Seminar OpenCTI Datenintegration: Connectoren, Feeds, TAXII und Mappers

Dieses Seminar behandelt die strukturierte Anbindung von Datenquellen an OpenCTI. Der Fokus liegt auf Connectoren, Feeds, TAXII, CSV- und JSON-Mapping, Datenqualität und kontrollierter Ingestion. Die Schulung ist bewusst praxisnah: Datenintegration ist der Punkt, an dem gute Threat Intelligence entsteht oder Datenmüll besonders schnell skaliert.

Zielgruppe

Das Seminar richtet sich an OpenCTI-Administratoren, CTI-Engineers, SOC Engineers, Datenintegrationsverantwortliche und Plattformteams, die externe, interne oder kommerzielle Quellen zuverlässig anbinden müssen.

Voraussetzungen

OpenCTI-Grundkenntnisse, Verständnis für CTI-Entitäten und Basiswissen zu Datenformaten wie JSON, CSV und STIX werden vorausgesetzt. Programmiererfahrung ist nicht erforderlich, aber hilfreich.

Inhalte

• Integrationsarten in OpenCTI: interne Feeds, externe Feeds, Connectoren, TAXII, CSV, JSON und manuelle Aufnahme
• Connector-Klassen, Betriebsweise, Konfiguration, Authentisierung und typische Fehlerbilder
• Ingestion-Manager, Feeds, Synchronisation, Zeitpläne und Datenlebenszyklus
• TAXII-Konzepte, STIX-Bundles, Datenweitergabe und Filterung veröffentlichter Informationen
• CSV- und JSON-Mappers: Struktur, Feldzuordnung, Entitäten, Beziehungen und Wiederverwendbarkeit
• Datenqualität: Quellenbewertung, Confidence, Markierungen, Dubletten, Normalisierung und Validierung
• Enrichment-Prozesse, technische Observables, Indicators und Kontextbeziehungen
• Betriebliche Überwachung von Integrationen: Logs, Queue-Verhalten, Fehlerzustände und Wiederanlauf
• Governance für neue Datenquellen, Freigabeprozesse und Verantwortlichkeiten

Praxisübungen

• Bewertung mehrerer Datenquellen nach Nutzen, Qualität und Betriebsrisiko
• Konfiguration einer exemplarischen Feed- oder Connector-Anbindung
• Erstellung eines Mappers für eine strukturierte CSV- oder JSON-Quelle
• Validierung importierter Entitäten, Observables und Beziehungen im Wissensgraphen
• Fehleranalyse bei fehlerhaftem Mapping, Dubletten und unpassenden Markierungen
• Entwurf eines Freigabeprozesses für neue produktive Datenquellen

Methodik

Die Schulung arbeitet mit mehreren Datenqualitäten: brauchbar, unvollständig, widersprüchlich und schlicht schlecht. Dadurch wird sichtbar, welche Kontrollen vor produktiver Ingestion zwingend notwendig sind.