OpenCTI는 MISP를 대체하나?

CTI 그래프 운영 허브에 가깝다. 관계·근거·티켓·커넥터 오케스트레이션까지 폐루프가 필요하면 적합하고, IOC 공유만이면 MISP가 더 단순하다.

STIX/TAXII 수집을 회귀 가능하게 하려면?

샘플 번들과 기대 관계를 고정해 import 후 diff를 보고, 커넥터 버전·매핑 규칙·엔리치 설정을 버전 관리해 드리프트를 막아라.

아니다. 최소 엔터티/필드 계약을 먼저 정의하고 점진 확장하라. 중복·충돌·오탐을 회귀 케이스로 만들지 않으면 그래프가 노이즈에 잠긴다.

✕기존 문제점	✓혁신적 솔루션
인텔이 도구·시트에 흩어지고 관계가 개인 지식에 남아 회고·감사가 어렵다.	그래프를 주 데이터 모델로 삼아 엔터티/관계/근거를 조회 가능한 자산으로 만들고 타임라인·출처를 추적한다.
IOC와 사고/대응이 분리돼 엔리치가 느리고 중복 작업이 늘며 인수인계가 구두에 의존한다.	표준과 커넥터로 수집·연관·엔리치·배포를 파이프라인화해 운영과 대응을 구동한다.

bash

1docker --version && docker compose version

bash

1git clone https://github.com/OpenCTI-Platform/opencti.git && cd opencti && cp .env.sample .env

bash

1docker compose up -d

bash

1docker compose logs -f --tail=200

bash

1# 고정 STIX 번들을 импорт하고 기대 관계를 스냅샷으로 저장

핵심 시나리오	대상 고객	솔루션	최종 결과
SOC 알림 상관분석과 추적 가속	SOC 분석가	알림 IOC를 과거 문맥·기법과 자동 연계	트리아지와 설명 가능한 결론이 빨라진다
헌팅과 ATT&CK 매핑	헌팅 팀	관측을 MITRE ATT&CK에 매핑하고 근거를 부착	재사용 가능한 헌팅 자산이 쌓인다
IR 협업과 감사 폐루프	IR 리드	타임라인·조치·티켓·증거를 중앙화	인수인계/회고가 감사 가능해진다