс ограничений лимита на стороне клиента

Реализовали механизм сброса ограничений при блокировке API по лимиту запросов.
Сейчас клиенты могут сами сбрасывать лимит сделав вызов соответствующего сервиса вида

Например сброс лимита в Incident Hub

curl -v \
     -H "x-api-key: <API KEY>" \
     -H "X-Reset-Token: <RESET KEY>" \
     "https://api.cyberthreattech.ru/v1/incidents"

Ключ сброса предоставляется только через поддержку support@cyberthreattech.ru