Seminar OpenCTI Connector Development mit Python und STIX 2.1

Das Seminar behandelt die Entwicklung eigener OpenCTI-Connectoren. Es richtet sich an technische Teams, die Datenquellen anbinden, Daten transformieren, Enrichment-Prozesse umsetzen oder interne Systeme integrieren müssen. Neben dem Connector-Lebenszyklus stehen STIX-2.1-Modellierung, API-Nutzung, Fehlerbehandlung, Deployment und Wartbarkeit im Mittelpunkt.

Zielgruppe

Das Seminar richtet sich an Entwickler, Security Engineers, DevSecOps, Plattformteams und technische Integrationsverantwortliche, die OpenCTI über vorhandene Standardconnectoren hinaus erweitern müssen.

Voraussetzungen

Gute Python-Grundkenntnisse, sichere Arbeit mit APIs, JSON und Git sowie Verständnis für grundlegende CTI-Begriffe werden vorausgesetzt. Vorkenntnisse in STIX 2.1 sind hilfreich, werden aber systematisch eingeordnet.

Inhalte

• Connector-Architektur, Ausführungsmodell, Worker-Konzept und typische Connector-Klassen
• OpenCTI-API, Authentisierung, Abfragen, Mutationen und saubere Fehlerbehandlung
• STIX-2.1-Grundlagen für Entwickler: SDO, SCO, SRO, Bundles, Beziehungen und Identitäten
• Nutzung des Python-basierten Connector-SDK und Aufbau einer wartbaren Projektstruktur
• Importconnectoren, Enrichment-Connectoren, Exportlogik und Synchronisationsmuster
• Mapping externer Daten in OpenCTI-Entitäten, Observables, Indicators und Beziehungen
• Dublettenvermeidung, Confidence, Markierungen, Quelle, Autorenschaft und Datenqualität
• Konfiguration, Secrets, Umgebungsvariablen, Logging und lokale Teststrategien
• Containerisierung, Deployment, Versionierung und Betrieb eigener Connectoren
• Sicherheits- und Wartungsaspekte bei produktiven Integrationen

Praxisübungen

• Aufbau eines minimalen Connectors mit Konfiguration, Authentisierung und Logging
• Umwandlung einer Beispiel-JSON-Quelle in STIX-nahe OpenCTI-Objekte
• Erstellung von Entitäten, Observables, Indicators und Beziehungen über die API
• Implementierung einer einfachen Enrichment-Logik mit Fehler- und Rate-Limit-Behandlung
• Containerisierung des Connectors und Vorbereitung für produktionsnahes Deployment
• Review von Datenqualität, Markierungen und Confidence im erzeugten Datenbestand

Methodik

Die Schulung ist technisch und umsetzungsorientiert. Klassische Theorie wird dort behandelt, wo sie Fehlmodellierungen verhindert; der Schwerpunkt liegt auf funktionsfähigem Code, nachvollziehbarer Datenmodellierung und späterer Wartbarkeit.